分散ハニーポット観測からのダウンロードサーバ間の相関ルール抽出
大類 将之 †菊池 浩明 †寺田 真敏 ††† 東海大学情報理工学部情報メディア学科
259-1292 神奈川県平塚市北金目 1117 yama，kikn@cs.dm.u-tokai.ac.jp†† 日立製作所 Hitachi Incident Response Team (HIRT)
212-8567 神奈川県川崎市幸区鹿島田 890 日立システムプラザ新川崎
あらまし 本研究では，マルウェアをダウンロードするサーバ間の連携活動に着目し，データベースから価値ある相関ルールを抽出するデータマイニング手法であるアソシエーション分析を CCC DATAset 2009 攻撃元データに適用する．分析の結果明らかになった関連性が強いサーバ間の組み合わせやダウンロードホストとマルウェアの関連性を示した相関ルールを報告する．

Mining Association rules consisting of Download Servers from
Distributed Honeypot Observation
Masayuki Ohrui†Hiroaki Kikuchi†

Masato Terada†††School of Information Science and Technology，Tokai University，
1117 Kitakaname，Hiratsuka-shi，Kanagawa 259-1292††Hitachi， Ltd. Hitachi Incident Response Team (HIRT)，
890 Kashimada，Saiwai-ku，Kawasaki-shi，Kanagawa 212-8567

Abstract This paper aims to find interested association rules, known as data mining technique, out of thedataset of downloading logs by focusing on the coordinated activity between downloading servers for malware.
The result of the analysis shows the association rules of the relation among the downloading servers and that ofthe malwares.

1

はじめにボットにおける感染に関して，複数のサーバを連携して感染する特徴が報告されている [1]．表 1 は，CCC DATAset 2009 攻撃通信データ [2] の中から，PE_VIRUT.AV に感染したとき，数分後に TROJ_B
UZUS.AGB と WORM_SWTYMLAI.CD が同時に感染している例である．
これより，ダウンロードサーバ（以下，DL サー

DATAset 2009 攻撃元データ [2] を対象に，その出現数トップ 4 の DL ホスト IP アドレスのダウンロード数の推移を示した図 1 について考えよう．
IP アドレスや時期によるダウンロード数の変動は大きい．全く観測しない期間も存在し，ハニーポッ
トによっても結果は異なる．そのため，連携活動だと考えられる特徴を発見しても，その真偽を測るのは難しい．1 年間で 1,335 種類の MW が観測されバ）が異なる IP アドレスであっても，マルウェア[2]，先の例のように 3 種類の異なる連携を考えるだ
けでも，1,335 C3 = 395, 654, 395 個組み合わせがあ（以下，MW）の感染活動には類似性がある事が分る．しかも，365 日/年 × 94 台 × 24 時間/日 × 3

かる．このようなボットネットの複数の DL サーバ

スロット/時間 = 2, 470, 320 の全てのスロットにつによる感染を連携活動と呼ぶ事とする．

いてそれらが成立するかを総当りで調べるのは現実

しかし，このような連携活動を発見するためには，多量のデータの中から共通に生じるパターンを抽出的ではない1 ．
そこで本研究では，大規模データからのマイニングする必要があり，非常に困難である．例えば，CCC
1 スロットの定義は 3.1 節にて後述する．

表 1: 攻撃通信データから抽出した MW の連携活動例
時刻0:02:11
0:03:48
0:03:48
0:36:46
0:36:52
0:36:52
0:46:56
0:48:52
0:48:52

DL ホスト IP アドレス
124.86.***.111
67.215.*.206
72.10.***.195
124.86.**.109
72.10.***.195
67.215.*.206
124.86.**.109
67.215.*.206
72.10.***.195

プロトコル
TCP
TCP
TCP
TCP
TCP
TCP
TCP
TCP
TCP

Dst Port
47556
80803325880803325880
80

MW 名
PE_VIRUT.AV
TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD
PE_VIRUT.AV
WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB
PE_VIRUT.AV
TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD

表 2: 攻撃元データから抽出した DL ホスト IP アドレス上位 10 個のデータ
順位
TOP1
TOP2
TOP3
TOP4TOP5
TOP6
TOP7
TOP8
TOP9TOP10

DL ホスト IP アドレス
72.10.***.74
72.10.***.195
85.114.***.2
85.114.***.207
67.215.*.206
211.95.**.672.10.***.2692.48.**.6367.18.***.250
72.8.***.164

DL 回数462246399562
33283
32202
26780
19641
14951
11699
10060
5099

8000

7000

TOP01
TOP02
TOP03
TOP04

Number of Downloads [DL/Day]

6000

5000

4000

平均 DL 回数
3884.48324.21147.7870.33825.7
198.4
287.5
117.0
76.8
127.5

MW 数
11948
2937799
52
100
131
40

ハニーポット数
9192
8278
5985
82
69
6881を抽出する．攻撃パターンには，ダウンロードサー
バ間の連携によるものと，MW の種類の組み合わせによるものがあり，それぞれについて，観測装置（ハニーポット）による差や観測時期による差が生じるか検証する．

3000

2000

2

要素技術

2.1

相関ルール

1000

0
Apr-08 May-08 Jun-08 Jul-08 Aug-08 Sep-08 Oct-08 Nov-08Dec-08 Jan-09 Feb-09Mar-09 Apr-09May-09
Date [Day]アソシエーション分析とは，データベースの中か
図 1: 1 年間で観測されたダウンロード数の推移

ら X(前件部) ⇒ Y (結論部) という相関ルールを抽出するデータマイニング手法である．

技術であるアソシエーション分析を適用する事で，連支持度とは，ルールの出現率を表し，全トランザ携活動に関する価値ある相関ルールの抽出を試みる．

クション N のうち，ルールの条件 X と結論 Y を共アソシエーション分析（相関ルール）には，Agrawalに含む確率らによって提案された Apriori アルゴリズムがあり，Supp(X ⇒ Y ) =支持度（Support）と確信度（Confidence）の最小値を設定することで，膨大な組み合わせを効果的に枝狩りして効率よくルールを抽出できる技術として広く知られている [3]．

X ∩YNで定義する．
確信度とは，ルールの関連性の強さを表し，ルールの条件 X が発生するトランザクションのうち，条

本稿では，その実装として Christian Borgelt によ

件 X と結論 Y を共に含む確率

る Apriori Program[4] を活用して，攻撃元データにConf(X ⇒ Y ) =適用し，1 年間に頻出している共通の攻撃パターンで与える．

X ∩YX

2. 攻撃通信データに対する DL サーバの相関ルー
ル抽出

表 3: トランザクションの例
TID
123
4

2.2

A
11B
111C
111D1E

3. 攻撃元データから抽出する MW の相関ルールの観測地点間の差

1114. 攻撃元データから抽出する MW の相関ルールの観測時期の差

Apriori アルゴリズム

Apriori アルゴリズムは，Agrawal らが提案した代表的な相関ルール抽出アルゴリズムである．支持度と確信度に最小値を与え，数多く抽出される相関ルールの中からルールを絞る事によって，価値の低いルールを除き，価値あるルールを発見できる．
表 3 で与えるトランザクションデータを用いて，B, C ⇒ E の相関ルールの評価例を示す．

攻撃通信データは攻撃元データとマッチングを行う事により，MW 名を判定する事が可能である．そのため短期間ではあるが，2009 年 03 月 13 日，14日に関しては正確なデータが得られ，精度の高い相関ルールが期待できる．本調査では，スロットごとに MW 名及び DL サーバの IP アドレスを抽出し，2つの観点からアソシエーション分析を行う事で，連携活動の関連性の強さを調査する．

Supp(B, C ⇒ E) = 2/4 = 0.5

一方，攻撃元データは 94 台のハニーポットを使用し，1 年間観測したデータである．このデータをConf(B, C ⇒ E) = 2/2 = 1

使用する事により，抽出された相関ルールがどの位

これから，B, C ⇒ E のルールは支持度 50 ％，確一般的であるか，すなわち，異なるハニーポットで信度 100 ％である事が分かる．つまり，このルール共通に観測されるかどうか，あるいは，観測期間には 50 ％の確率で出現し，B, C が発生した場合，100よる差異は生じるかを明らかにする事ができる．す％の確率で E が発生する事を示している．

なわち，ハニーポット間及び長期間での 2 つの観点からアソシエーション分析を行う．
しかし，Honey003 及び 004[2] を除いて，正確に

3

調査方法

3.1

実験データスロットに分割するのは困難である．誤差を許容して，単純に 20 分ごとにスロットを分割して分析を行う．

実験データとして、攻撃通信データと攻撃元データを使用する。攻撃通信データは定期的にクリーンな状態にリセットされるため，Windows XP が送信する NTP パケットを利用して，2 日分のデータをタイムスロット（以下，スロット）として 145 個に分割した. スロットを 1 つのトランザクションとし，

4

調査結果

4.1

攻撃通信データに対する MW の相関
ルール抽出

その間にダウンロードされた MW の種類と DL サー

本節では，MW の連携活動の関連性を調査する．

バをそのトランザクションに生じるアイテムとして，タイムスロットごとの MW リストの一部を表 4 に相関ルールを抽出する．同様に，攻撃元データもス示す．全 145 スロットのうち，58 スロットが感染しロットに分割して，相関ルールを抽出する [5]．なお，ており，最大 1 スロットで 11 回感染している．

本実験では，Windows XP のスロットを使用する.

表 4 をアソシエーション分析した結果を表 5 に示
す．最小支持度 10 ％以上，最小確信度 80 ％以上の3.2

調査項目全ての相関ルールを示している2 ．ここで，支持度は 145 個中その相関ルールが生じたスロットの割合，調査項目を以下に示す．

確信度は前件部の MW を含むスロットのうち，結1. 攻撃通信データに対する MW の相関ルール
抽出

2 関連性が高いルールを抽出するため，支持度を低く，確信度を高く設定している．

表 4: 攻撃通信データから抽出したスロットごとの MW 名リスト（一部）スロット0231415..
.
141PE_VIRUT.AV
WORM_ALLAPLE.IK
PE_VIRUT.AV
BKDR_POEBOT.GN
BKDR_MYBOT.AH
PE_BOBAX.AK

MW 名
TROJ_BUZUS.AGB WORM_SWTYMLAI.CD
PE_VIRUT.AV WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB WORM_SWTYMLAI.CD
PE_VIRUT.AV
WORM_SWTYMLAI.CD

WORM_AUTORUN.CZU

TROJ_BUZUS.AGB
PE_VIRUT.AV

WORM_IRCBOT.CHZ

論部の MW もダウンロードしているものの割合を分かる．しかし，複数の DL サーバを使用する MW，表している．

すなわち，PE_VIRUT.AV を含む表 1 に関するルール

表 1 の連携した攻撃パターン PE_VIRUT.AV ⇒TROJ_BUZUS.AGB, WORM_SWTYMLAI.CD というルー
ルは発見されなかったが，類似した相関ルール PE_VIは抽出できなかった．

攻撃元データから抽出する MW の相関ルールの観測地点間の差

RUT.AV , TROJ_BUZUS.AGB ⇒ WORM_SWTYMLAI.CD
及び PE_VIRUT.AV , WORM_SWTYMLAI.CD ⇒ TROJ_BU
ZUS.AGB は高い確信度で発見された．また，表 5 の結4.3

果から連携活動として，TROJ_BUZUS.AGB と WORM_SW

トで共通に観測されるかを調査する．全 94 のハニー

TYMLAI.CD は特に強い関連性があると考えられる．

ポット ID でアソシエーション分析を行った結果を

本節では，4.1 節の相関ルールが異なるハニーポッ

表 7 に示す．2009 年 3 月 13 日のみのデータで分析を行っており，閾値はスロット数 3 以上，確信度 80

攻撃通信データに対する DL サーバの相関ルール％以上である4 ．例えば，No.1 のルールのハニーポッ

本節では，4.1 節と同様に DL サーバの観点から関ルを 1 回でも抽出したハニーポットが 32 台あるこ連性を調査する．DL サーバの IP アドレスで，アソとを表している．このとき，支持度と確信度の違いシエーション分析を行った結果を表 6 に示す．最小は無視している．

4.2

3

ト数 32 は，全 94 台のハニーポットのうち，このルー

支持度 10 ％以上，最小確信度 50 ％以上である ．対上位の相関ルールの出現数（相関ルールが成立す応順位は，表 2 から割り出している．ここで，支持るスロットの数）を図 2 に示す．X 軸はハニーポッ

度は相関ルールの DL サーバと通信していたスロット数を k とし，Y 軸は k 以上のハニーポットで観測トの割合を，確信度は前件部の DL サーバからダウされた異なる相関ルールの個数 N（k ）を表す．

ンロードしていたもののうち，結論部の DL サーバも通信しているスロットの割合を表している．

結果は，TROJ_BUZUS.AGB と WORM_SWTYMLAI.CDの相関ルールが上位に抽出されたことを示してお分析の入力データは，表 4 の MW 名を対応する

り，概ね 1 台のハニーポットで観測した結果と矛IP アドレスに置き換えたものだが，MW 名と DL
サーバは 1 対 1 で対応している訳ではない．例えば，
PE_VIRUT.AV は 16 種類の IP アドレスからダウン盾がなかった．3 分の 1 以上のハニーポットにて，ロードされている．

TROJ_BUZUS.AGB と WORM_SWTYMLAI.CD 間のルールが得られている．
また，図 2 から，共通したルールばかりでなく，No.1，2 の IP アドレスは PE_VIRUT.AV のものだ多様なルールが数多く生じることが分かる．広範囲が，114.145.**.166 は 12 回，122.18.***.123 は 21で観測されたルールは特に連携活動を行っている可回使用されており，16 種類のうち上位の 2 種類で能性が高いと考えられ，これらルールには MW にある．また，No.3，4 から IP アドレスの観点から偏りがみられる事から，特定の MW のみが連携活見た場合でも連携活動として，TROJ_BUZUS.AGB と動を行っていると考える．

WORM_SWTYMLAI.CD の間には強い関連性がある事が3 確信度を 80 ％から 50 ％に下げたのは，抽出されたルールが少なかったためである．

4 支持度の代わりにスロット数にしたのは，スロットごとに抽出されるルール数が違うため，ルール総数で正規化する支持度で揃えては共通のルールを抽出するのに不都合だったからである．

表 5: 攻撃通信データに対する MW の相関ルール
No.
123456

前件部
TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB
BKDR_POEBOT.GN
BKDR_POEBOT.GN
BKDR_POEBOT.GN
PE_VIRUT.AVTROJ_BUZUS.AGB
PE_VIRUT.AV WORM_SWTYMLAI.CD

⇒⇒
⇒⇒
⇒⇒

結論部
WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB

支持度
41.4
46.6
10.3
10.3
29.3
29.3

確信度
100
88.9
100
100
100
100

表 6: 攻撃通信データに対する DL サーバの相関ルール
No.
1
2
34

前件部
114.145.**.166
122.18.***.123
67.215.*.206
72.10.***.195

⇒
⇒⇒⇒

結論部
122.18.***.123
114.145.**.166
72.10.***.195
67.215.*.206

支持度
12.1
15.5
46.6
46.6

確信度
85.7
66.7
100
100

対応 MWPE ⇒ PEPE ⇒ PE
TROJ ⇒ WORM
WORM ⇒ TROJ

対応順位

TOP5 ⇒ TOP2TOP2 ⇒ TOP5

3. TSPY_KOLABC.CH ⇒ WORM_SWTYMLAI.CD

250

表 8 より，PE_VIRUT.AV は年間を通して観測され200

Number of Ass. Rules N(k)ており，関係する多くのルールが抽出できている．その中でも 1 のルールより，WORM_SWTYMLAI.CD と関150係するルールが一番多かった事から，長期間でも連100

携活動として，強い関連性があると考えられる．また，2，3 のルールより，TSPY_KOLABC.CH とのルー50ルが上位に来ており，4.1 節では見られなかった関連性，すなわち，観測期間による差異が伺える．

0
1 2 3 4 5 6 7 81236

1 年間で観測された UNKNOWN を含まない相関

Number of Honeypots kルールのうち，以下の上位 3 個のルールの推移を図図 2: 上位 10 位の相関ルールの出現スロット数

4.4

3 に示す．
1. BKDR_VANBOT.HI ⇒ BKDR_SDBOT.BU

攻撃元データから抽出する MW の相関ルールの観測時期の差

2. BKDR_POEBOT.AHP ⇒ TROJ_QHOST.WT

本節では，観測期間による相関ルールに差異が3. TSPY_KOLABC.CH ⇒ WORM_SWTYMLAI.CD

生じるかを調査する．1 年間の Honey003 でアソシエーション分析を行った結果を表 8 に示す．閾値は

これは，年間で最も観測されたルールであるが，スロット数 3 以上，確信度 80 ％以上で 365 日全てのルールの出現期間は短く，1 年間を通して観測され相関ルールを抽出し，該当した MW 名を含むルーてはいない．この事から，連携活動期間は短い事がル数を月ごとに纏めたものである．4.3 節と同様に分かる．理由としては，新たな MW が出現したり，支持度と確信度の違いは無視している．また，抽出更新されたりするために，特定の MW 間の連携期した MW 名はこれまでの調査でが強いと考えられ間が短くなってしまう事が考えられる．

る PE_VIRUT.AV（PE），TROJ_BUZUS.AGB（TROJ），

WORM_SWTYMLAI.CD（WORM）とした．
以下は，1 年間で観測された PE，TROJ，WORM が含まれる相関ルールのうち，上位 3 個である．

1. PE_VIRUT.AV WORM_SWTYMLAI.CD ⇒TSPY_KOLABC.CH
2. TROJ_BUZUS.AGB ⇒ WORM_SWTYMLAI.CD

5

おわりに連携して MW をダウンロードしているサーバやMW に関する規則を，機械的に抽出する方式を提案した．また，通信データを詳細に分析して得られる結果とほぼ同じ結果が抽出できる事を実証した．共通

表 7: 2009 年 3 月 13 日に観測された MW に関する相関ルールのハニーポット数No.
12345678910前件部

TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD
PE_VIRUT.AV
PE_VIRUT.AV

TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD
BKDR_VANBOT.AHH
BKDR_VANBOT.AHH
TROJ_DLOADR.CBK
PE_VIRUT.AV
PE_VIRUT.AV
TROJ_BUZUS.AGB
TROJ_AGENT.ANDF
WORM_SWTYMLAI.CD

⇒⇒⇒
⇒
⇒
⇒⇒
⇒
⇒⇒

結論部
WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB
UNKNOWN
WORM_SWTYMLAI.CD
TROJ_BUZUS.AGB
WORM_SWTYMLAI.CD
UNKNOWN
TROJ_BUZUS.AGBハニーポット数
3636121287766635
BKDR_VANBOT.HI => BKDR_SDBOT.BU
BKDR_POEBOT.AHP => TROJ_QHOST.WTTSPY_KOLABC.CH => WORM_SWTYMLAI.CD

表 8: 1 日ごとに観測された PE，TROJ，WORM
30を含むルール数
PE
3176
111
58442735135
125
7930

TROJ
0000000000530

WORM
000000000
226
74025
Number of Slots [Slots/Day]

月
2008/05
2008/06
2008/07
2008/08
2008/09
2008/10
2008/11
2008/12
2009/01
2009/02
2009/03
2009/04

2015

1050Oct-08

Nov-08Dec-08Jan-09Feb-09Date [Day]Mar-09Apr-09

May-09図 3: 1 年間の UNKNOWN を含まない上位 3 個の相関ルール数の推移に現われたのは，PE_VIRUT.AV, TROJ_BUZUS.AGB,WORM_SWTYMLAI.CD 間の強い関係である．
本実験を総合して，TROJ と WORM の関連性が強い

小路博史氏，東海大学大学院の松尾峻治氏に深く感謝する．

相関ルールが最も頻出していた．広範囲で観測されたルールは，連携活動を行っている可能性が高い事を示し，長期間で観測した結果では，連携活動期間は短い事が分かった．DL サーバ間の相関ルールを抽出する事は，複数の DL サーバを使用する PE_VIRUT.AV等があるため難しいが，4.1 節と 4.2 節の結果から，MW の相関ルールを抽出し，それを IP アドレスに適用する事が有効であると考えられる．

Honey003 及び 004 を正確に分割した場合と単純に分割した場合で比較した結果，支持度及び確信度

参考文献[1] 桑原，他，“パケットキャプチャーから感染種類を判定する発見的手法について”，マルウェア対策研究人
材育成ワークショップ 2009（MWS2009）, 2009（発表予定）．
[2] 畑田，他，“マルウェア対策のための研究用データセットとワークショップを通じた研究成果の共有”，マルウェア対策研究人材育成ワークショップ 2009（MWS2009）, 2009（発表予定）．

同じだったため，分析結果は妥当であると考える．

[3] Agrawal R，Imielinski T，Swami AN，“Mining Association Rules between Sets of Items in Large
Databases”，Proceedings of ACM SIGMOD-93,pp. 207-216, 1993．

謝辞[4] Christian Borgelt，Apriori - Association Rule Induction，
http://www.borgelt.net/apriori.htmlの違いはあったが，抽出された上位の相関ルールは本研究を遂行するにあたり，ご助言及びご協力を下さった日立製作所の藤原将志氏，鬼頭哲郎氏，仲[5] 小堀，他，“マルウェアの通信履歴と定点観測の相関について”，マルウェア対策研究人材育成ワークショッ
プ 2008（MWS2008），2008．