Computer Security Symposium 201321 - 23 October 2013

ダークネットトラフィックデータの解析によるサブネットの脆弱性判定に関する研究
西風 宗典 †班 涛‡

小澤 誠一 †

† 神戸大学大学院工学研究科〒 657-8501 兵庫県神戸市灘区六甲台町 1-1
137t252t@stu.kobe-u.ac.jp ozawasei@kobe-u.ac.jp‡ 情報通信研究機構ネットワークセキュリティ研究所〒 184-8795 東京都小金井市貫井北町 4-2-1
bantao@nict.go.jp
あらまし 本研究では，NICTER darknet Dataset 2013 を用いて，マルウェアの活動を観測する，いわゆる動的解析手法の開発を行う．ダークネットとは実在しない IP アドレスのことであり，ダークネットを宛先として設定されているパケットデータは，マルウェアによるスキャン行為，感染行為，DDoS 攻撃のバックスキャッタ，設定ミスなどが考えられる．特定 IP 領域（サブネット）から送出されるパケットデータをポート別に解析し，マルウェア活動を特定するとともに，その感染タイプの分析を行う．これにより，サブネットの脆弱性を判定するシステムの開発を行う．

A Study on Vulnerability Inspection of Internet Subnets
by Darknet Traﬃc Data Analysis
Hironori Nishikaze†

Tao Ban‡Seiichi Ozawa††Guraduate School of Engineering, Kobe University
1-1 Rokkodai-cho, Nada-ku, Kobe, Hyogo 657-8501, JAPAN
137t252t@stu.kobe-u.ac.jp ozawasei@kobe-u.ac.jp‡Network Security Research Institute, National Institute of Information and Communications Technology
4-2-1 Nukuikita-machi, Koganei, Tokyo 184-8795, JAPANbantao@nict.go.jp

Abstract In the research, we develop a dynamical analysis method of malware activities using
NICTER darknet Dataset 2013, which includes unsolicited packet data generated by malware
scan activities, infection activities, backscatter by DDos attacks, human setup errors, etc. We
analyze packets sent out from speciﬁc IP regions (subnetworks) at all the destination ports,
and identify the types of malwares. Then, we develop a vulnerability inspection system ofsubnetworks based on the darknet traﬃc data analysis.

－ 723 －

とができる．また，危険なサブネットに所属しているユーザにも警告を発し，マルウェアの感
近年，コンピュータが急速に普及し，それに染拡大阻止に効果があると考えられる．
伴いネットワークの高速化・大容量化が進んで本研究では，サブネットの脆弱性を判定するいる．これにより多くの人が様々な恩恵をインことを目標とし，まず，サブネットの通信トラターネットで享受するようになったが，一方でフィックにより，サブネットのクラスタリングを情報の漏洩などを行う不正なプログラム（マル行う．さらに，クラスタリングされたサブネッウェア）による信用不安も広がっている．また， トの解析を通して，クラスタリングの有効性をパッカーという実行ファイル圧縮ソフトなどの検証する．
登場によりマルウェア本体の発見が難しい場合もある．よって，プログラムの振る舞いによりマルウェアかどうかを検知する動的解析に注目
2 実験手法が集まっている．
2.1 サブネットへの分割
マルウェアのいくつかは他のコンピュータの脆弱性の探索（ネットワークスキャン）などの感
ネットワーク感染状況を観測，分析，可視化
染行為を行うとき，特定のサーバを攻撃するとするため，IP アドレス空間をサブネットに分割
きに実在しない IP アドレス（ダークネット）をする．サブネットの分割については，32 ビット宛先としたパケットを短時間に発生することがの IPv4 アドレス空間を 216 ，すなわち，65536ある [1]．また，特定のサーバに集中的にパケッのサブネットに分割する．このとき，各サブネットを送信し，機能を停止させる攻撃を DDos 攻トが含む IP アドレスは 65536 個となる．これは撃というが，この攻撃では虚偽の送信元を記載
クラス B のサブネットであり，一般に，大企業した，接続の確立を要求するパケットを送信すや国の機関などが所有している規模である．複る．よって，これを受信したサーバからの返答数の団体や国にまたがっている場合があるため，が，ダークネットに届くことがある．以上よりこれだけで意味があるネットワーク監視ができ
ダークネットに届くパケットはマルウェアの活るとは限らないが，本研究の目的はその仕組み動と関連性があると考えられ，その解析によりを構築することにあるため，より詳細なネットマルウェアによる感染の程度や拡大の様子を知
ワーク監視への対応は今後の課題とする．
ることが可能である．
世界中には非常に多くのコンピュータが存在
2.2 特徴ベクトル生成しており，個々の感染を把握するのは容易ではない．そこで，感染しているコンピュータの分サブネットごとに，その振る舞いを特徴ベク
布や感染の程度を調査する単位を，サブネットトルとして表現する．マルウェアによって利用とすることもよく行われる．サブネットの通信されるポートは決まっていることが多いことか
トラフィックは，そのサブネットが含む IP アド
ら，ポート別に攻撃される頻度を解析をする．
レスを運用する組織・団体の方針やセキュリティ
各サブネットが送信したパケットを，宛先ポーレベルに影響されると考えられる．注視すべき
トごとに分類して特徴ベクトルを定義する．各通信トラフィックは，あるサブネットに属する
宛先ポートごとにパケットの送信先 IP アドレ
いくつのホストがダークネットにパケットを送スを取得し，ポート p に対して，サブネット s信したか，また，どのポートを標的としているが何種類の送信先 IP アドレスに対してパケットか，いくつの IP アドレスを標的としているかを送信しているかカウントした情報を Psp とすといった情報である．サブネットを脆弱性の程る．これによりポート数長のベクトルが生成さ度によりグループ化できると，危険なサブネッ れる．ここで，サブネットのトラフィック分布トをあらかじめ知ることができるため，そのサを比較するため，ベクトルの各成分を宛先ポーブネットと通信をしている組織に警告を行うこトと送信先 IP アドレスの組合せ総数 N で除算

1

はじめに

s－ 724 －して正規化する．さらに各要素に log(Ns +1) を乗算し，Ns による重みづけを行う．Ns は宛先ポートと送信先 IP アドレスの組合せ総数であるため，広範囲のポートや IP アドレスにパケットを送信しているサブネットに対して大きな値をとる．つまり，広範囲のポートや IP アドレ
スをスキャンするマルウェアの活動は危険度が高いと考えて，そのようなトラフィックをもつサブネットを区別するために log(Ns +1) を乗算する．以上より，特徴ベクトル xs = {xsp }65536
p=1の各要素 xsp は，

xsp =Psplog(Ns + 1)
Ns(1)Algorithm 1 Multi-Dimensional Scaling(MDS)
1: Input D ∈ Rn×n , Dii = 0, Dij ≥ 0.
1
2: Set B = − 12 HDH, where H = I − n11t
is the centering matrix.
3: Compute the spectral decomposition of
B : B = U ΛU t .
4: Form Λm by setting [Λm ]ij = max(Λij , 0).
1
2
5: Set X = U Λm.と表す．

2.3次元空間への点の配置は MDS[3] という手法を用いている．MDS のアルゴリズムを Agorithm
1 に，Isomap のアルゴリズムを Algorithm 2 に示す．

6: Return [X]n×d .

クラスタリング

Algorithm 2 Isomap
1: Input x1 , · · · , xn , k.
類似した通信トラフィックをもつサブネット
2: Form a k-nearest neighbor graph with edge
をグループ化するため，クラスタリングを行う．
weighs Wij = ||xi − xj || for neighboring
クラスタリングは，階層的手法である最長距離
points xi and xj .
法 [2] を用いる．特徴ベクトル総数 M とし，ク
3: Compute the shortest path distances beラスタ Ci に含まれる特徴ベクトルを xia とす
tween all pairs of points using Dijkstra’s
る．最初に，クラスタを M 個だけ設け，各特or Floyd’s algorithm.
徴ベクトル xia をクラスタ Ci とする．クラス
4: Store the squared distances in D.
タ間の距離 d1 (Ci , Cj ) を，式 (2) を用いて計算
5: Return Y = M DS(D).
し，この距離が最も近い 2 つのクラスタを併合する．ここで，d2 (xia , xjb ) はベクトル同士のユークリッド距離を表す．この操作を繰り返すことによりクラスタを形成する．

実験と考察

クラスタリングの有効性

d1 (Ci , Cj ) = max(d2 (xia , xjb ))

(2)

3.1

xia ∈ Ci , xjb ∈ Cj

(3)

本実験では，NICT が提供している NICTER
darknet Dataset 2013[4] という，NICT のダークネットに送られたパケットデータ（pcap 形式）を用いた．2011 年 1 月から 2013 年 8 月の中旬までの約 31 か月分のパケットの情報である．このデータの 2011 年 1 月分（約 686 万パケット）を用いて実験を行った．活動が活発なサブネッ
トを選ぶため，4 種類以上のホストが NICT のダークネットにパケットを送信したサブネットを解析対象とした．解析対象とした 1296 サブネット分のパケットデータを，2.1 節の通りサa,b

2.4

3

次元削減による可視化クラスタリング結果が妥当であるかを確認するため，可視化を行う．各サブネットのトラフィックを表す特徴ベクトルはポート数（65536）次元のベクトルであるため，可視化するために次元削減を行う．次元削減には，多様体上のデータ構造を学習する Isomap[3] を用いる．Isomap において，多様体上の距離（測地距離）情報から低－ 725 －Grouped Subnets
012345Distance of Subnets

6

図 2: Isomap の誤差と次元の関係

図 1: 階層構造のデンドログラム

ブネットにより分割し，それぞれのサブネットにおいて 2.2 節の通り特徴ベクトルを生成した．
また，2.3 節に従い階層クラスタリングを行い，8 クラスタを生成した．その結果を，横軸を距離とした 1 次元のデンドログラムとして図 1 に示す．図 1 において，クラスタごとに色を分けて示している．これより，特徴ベクトル同士のユークリッド距離によりクラスタリングができ2.5ていることが確認できる．
21.5図 1 ではポート数（65536）個の要素がある
1特徴ベクトル同士の距離を用いて 1 次元で表示0.5している．この次元圧縮による結果が正しいも0−0.5のであるか検証するため，2.4 節の手法を用い−1て次元削減を行った．Isomap を用いて高次元−1.5から L 次元に変換した際，L の値によりどの程3度誤差が発生しているかを図 2 に示す．図 2 よ221り，本実験では 3 次元に圧縮すると元データと100−1−1の分布の誤差が小さいことがわかる．よって，3−2−2−3次元空間に変換した．クラスタごとに異なる記号でプロットを行った結果を図 3 に示す．
図 3: Isomap によるクラスタリング結果の図 3 より，同じクラスタにクラスタリングさ可視化れた特徴ベクトルは次元圧縮した空間においても近い位置に存在しており，本実験で行ったクラスタリングが妥当であることが確認できた．

－ 726 －ラスタリングを行い階層構造で表示し，次元削減を行って得た結果と比較することで，クラスタリングの有効性を確認した．また，クラスタリング結果において，クラスタごとにトラフィックの特徴を図示することで，クラスタごとに異なるトラフィック特徴をもっていることが確認できた．
サブネットの脆弱性判定や危険度推定を行うには，各クラスタが，どの程度危険であるかランク付けする必要がある．これについてはあらかじめ収集が可能なマルウェアの情報と関連付ける必要があり，今後の研究課題としたい．また，本実験では 1 か月分のデータのみを用いて実験を行ったが，他の期間のデータに対しても本手法が有効であるか，引き続き検討していく．

参考文献

図 4: 各クラスタに属する特徴ベクトルの傾向

3.2

クラスタのトラフィック特徴生成した 8 クラスタに対し，宛先ポート特徴量の平均と標準偏差をローソク足表示したものを図 4 に示す．なお，図 4 の色は図 1 と対応させており，平均値が 0.01 以下の場合は表示していない．図 4 より，クラスタごとに異なるトラフィック特徴をもっていることがわかる．

4

まとめ

サブネットの脆弱性判定を目標とし，サブネットの通信トラフィックの特徴による分類を行い，その結果を可視化した．NICTER darknet
Dataset 2013 の通信データを用いた実験において，IP アドレスをサブネット単位に分割し，そのサブネットの通信トラフィックを解析することで，サブネットのクラスタリングを行うことができた．特徴ベクトル同士の距離を基準に，ク[1] 中尾康二, 井上大介, インシデント分析セン
ター nicter の研究開発概要, 情報通信研究
機構季報, Vol. 57，pp. 3 - 16, 2011.
[2] 神蔦敏弘, データマイニング分野のクラスタリング手法 (1), 人工知能学会誌, Vol. 18，pp. 59 - 65, 2003.
[3] L. Cayton, “Algorithms for Manifold
Learning,” UCSD Tech Report CS2008‐0923, 2008.
[4] 神薗雅紀, “マルウェア対策のための研究用データセット (MWS Datasets 2013),” 2013.
[5] K. Nakano, K. Yoshida, D. Inoue, M.
Eto , “A Novel Concept of Network Incident Analysis based on Multi-layer Observation of Malware Behavior,” The 2ndJoint Workshop on Information Security,
pp. 267 - 279, 2007.
[6] M. Bailey, E. Cooke, F. Jahanian, A.
Myrick, S. Sinha, “Practical Darknet Measurement,” Information Sciences and Systems, pp. 1496 - 1501, 2006.
[7] D. Inoue, K. Yoshida, M. Eto, M. Yamagata, E. Nishino, J. Takeuchi, K. Ohkuchi,
K. Nakano, “An Incident Analysis System NICTER and Its Analysis Engines
Based on Data Mining Techniques,” Proc.

－ 727 －International Conference on Advances inNeuro-Information, pp. 579 - 586, 2008.
[8] K. Nakano, D. Inoue, M. Eto, K. Yoshida,“Practical Correlation Analysis between
Scan and Malware Proﬁles against ZeroDay Attacks Based on Darknet Monitoring,” IEICE Transactions on Informationand Systems, Vol. 92, No.5, pp. 787 - 798,
2009.
[9] N. Provos, “A Virtual Honeypot Framework,” Proc. USENIX Security Symposium, pp. 1 - 14, 2004.

－ 728 －