通信源ホストの分類を利用したダークネット通信解析
笹生 憲 †森 達哉 †後藤 滋樹 †† 早稲田大学169-8555

東京都新宿区大久保 3-4-1{saso,mori}@nsl.cs.waseda.ac.jp, goto@goto.info.waseda.ac.jp
ダークネットで観測される片方向通信のパケットはペイロードを含まない．このため，通信解析時には主としてパケットのヘッダに記録されたタイムスタンプ，送信元 IP アドレス，宛先ポート番号，パケットサイズ等の情報が利用される．しかし通信源ホストに関するデータとしては IP アドレスは限定的な情報しか提供しないという問題がある．例えば侵入を目的とした意図的なポートスキャンと新種のワームによるスキャンを IP アドレスによって区別する方法は自明ではない．本研究の狙いは通信源のホストを分類した上で通信データを解析することによって，ダークネットで収集される通信データからより多くの情報を獲得することにある．ホストを分類するためにホスト毎の通信パターンおよび OS フィンガープリントを利用する方法を提案する．4,096 個の IP アドレスで構成されるダークネットで 2 年間収集した通信データに提案手法を適用し，セキュリティ対策に有用な新規情報を抽出した事例を報告する．

Darknet Traﬃc Analysis by Using Source Host Classification
Akira Saso†

Tatsuya Mori†

Shigeki Goto††School of Fundamental Science and Engineering, Waseda University
3-4-1 Okubo, Shinjuku-ku, Tokyo 169-8555, JAPAN{saso,mori}@nsl.cs.waseda.ac.jp,goto@goto.info.waseda.ac.jp

Abstract Since all the incoming unidirectional packets destined to Darknet do not consist of payload,
information available from packet headers such as time stamp, source IP addresses, destination port
numbers, and packet size are commonly used for Darknet traﬃc analysis. However, information obtained
through IP address is limited. For instance, it is not an easy task to diﬀerenciate systematic port scansthat arrive intermittently from the ones generated by new worm outbreaks. Based on the observation, thiswork aims to extend the information of source hosts by using two techniques: traﬃc pattern extraction
and OS finger printing. Throughe the analysis of Darknet traﬃc data that is collected from /20 size
Darknet for two years, we report several case studies that sucessfully demonstrate the usefulness of ourapproach.

1

はじめに原因特定や対策の開発に着手することである．そのような目的を実現するためのネットワーク監視手法

インターネット上には様々な脅威が日々発生してとしてダークネット (darknet) が広く活用されていいる．脅威は時として甚大な被害をもたらすため，る [1, 2, 3, 4]．ダークネットとは通常のユーザに割脅威が起こる事前の備えが肝要である．脅威に備えり当てられていないが，インターネット上で到達可るための一つの有効なアプローチはネットワークを能な IP アドレス空間を監視するためのシステムを定常的に監視し，通常の状態では観測されない異常総称したものである．通常のユーザが利用しないアな状態や振る舞いをいち早く検知・検出し，早期にドレスを監視することにより，ダークネットに届くパケットは大多数が悪意のある通信によるものとみ案する．4,096 個の IP アドレスで構成されるダークなすことができる．

ネットを 2 年間に渡って計測した通信データ (nicter

ダークネットを有効に運用するためには敵にその存在を知られないことが重要である．なぜならマルdarknet 2013 [5]) に提案手法を適用し，通信の解析を行った．この結果，新たに獲得した知見のハイラ

ウェアの開発者にダークネットの IP アドレス空間

イトは次のとおりである．

を知られた場合，ダークネットへの通信を意図的に避けるようにプログラムを開発する可能性が生じるからである．このため，一般にダークネットは敵か(1) ボットネットである可能性が高いホスト群が規則的な週変動を示す．大規模なマルウェア感染等の事象発生時にその規則性が崩れる．

らのパケットを受信するものの，自らはパケットを応答しない運用がなされる．このような片方向の通(2) 2011 年に発生した 3389/TCP を経由したワー

信にはペイロードが含まれていないため，通信の解

ム感染の流行時，3389/TCP パケットの約半析時に利用できる情報には制約がある．解析に利用数は感染ホストとは無関係のホストが生成してされる主要な情報はパケットの送信元 IP アドレスいた．

や宛先ポート番号である．例えばポート番号の情報を使うことにより，特定のワームやマルウェアが大流行する予兆を捉えることが可能である [1, 2]．ま(3) 2012 年の 23/TCP に対する通信の急増は 1 パケットをランダムに発生するパターンを持つLinux ホストによるものであり，急増が観測される少し前から事象が生起していた．

た IP アドレスを分析することで，どこから攻撃がなされているかを把握することが可能である [1, 2]．
一方で送信元 IP アドレスは敵に関する限定的な(4) iOS 端末の通信を解析した結果，/20 空間に対情報しか提供しない．例えば IP アドレスの割り当してフルスキャンを行う端末が存在した．iOSて元の RIR が提供するデータベースや Geo IP サー端末は全体数は少ないものの 2012 年の秋以降，ビスを利用することでホストのロケーションを推定

1 日に観測される端末数は増加傾向にある．

することができるが，あるホストが発生したパケットが侵入を目的とした意図的なアクセスによるもの
なのか，あるいは新種のワームやマルウェアによる感染活動であるかは IP アドレスのみからでは判別が困難である．また一般にそのような区別をする方法は自明ではない．
通信源のホストを分類できた場合，以下の利点を

本論文の構成は下記のとおりである．2 章は関連研究を示す．3 章はデータ収集環境およびデータの基礎的な統計を示す．ダークネット監視データから通信源ホストを分類する方法を 4 章で述べ，5 章
で通信解析の実例を，6 章にケーススタディを示す．
最後に 7 章でまとめと今後の課題を述べる．

期待出来る．

• パケット量としては少量であるが，脅威の予兆を観測するのに有用なホストの通信を個別に分

2

関連研究
本章では，ダークネットに関連するいくつかの研析することにより，気がついていなかった脅威究を述べる．Moore らは文献 [1] で 2003 年に猛威をを発見できる．

振るった Slammer について詳細な分析を報告してい• 通常の状態では規則的な挙動を示すホスト群のる．彼らがデータ収集に用いた Network Telescope

通信の変化に着目することでグローバルに生じはダークネットに相当するシステムである．Network

る変化を素早く察知できる．

Telescope を用いた分析の結果，Slammer の感染範

• 通常の監視では見逃しているホスト種別の発生を検知することで，異常やトレンドの変化を検出できる．

囲や速度，ワーム感染の成長モデルなどが明らかになり，ダークネット解析の有用性が広く知られることとなった．
井上らが開発した nicter [2] は主としてワーム，上記のような効果を実現する事を狙いとして，本ウィルスなどのマルウェアの流行を検知することを研究では，通信パターンおよび TCP フィンガープリ目的として開発されたダークネット監視システムでントにもとづき，通信源ホストを分類する方法を提あり，ダークネットで観測したデータをインタラク

表 1: ポート毎のパケット数および通信先宛先数．
ポート番号

パケット数

ホスト数

3389
23445
210
1433
80
22
合計

15,667,825
5,575,737
11,189,234
755,173
28,796,095
6,562,386
9,905,674
113,010,088

2,604,647
1,288,656
504,207
500,115
108,60960,96356,3087,564,109

ティブに可視化するツールや統計値が公開されている [6]．

表 2: 通信パターンの定義．宛先 IP アドレスによる分類 (上)，および Point visitor のさらなる分類 (下)．
条件d(h) = 1, p(h) = 1
d(h) = 1, p(h) ≥ 2
2 ≤ d(h) ≤ 10
11 ≤ d(h) ≤ 4085
4086 ≤ d(h) < 4096
d(h) = 4096

パターン名Single-shot (SS)Multi-shot (MS)Low scanner (LS)
Middle scanner (MS)High scanner (HS)Full scanner (FS)

表 3: 通信パターン毎のパケット数およびホスト数．

下田らはダークネットを拡張することで観測可能なデータを収集する方法を提案した [3]．主要なア
イディアは完全に未使用な連続 IP アドレス空間ではなく，利用中の IP アドレスを含む空間からダーパターン名

パケット数SSMSLSMSHSFS

3,764,871
1,381,474
9,428,829
42,503,252
8,335,668
47,595,994

ホスト数
3,764,871
433,356
2,267,450
352,448
1,737
8,323

クネットとして利用可能なアドレスを動的に発見し，ソフトウェア制御によってアクティブにすることである．これにより敵に発見されにくく，かつローカル対象になりやすいポートの一つである．特に後者はスキャンなどの多くの情報を取得可能なダークネッ

2011 年に発生した大規模なワーム (Win32/Morto)

トを構成することでできる．の影響でパケット数，ホスト数ともに数値が高い．

最近報告された Dainotti らの論文 [4] ではダークネットで観測される情報からインターネット上のWin32/Morto については 6.1 節でより詳細な分析を行う．

社会的イベントの分析に利用できることを示している．例えばある国における通信の検閲状況や，東日
本大震災がインターネットインフラに与えた影響分通信源ホストの分類手法

4析などをケーススタディで明らかにしている．また

本章では通信パターンおよび TCP フィンガープ

この仕事ではユニークな IP アドレス数が分析上有リントを用いて通信源ホストを分類する方法を示す．

用であることを示唆している．

4.1

3

分析データの概要

通信パターンによる分類

ダークネットへの通信を試みたホスト h 毎に通信

本研究は MWS 2013 の研究用データセット [7]

宛先 IP アドレス数 d(h) および送信パケット数 p(h)の一部として情報通信研究機構が提供する nicter

を用い，通信のパターンを定義する．ここで d(h)，darknet dataset 2013 [5] を用いる．nicter darknet
dataset は nicter [2] でダークネットを計測したトp(h) ともに 24 時間で観測した数とし，1 日毎に更ラヒックデータであり，2011 年 1 月 1 日から 2013

同一の IP アドレスが観測された場合，それらはユ年 3 月 31 日にかけて pcap フォーマットで計測したニークなホストであると仮定した．表 2 に本研究

パケットキャプチャデータである．本研究では 2011で提案するパターンの定義を示す．また，2 年間の年 1 月 1 日から 2012 年 12 月 31 日までの 2 年間

データすべてに対してパターン毎の統計を集計したのデータを分析対象とする．表 1 に TCP ポート

結果を表 3 に示す．

新する数値である．なお本研究では 24 時間以内に番号別のパケット数とホスト数を示す．パケット数

表より，とくに FS と SS に特徴があることがわとしてはポート番号 1433 と 3389 が支配的である

かる．FS は数としては全観測ホストの約 0.1 パーが，これらはそれぞれ SQL および Remote Desktop

セントにすぎないが，約半分のパケットはこれらのProtocol (RDP) に使われるポートであり，近年攻撃ホストから発生したものである．これらのホストの実体は例えば Nmap [8] 等のスキャニングツールや，侵入を目的としたネットワークスキャン，シーケンシャルにパブリック IP アドレスをスキャンするアルゴリズムを実装したワームなどが該当すると考えられる．一方 SS はホストの数は非常に多いが，パケット数としては全体の約 4 パーセントにすぎない．

SS は Internet Background Radiation (IBR) [9] の一つの例であり，例えば IP アドレス空間をランダムにスキャンするメカニズムを実装したワームの通信が確率的にダークネットに届くケースを含む．SS に着目することにより，そのような性質を持つワームの感染活動を捉えるためのヒントとして利用できる．

4.2

表 4: OS 種別毎のパケット数および通信先宛先数．
OS (TCP/IP stack)
Windows XP
Linux 2.4.x
Windows 7 or 8
Linux 2.6.x
UNKNOWN
Windows NT kernelLinux 2.2.x-3.x
Linux 2.4.x-2.6.x
Nmap
Windows NT kernel 5.x
Linux 2.2.x-3.x (barebone)
Mac OS X 10.x
Linux 3.x
Linux 2.2.x-3.x (no timestamps)
iOS iPhone or iPadOthers

パケット数24,688,827
9,500,473
2,096,792
6,993,572
58,946,615
3,056,833
793,613
1,212,701
2,485,664
172,189
940,342
100,988877,535
212,287
99,892
831,765

ホスト数2,989,658
2,159,861
455,100
442,625
278,020
232,856
121,938
54,99945,33235,61233,43915,825
5,025
2,965
973
4,691

ホスト種別による分類

ホストに関してさらなる情報を得るために OS フィ
ンガープリント [10] を利用する．OS フィンガープ
リントとは，TCP/IP スタックの実装が OS 毎に異なる事を利用して TCP パケットに記録されたヘッホスト分類を用いた通信解析

5

本章では前章で示した 2 つのホスト分類方法を用いて通信データを解析した結果を示す．

ダ情報の特徴から通信源の OS を推定する技術であり，IDS，トラヒックモニタリング，スパム判定などの分野で利用される技術である．本研究では OS

5.1

通信パターンによる解析

フィンガープリントの実装として広く使われている

図 1 にホストを通信パターン別に分類し，トラp0f [11] をダークネットの通信データに適用する．

ヒックを解析した結果を示す．いずれも 24 時間単表 3 に 2 年間のデータすべてに対して OS 毎の位で集計した数値である．全般的にパケット数の変統計を集計した結果を示す．観測されるホストとし動は比較的単調であるのに対し，ホスト数の変動はては，Windows と Linux 2.4.x が支配的であるこ特徴的であることがみてとれる．まずパケット数をとがわかる．しかしながら受信パケット数としては見ると FS，NS によるパケットが割合として高いこ”UNKNOWN” とラベルがついたホストからのもとがわかる．つまり，パケット数を通じて得られるのが多いことがわかる．またこれらはホスト数として時系列の挙動はネットワークプレフィックスに対すは全体の数パーセントにすぎない．”UNKNOWN”

る水平スキャンをしかけている可能性が高いホストはp0f で検知できなかったホストであり，p0f が持つデータベースに登録されている既存 OS と微妙にパラメタが異なるだけものから，まったく新規によって大きく左右される．の TCP/IP スタックを持つと考えられるものまで

2011 年 8 月頃からホスト数が急増したのは 6.1 節様々である．後述するように特定の ”UNKNOWN”で解析する Morto の流行によるものであるが，そホストが大量のパケットを送信することが明らかにの増加は主として SS によるものであることがわかなっている．その他の通信元ホストとして Mac OSる．また全般的にホスト数の増減は主として SS やX や iOS が少なからず存在することがわかる．これらの OS はセキュリティの観点では歴史的にそれLS などパケット送信数が少ないホストの寄与が大きいことがわかる．これらのホストは大量のパケッほど大きな被害を受けてこなかったが，最近のシェトに埋もれてしまう可能性があるので，モニタリン

ア率の高まりやモバイル端末の普及状況を鑑みるとグ時にはそれらのホストの情報を逃さないような注

着目に値する．これらのホストに着目した通信解析意が必要である．例えば主要なルーターで実装されの結果は 6.3 節に示す．ているパケットサンプリングを適用したモニタリン

次に，ホスト数を見ると時系列上にいくつかの特徴的なトレンドを発見することが出来る．例えばグはダークネットにおける観測には向かない.

3e+052e+05

scan typefull
highlow
middlemulti shot
single shot

Number of packets

Number of packets

3e+05

os

2e+05

Linux 2.4.x
UNKNOWN
Windows 7 or 8
Windows XP

1e+05
1e+05

0e+00

0e+00
2011
Jan2011
Apr2011
Jul2011
Oct2012
Jan2012
Apr2012
Jul2011
Jan2012Oct

2011
Apr

2011
Jul2011
Oct

2012
Jan2012
Apr2012
Jul2012
Oct

Time

Time

40000

20000

10000

Number of unique hosts

Number of unique hosts

30000

scan type
fullhighlowmiddle
multi shot
single shotosLinux 2.4.x
UNKNOWN
Windows 7 or 8
Windows XP

20000

10000

00

2011
Jan

2011
Apr

2011
Jul

2011
Oct

2012
Jan2012
Apr2012
Jul2011
Jan

2012
Oct

2011
Apr2011
Jul

2011
Oct

2012
Jan2012
Apr2012
Jul2012
Oct

Time

Time

図 1: 通信パターンによるトラヒック解析．パケッ

図 3: ホスト種別によるトラヒック解析．パケット

ト数 (上) およびユニークホスト数 (下)．

数 (上) およびユニークホスト数 (下)．

生するランダムなパケットが確率的に観測されている現象と予想される．ボットの活動に生じる規則性

7500Number of unique hosts

は人間の行動パターンによると推論出来る．例えば企業や大学のパソコンで感染したボットは週末は人5000が不在であるためパソコンの電源がオフとなり活動を休止する．このような行動様式は世界的に共通であるため，週末に一斉にホスト数が減少するグロー

2500

バルな同期が観測される．一方，2011 年の後半にか2011
Jan2011
Feb2011
Mar2011
Apr2011
May2011
Jun2011
Jul2011
Aug2011
Sep2011
Oct2011
Nov2011Dec

Time

けては Morto が発生した 8 月頃を境に規則性が崩れることがわかる．このように，SS の規則性の破れ

図 2: SS が発生する通信の解析．に着目することでグローバルに活動する大規模ワームの発生を感知することが可能である．

特に SS についてトラヒック変動パターンを示したものが図 2 である．ここで興味深いのは 2011 年の前半では 1 週間を単位とした規則的な変動パター

5.2

ホスト種別による解析ンが見受けられることである．これは安定的にイン

図 3 にホストを OS 種別に分類し，トラヒックをターネット上に存在するボットネット等のホストが発解析した結果を示す．前節と同様にパケット数の変動から 2012 年 7 月から 10 月における Linux のパケット数増加を除いて特徴を発見しにくい．一方，ホスト数のデータはよりトレンドがクリアである．

30000

測される他，Linux の動向や UNKNOWN の増加傾向などがみてとれる．
この図から読み取れる主要なメッセージは，通信を OS 種別に分類することでワーム等のターゲット

Number of packets

前述した Morto が Windows 系 OS の増加として観20000
osno MSS
Windows 7 or 8
Windows XP10000

が一目瞭然になることである．さらに文献 [12, 13]などで報告されているように独自の TCP/IP スタッ
クを持つフルカーネルマルウェアは独自の OS フィン

0

ガープリントを有するケースがある．そのようなホ2011
Jan2011 2011
Feb Mar2011
Apr2011
May2011
Jun2011
Jul2011
Aug2011
Sep

2011
Oct

2011
Nov

2011
Dec

Time

ストの発生や流行を把握するためにはホスト種別に10000よる解析が必須である．ホスト種別に基づく通信解析によって新たに獲得できる情報の例は次章で示す．

ケーススタディ

6

本章では前章で示したフレームワークを使い，様々な観点でダークネットを解析した事例を紹介する．

Number of unique hosts

7500

osno MSS
Windows 7 or 8
Windows XP

5000

2500

0

6.1

3389/TCP の通信解析

2011 年には 3389/TCP を感染経路とし，Windows 系 OS に感染するワームである Morto が流行した．Morto はリモートデスクトップへの接続を試みるワームであるため，ワームが流行することに

2011
Jan

2011 2011
Feb Mar2011
Apr2011
May2011
Jun2011
Jul2011
Aug2011
Sep

2011
Oct

2011
Nov

2011
Dec

Time

図 4: 3389/TCP への通信 (ホスト種別)．パケット数 (上) および宛先アドレス数 (下)．

よって RDP のポート番号である 3389/TCP を利スに通信を試みることが報告されている [14]．この用した通信パケットが急激に増加する．nicter で観ように，通信パターンとホスト種別の情報を用いて測するダークネットにおいても Morto に感染した

ダークネット解析で得られる情報量を増やすことがホストが発生したと考えられる TCP SYN パケッできた．

トが観測された．

一方，上段の 3389/TCP のパケット数は全体的に

図 4 に 3389/TCP への通信をホスト別に分析しは Morto の発生とは無関係な挙動を示している．こた結果を示す．図の下段より宛先アドレス数が 2011

れはホスト種別でパケットを分離して解析すること

年 8 月より急激にスパイク状に増加していることがによって明らかになる．すなわち，図中にある ”noわかる．この観察は Win32/Morto に関するレポー
トで報告されている事実と一致している．ここで注MSS” というホストが定期的に 3389/TCP に対して FS のパターンで通信をする影響があり，Morto目に値するのはそのスパイクの発生に寄与したののパケットが埋もれてしまっている．Windows 系が Windows 系 OS であることが発生の瞬間から一のパケットのみに着目すれば宛先アドレス数の挙動目瞭然であることである．さらにこれらのホストのと類似していることがわかる．この ”no MSS” は大半が SS の通信パターンを有していたことから，Windows 系 OS で動作するランダムスキャンの機

p0f では判定できなかったホスト種別の一つであり，SYN パケットに MSS が設定されていない特徴を持能を有するワームであることがダークネットの観測つ．現在，一般的に使われるモダンな OS で MSS を情報のみを使って推察できる．実際，Morto は感設定しないものは存在しないため，特殊な方法で生染を拡大させる際にランダムに選択した IP アドレ

使って現象の要因を推察した結果を示す．まず通信元ホストが一律に Linux であること，および IP アドレスが多岐に渡っていることから，一般家庭に存
Number of unique hosts

15000

在する Linux 系デバイスの可能性がある．また通信先のポートが 23/TCP (telnet) であることから，自os

10000Linux 2.2.x−3.xLinux 2.4.x
Linux 2.6.x
UNKNOWN
Windows XP

らも 23/TCP を使うデバイスである可能性が高い．
以上の 2 点を総合するとファームウェアが Linux OSで実装された家庭用ブロードバンドルーターをター5000ゲットとしたワームである可能性があると推察できる．そのような性質を持つワームは過去に存在し，その一例は Psyb0t [16] である．

02012
Jan2012
Feb2012
Mar2012
Apr2012
May2012
Jun2012
Jul2012
Aug2012
Sep2012
Oct2012
Nov2012
DecTime

上記の仮説を検証するためには，Honeypot 等，実ネットワークで同様の性質を持つパケットを分析す

図 5: 23/TCP に対する SS ホストの通信解析．

る手法が有効であると考えられる．今回の解析ではそのようなアクティブな分析をする際にとっかかり成されたパケットであることが予想される．そのような事例のひとつはスキャン活動を行うために開発となる情報として，OS 情報や通信パターンの情報をダークネット通信データから獲得することが出来た．

されたパケット生成ツールである．そのようなツー
ルは MSS を適切に設定することで通信効率を向上

6.3Apple 系端末の通信解析する必要性が低いことが一要因であろう．現在広く使われているスキャンツールのひとつである Nmap

最後にセキュリティ対策上は現在あまりフォーカ

はかつて MSS をつけていない時期があったが，現スされていない Apple 系端末の通信解析を行った

状のバージョンでは正しく MSS を設定している．

結果を示す．図 6 は Mac OS X および iOS の通信以上で示したような通常の OS とは異なる種別の解析結果である．Mac OS X に関しては特筆すべきホストから発生したパケットを分離して分析するこ点は見受けられないが，iOS に関しては面白い観察とによって事象のトレンド把握や異常検出の精度が結果を得た．

向上することが期待できる．

まず驚くことに，図の上段より iOS デバイスが2012 年 10 月から 1 月にかけて何度かにわたったフルスキャンを行った形跡がある (4,096 パケットは

6.2

23/TCP の通信解析

図 3 において，2012 年の年末にかけて Linux 系/20 空間に対して 1 アドレスにつき 1 パケットを送信したパターン)．この事象の可能性として (1) iOS端末の数が急増した現象がみてとれる．さらに通信に実装されたスキャンアプリ，(2) iOS で動作するパターン解析を適用した結果，この増加は主としてアプリの誤動作，(3) iOS を偽装したスキャンツー

23/TCP への通信パターン SS によるものであることが判明した．図 5 にパターン SS を持つホストにル，などが考えられる．少なくとも iOS に関連するアクティビティがダークネットにまで届くように

よる 23/TCP への通信解析結果を示す．グラフよなってきた．

り，Linux が主たるホストであること，およびスパiOS のアクティビティの増加は図の下段からもわ
かる．2011 年時点では 1 日に観測される iOS 端末数はほぼ 0 か存在しても 1 であったが，2012 年 9 月イクが生じる少し前から同様のパターンを有する通信が存在していることがわかる．
この時期における 23/TCP への通信ホストの増以降，1 日あたり 10 前後の端末が観測されるよう

加は SANS のサイトでも確認できるが [15]，著者になった．依然として全体からすると完全に埋もれらの知る限りその事象を説明したレポートは現時点てしまう信号であるが，2013 年 6 月時点で販売台数で報告されてない．したがって現時点でこの現象を累計が全世界で 6 億台を越える [17] iOS デバイス引き起こした要因に関する確証はまったく無い．以が持つインパクトは大きいので，今後継続した監視下では我々の解析によって得られた状況証拠のみをを行うに値する観測対象であろう．

参考文献[1] D. Moore, V. Paxson, S. Savage, C. Shannon, S. Staniford, and N. Weaver, “Inside the slammer worm,” Security & Privacy, IEEE, vol. 1, no. 4, pp. 33–39, 2003.

4000

Number of packets

3000

osiOS iPhone or iPadMac OS X 10.x

2000

[2] D. Inoue, M. Eto, K. Yoshioka, S. Baba, K. Suzuki,
J. Nakazato, K. Ohtaka, and K. Nakao, “nicter: An
incident analysis system toward binding network monitoring with malware analysis,” in WOMBAT Workshop on Information Security Threats Data Collectionand Sharing, pp. 58–66, IEEE, 2008.
[3] A. Shimoda, T. Mori, and S. Goto, “Extended darknet: Multi-dimensional internet threat monitoring system.,” IEICE Transactions, vol. 95-B, no. 6, pp. 1915–1923, 2012.

100002011
Jan2011
Apr2011
Jul2011
Oct

2012
Jan2012
Apr2012Jul[4] A. Dainotti, R. Amman, E. Aben, and K. Claﬀy, “Extracting benefit from harm: using malware pollution toanalyze the impact of political and geophysical eventson the Internet,” ACM SIGCOMM Computer Communication Review (CCR), vol. 42, pp. 31–39, Jan
2012.

2012
OctTime80[5] “nicter darknet 2013.” http://www.iwsec.org/mws/2013/files/nicterdarknet_Dataset_2013.pdf.

Number of unique hosts

60[6] “nicterWeb.” http://www.nicter.jp.
os
iOS iPhone or iPad
Mac OS X 10.x

40[8] G. F. Lyon, Nmap Network Scanning: The Oﬃcial
Nmap Project Guide to Network Discovery and Security Scanning. USA: Insecure, 2009.

2002011
Jan[7] 神薗雅紀他, “マルウェア対策のための研究用データセッ
ト 〜MWS Datasets 2013〜.” MWS 2013 http://www.
iwsec.org/mws/2013/, Oct 2013.

2011
Apr2011
Jul2011
Oct

2012
Jan2012
Apr2012
Jul2012
OctTime

図 6: Apple 系端末の通信解析．パケット数 (上) お
よび宛先アドレス数 (下)．

[9] E. Wustrow, M. Karir, M. Bailey, F. Jahanian, andG. Huston, “Internet background radiation revisited,”in Proceedings of the 10th ACM SIGCOMM conferenceon Internet measurement, IMC ’10, (New York, NY,USA), pp. 62–74, ACM, 2010.
[10] G. Taleck, “Ambiguity Resolution via Passive OS Fingerprinting,” in Recent Advances in Intrusion Detection, vol. 2820, ch. 11, pp. 192–206, 2003.
[11] “p0f.” http://lcamtuf.coredump.cx/p0f.shtml.

まとめ7

本研究はダークネットにパケットを送信するホス
トを通信パターンおよびホスト種別で分類することでダークネットのトラヒックデータからより多くの情報を獲得する方法を提案した．4,096 個のアドレスで構成されるダークネットを 2 年間に渡って計測した通信データを用いて提案手法の有効性を確認した．通信パターンのより詳細な分類，通信パターン同定のオンライン化，未知のシグネチャを持つホス[12] 木佐森幸太, 下田晃弘, 森達哉, and 後藤滋樹, “TCP フィ
ンガープリントによる悪意のある通信の分析,” 情報処理学会論文誌, vol. 52, pp. 2009–2018, jun 2011.
[13] T. Mori, H. Esquivel, A. Akella, A. Shimoda, andS. Goto, “Understanding large-scale spamming botnets
from internet edge sites,” in Proc. of CEAS 2010, 2010.
[14] G. Keizer, “New Windows worm spreads by attacking
weak passwords.” http://www.computerworld.com/
s/article/9219555/New_Windows_worm_spreads_by_attacking_weak_passwords, Aug 2011.
[15] SANS Internet Storm Center, “Port details: Port 23.”https://isc.sans.edu/port.html?port=23.

トの解明は今後の課題である．

[16] Baume, Terry, “Netcomm NB5 Botnet ― PSYB0T2.5L.” http://www.baume.id.au/psyb0t/PSYB0T.pdf?
info=EXLINK.

謝辞[17] Zack Whittaker, “WWDC ’13:
Apple keynote,bythenumbers.”
http://www.zdnet.com/
wwdc-13-apple-keynote-by-the-numbers-7000016583/.

貴重なデータセットを研究コミュニティに貢献頂いた
情報通信研究機構 ネットワークセキュリティ研究所 サイバー
セキュリティ研究室の諸氏に感謝します．