Computer Security Symposium 201119-21 October 2011

多種多様な攻撃に用いられる IP アドレス間の相関解析
千葉 大紀 †

八木 毅 ‡

秋山 満昭 ‡森 達哉 ††後藤 滋樹 †† 早稲田大学基幹理工学研究科 169-8555 東京都新宿区大久保 3-4-1{chiba,goto}@goto.info.waseda.ac.jp‡NTT 情報流通プラットフォーム研究所 180-8585 東京都武蔵野市緑町 3-9-11{yagi.takeshi,akiyama.mitsuaki}@lab.ntt.co.jp††NTT サービスインテグレーション基盤研究所 180-8585 東京都武蔵野市緑町 3-9-11
mori.tatsuya@lab.ntt.co.jp
あらまし マルウェアの活動による攻撃は，日々複雑化や高度化が進んでいる．それに伴い，マルウェアの攻撃対象は OS の脆弱性だけではなく，Web ブラウザや Web アプリケーションの脆弱性にまで及んでいる．このような多種多様な攻撃を特定・分析するために，攻撃対象に応じたハニーポットが研究開発され，攻撃情報が収集されている．しかし，配置可能な各ハニーポット数にはコストに起因した限界があり，より効率的に攻撃情報を収集する必要がある．そこで本稿では，特定の IP アドレスが複数種類の攻撃に使用される可能性に着目し，多種多様なハニーポットで収集した IP アドレスを横断的に解析する技術を提案するとともに，IP アドレス間の特性を調査した結果を報告する．

Correlation Analysis Between IP Addresses Usedin Variety of Attacks
Daiki Chiba†

Takeshi Yagi‡

Mitsuaki Akiyama‡
Shigeki Goto†

Tatsuya Mori †††Graduate School of Fundamental Science and Engineering, Waseda University
3-4-1 Okubo, Shinjuku-ku, Tokyo 169-8555, JAPAN{chiba,goto}@goto.info.waseda.ac.jp‡NTT Information Sharing Platform Laboratories
3-9-11 Midori-cho, Musashino-shi, Tokyo 180-8585, JAPAN{yagi.takeshi,akiyama.mitsuaki}@lab.ntt.co.jp††NTT Service Integration Laboratories 3-9-11 Midori-cho, Musashino-shi, Tokyo 180-8585, JAPANmori.tatsuya@lab.ntt.co.jp

Abstract Malware now attacks not only vulnerabilities in the Windows operating system, butalso those of web applications on servers and web browsers on personal computers. To collectattack information for protective use, many types of honeypots have been developed. However,attack information that can be collected by each type of honeypot is limited, so it is necessary tocollect it more eﬃciently. Our proposal performs correlation analysis of IP address structures inattack data collected by various types of honeypots, and detects IP addresses of attackers which
are used for various attacks. Using IP addresses allows us to detect certain types of malware
infection attacks eﬃciently.

- 185 -はじめにアドレスを特定できる．また，Web アプリケーションへの攻撃を収集する Web サーバ型ハニー
近年，マルウェア感染において攻撃対象とな
ポット [4] では，マルウェアに加え，攻撃元のる脆弱性が多様化している．従来，OS の脆弱性
IP アドレスと，攻撃対象にマルウェアをダウンを対象とする攻撃が多かったが，Web ブラウザロードさせるためのマルウェアダウンロードサの脆弱性を対象とした端末への攻撃や，Web ア
イトの IP アドレスや URL を収集できる [5]．一プリケーションの脆弱性を対象としたサーバへ方，Web ブラウザへの攻撃を収集する Web クの攻撃が増加している [1]．これらの攻撃への対ライアント型ハニーポット [6] では，Web サイ策に向けて，各脆弱性に対応した多種多様なハトを巡回することで，アクセスした際にリダイニーポットで攻撃を収集する必要がある．さらレクトさせられる Web サイトや攻撃を送信すに，攻撃の多様化はマルウェア感染が成功する
る Web サイトの URL や IP アドレス [7] を収集確率を高めており，攻撃者に悪用されるボットできる．の数も増加している．一方，設置可能なハニー各ハニーポットで収集した情報は，ユーザ環ポット数はコスト的に制限される．このため， 境とインターネット間に配置されるセキュリティ複数種類のハニーポットから効率的にボットのアプライアンスにおいて，ブラックリスト情報情報やマルウェア検体を収集する必要がある． として活用できる．例えば，Web クライアント
そこで本稿では，特定の IP アドレスが複数種を収容するセキュリティアプライアンスでは，類の攻撃に使用される可能性に着目し，多種多Web クライアント型ハニーポットで収集した様なハニーポットで収集した IP アドレスを横URL や IP アドレスとの通信をフィルタする．
断的に解析する技術を提案するとともに，IP ア
また，Web サーバを収容するセキュリティアプドレス間の特性を調査した結果を報告する．
ライアンスでは，Web サーバ型ハニーポットで収集した URL や IP アドレスとの通信をフィルタする．さらに，各ハニーポットで収集した検2 ハニーポットによる攻撃情報の体をマルウェア動的解析器 [8] を用いて解析す収集ることで，Command and Control (C&C) サー
バの URL や IP アドレスをブラックリスト情報
2.1 多種多様なハニーポットの構成として特定できる．
マルウェア感染攻撃では，攻撃対象の脆弱性によって攻撃方法が異なる．このため，図 1 に2.2 ハニーポットで収集した攻撃者 IP
示すように，多種多様なハニーポットを用いる
アドレス分布の調査ことで各種攻撃情報を収集する．

1  !"    !"
 #$!" 

図 1: 攻撃情報収集

Windows OS への攻撃を収集するハニーポッ
ト [2][3] では，マルウェアに加え，攻撃元の IPあるハニーポットで収集した URL や IP ア
ドレスが，複数種類の攻撃に使用されていれば，一種類のハニーポットで収集した情報を複数種類の攻撃に共通したブラックリスト情報として効率的に活用できる．そこで，複数種類の攻撃で使用される IP アドレスの有無を確認するために，Windows OS 対応ハニーポット DenDenHoney[3] と Web クライアント型ハニーポッ
ト Marionette[6] と Web サーバ型ハニーポット
Web Phantom[5] で収集した攻撃元 IP アドレス，悪性 Web サイトの IP アドレスおよびマルウェアダウンロードサイトの IP アドレスの一- 186 -表 1: 分析対象の攻撃者 IP アドレス概要
データセットDenDenHoney (DDH)
Marionette (Mari)
WebPhantom (WPa)
WebPhantom (WPm)

収集した攻撃情報
WinOS への攻撃元 IP アドレス
悪性 Web サイトの IP アドレス
Web サーバへの攻撃元 IP アドレス
Web サーバからの誘導先 IP アドレス致性を調査した．これらの IP アドレスの総称
を攻撃者 IP アドレスと定義する．各ハニーポッ
トで収集した攻撃者 IP アドレスの概要を表 1に示す．さらに，各ハニーポット間で重複して観測された攻撃者 IP アドレス数を表 2 に示す．
表 2 に示すように，393 の IP アドレスが複数種類のハニーポット間で重複して観測されていた．この結果，複数の攻撃に共通的に使用される攻撃者 IP アドレスの存在を確認できた．しかし，複数種類の攻撃に対するブラックリストを一種類のハニーポットで効率的に生成するためには，あるハニーポットで収集した攻撃者 IP
アドレスが異なる種類のハニーポットで収集される可能性を推定する手法が必要となる．

収集期間
2011-05-10〜2011-07-21
2010-11〜2011-02
2009-12-24〜2011-07-24
2009-12-24〜2011-07-24

IP アドレス数
21,111
12,2455,912992

具体的には，各ハニーポットで収集した IP アドレスを，ヒルベルト曲線に基づく 2 次元グラフ上に配置した．さらに，2 次元グラフ上のマンハッタン距離に応じて攻撃者 IP アドレスをクラスタリングし，異なるハニーポットで収集した攻撃者 IP アドレスが混在するクラスタの特徴を調査した．詳細を以下に示す．

3.2

攻撃者 IP アドレスの 2 次元グラフ化

ヒルベルト曲線は，再帰的に定義される空間充填曲線である．ヒルベルト曲線は，U 字型の形状を基本図形として，図 2 に示すように，以下の式の再帰的な組み合わせで描画される．
DRU(n) = RDL(n-1) ↓ DRU(n-1) → DRU(n-1) ↑ LDR(n-1)

表 2: 重複 IP アドレス数
DDHMari
WPa
WPm

3

DDH-Mari
56-

WPa
1876-

LUR(n) = ULD(n-1) ← LUR(n-1) ↑ LUR(n-1) → DRU(n-1)
ULD(n) = LUR(n-1) ↑ ULD(n-1) ← ULD(n-1) ↓ RDL(n-1)

WPm
2
157
96
-

RDL(n) = DRU(n-1) → RDL(n-1) ↓ RDL(n-1) ↓ ULD(n-1)
D:Down, L:Left, R: Right, U: Up

ここで，n はヒルベルト曲線の次数を示しており，式中の矢印は各方向への線分の描画を示している．

   

異なるハニーポットで収集したIP アドレス間の相関解析
3.1

図 2: 描画ルール

概要

本稿では，IP アドレス間の構造的な距離に着目し，異なるハニーポットで収集した IP アドレスが密集する領域の IP アドレスは，複数のハニーポットで観測される可能性が高いと推測した．そこで，異なるハニーポットで収集した攻撃者 IP アドレスの近接性と特徴を調査した．

ヒルベルト曲線上への IP アドレスの配置に関しては，IP アドレスの隣接構造を保持しつつ近傍の IP アドレスを空間的に近い順に配置する手法 [9] が検討されている．本稿では，IPv4アドレスの第 1〜3 オクテットの情報を 12 次の- 187 -

x.y.231.30 Mari

x.y.231.57 Mari

x.y.231.127 Mari

x.y.230.228 DDH

x.y.230.89 DDH

x.y.230.209 DDH

x.y.230.195 Mari

x.y.230.171 Mari

x.y.228.93 Mari

x.y.228.231 Mari

x.y.230.171 WPm x.y.228.108 WPa

ただし，IP アドレスが距離的に隣接していたとしても，複数の AS に割り当てられた各 IP アドレスの特徴はネットワーク構造的に異なる．そこで，点 A と点 B に相当する IP アドレスが異なる AS 番号を持つ場合は d(A, B) = ∞ とすることで，ネットワーク構造を距離に反映させる．距離に基づいて IP アドレスをクラスタリングし，異なるハニーポットで収集した IP アドレスが混在するクラスタを調査する．本稿で適用した階層的クラスタリングの手順を以下に示す．ここでクラスタ間の距離は，最遠隣法を用いて定義する．最遠隣法とは，各クラスタから抽出した IP アドレスの最長距離をクラスタ間の距離とする方法である．
1. IP アドレス間の距離 d を計算する．
2. 距離 d が最小の IP アドレス間でクラスタを生成する．

x.y.234.148 DDH|ai − bi |i=1

x.y.228.108 WPmk∑

x.z.234.19 Marid(A, B) =02 次元グラフ上に IP アドレスを配置することで，IP アドレス間の距離を座標によって定義できる．本稿では，ヒルベルト曲線を用いた格子上に IP アドレスを配置していることから，距離関数としてマンハッタン距離を適用する．k 次元ベクトル点 A(a1 , a2 , · · · , ak )，点 B(b1 , b2 , · · · , bk )があるとき，AB 間のマンハッタン距離 d は次式で定義できる．

x.y.8.14 Mari

攻撃者 IP アドレスのクラスタリング

x.z.20.153 Mari

3.3

x.y.224.60 Mari

図 3: IP アドレスのヒルベルト曲線上への配置

x.z.234.7 Mari  

x.z.234.14 Mari x.z.20.168 Marix.z.233.240 WPm  2520  

15      y

10x3. 生成したクラスタと他クラスタおよび他 IPアドレスに対して，距離が最小の 2 つを結合してクラスタを生成する．
4. すべてのクラスタ，IP アドレスが結合されるまで 1〜3 を繰り返す．
上記のクラスタ形成過程の一部を図 4 に示す．
図 4 では，縦軸が IP アドレス間の距離 d を示しており，横軸に IP アドレスを配置し，距離3 において縦軸で各 IP アドレスを結合することで，デンドログラムを生成している．ここで，距離に応じて木構造を分割し，一定の距離以内の IP アドレス群をクラスタとして抽出する．各クラスタに異なるハニーポットで収集した攻撃
者 IP アドレスが混在する場合，このクラスタを混在クラスタと定義し，異なる種類の攻撃が近傍の IP アドレスを用いて実施されていると判断する．

5

ヒルベルト曲線上に配置することで 2 次元グラフを作成する．配置結果の一部を図 3 に示す．



図 4: クラスタ形成過程の例

4

攻撃者 IP アドレスの分析

4.1

概要

提案の相関解析では，クラスタ化する IP アドレス間の距離に応じて，クラスタ内の IP アドレスの特性が変化する．そこで，距離に応じたクラスタ数とクラスタ内 IP アドレス数の変化を調査した．なお，今回は，表 1 に示すデータを用いた評価実験 1 と，CCC DATAset 2010・- 188 -2011[10] と D3M 2010・2011[10] を用いた評価実験 2 を実施した．評価実験 2 で用いた IP アドレスの概要を表 3 に示す．さらに，Windows OSへの攻撃を収集した結果である CCC DATAsetと Web クライアントへの攻撃を収集した結果である D3M において重複した IP アドレス数を表 4 に示す．
表 3: 各データセットの IP アドレス数
データセット
CCC2010
CCC2011
D3M2010
D3M2011

収集期間
2010-03
2011-01
2010-03
2011-02

IP アドレス数
13,3378,775257151

して観測される可能性が高い IP アドレスを効率的に抽出できると考えられる．なお，表 6 では表 5 のような現象を確認できない．これは，
表 1 と表 3 に示すように，データ内に含まれるIP アドレス数が異なっているためだと考えられる．以上から，相関解析の対象となる IP アドレス数に応じて，適切な距離で IP アドレスをクラスタリングすることで，異種ハニーポット間で重複して観測される可能性が高い IP アドレスを効率的に抽出できると考えられる．
表 5: 評価実験 1 結果

距離012345678910

表 4: 重複する IP アドレス数

CCC2010
CCC2011
D3M2010
D3M2011

CCC
2010
-

CCC
2011
24-

D3M
2010
20-

D3M
2011
0020-

総クラスタ数
24,295
21,48018,963
17,172
15,732
14,625
13,761
13,08812,451
11,88011,429混在クラスタ数
1,183
1,722
2,1222,294
2,388
2,445
2,466
2,456
2,438
2,4402,430

混在クラスタ内
総 IP アドレス数
4,058
6,075
7,951
9,411
10,567
11,50912,245
12,783
13,187
13,747
14,177

表 6: 評価実験 2 結果

4.2

実験結果

各評価実験において，クラスタ化する際の距離に対する，総クラスタ数や混在クラスタ数および混在クラスタ内の総 IP アドレス数を調査した結果を表 5 と表 6 に示す．一般的に，距離の増加に伴ってクラスタ内の IP アドレスは増加する．このため，距離に対して，総クラスタ数は単調減少し，混在クラスタの発生確率は単調増加する．表 5 では，距離 6 において混在クラスタ数が最大値を示している．これは，1 つの混在クラスタ中に含まれる IP アドレス群の範囲が広がり，全体の混在クラスタ数が減少したためだと考えられる．さらに，表 5 では，混在クラスタ内の総 IP アドレス数は距離に応じて増加している．総 IP アドレス数の増加は，異種ハニーポット間で重複して観測される可能性が低い IP アドレスが混在する原因となる可能性もある．このため，距離 6 によってクラスタリングすることで，異種ハニーポット間で重複

距離
0
123
4
56
78
9104.3

総クラスタ数
15,61913,073
11,119
9,667
8,608
7,823
7,179
6,671
6,217
5,846
5,527

混在クラスタ数
91011
16
1720
2325
272731

混在クラスタ内
総 IP アドレス数3539
4461687885
94100100112

考察

本調査により，攻撃者が使用する IP アドレス空間において，複数のハニーポットで収集した攻撃者 IP アドレスが密集する空間の存在が明らかになった．この現象は，特定の IP アドレス空間における，複数種類のマルウェア検体への多重感染や，攻撃者によるボットの有効活用に起因- 189 -して発生しているものと考えられる．データセッ
トの IP アドレス数が示すように，各ハニーポッ
トで収集できる攻撃者 IP アドレス数には大きな偏りがある．具体的には，近年脅威が増大している Web ブラウザや Web アプリケーションの脆弱性を対象とした攻撃と比較して，WindowsOS の脆弱性を対象とした従来の機械的な攻撃件数が非常に多い．このため，Windows OS の脆弱性への攻撃を送信する IP アドレスに対して提案の相関解析を適用することで，悪性 Webサイトやマルウェアダウンロードサイトおよびマルウェア検体などの攻撃者情報を効率的かつ効果的に収集できる可能性が高いと考えられる．

5room/whitepapers/malicious/botsbotnet-overview 1299
[2] Dionaea, http://dionaea.carnivore.it/[3] 青木一史, 川古谷裕平, 秋山満昭, 岩村誠,針生剛男, 伊藤光恭. ”能動的攻撃と受動的攻撃に関する調査および考察,” 情報処理学会論文誌, Vol.50, No.9, pp.2147-2162,
Sep 2009．
[4] The Honeynet Project, ”Web Application
Honeypot,”
http://www.honeynet.org/gsoc/project8[5] T. Yagi, N. Tanimoto, T. Hariu
and M. Itoh, ”Design of ProviderProvisioned Website Protection Scheme
against Malware Distribution,” IEICE
TRANS.COMMUN., VOL.E93-B, NO5,
pp1122-1130, May, 2010.

おわりに

本稿では，様々な脆弱性を対象とした多種多様な攻撃への対策を効率的かつ効果的に実現するために，異なるハニーポットで収集した IP アドレスの相関性を解析した．
ヒルベルト曲線に基づき攻撃者が使用する IP
アドレスを 2 次元グラフ上に配置し，マンハッタン距離に応じてクラスタリングすることで，異なるハニーポットで収集した IP アドレスが混在する可能性が高い IP アドレス空間を抽出できた．さらに，効率的な抽出に向けて，クラスタリングの際に適用すべき最適なマンハッタン距離が存在する可能性を特定できた．
本提案の相関解析などを利用し，WindowsOS の脆弱性への攻撃の情報を用いて，Web ブ
ラウザや Web アプリケーションに対する攻撃への対策を加速させることで，多種多様な攻撃からユーザを保護可能なネットワークを構築できると考えられる．

[6] M.Akiyama,
K.Aoki,Y.Kawakoya,
M.Iwamura and M.Itoh, ”Design andImplementation of High Interaction
Client Honeypot for Drive-by-download
Attacks,” IEICE TRANS.COMMUN.,
VOL.E93-B, NO5, pp1131-1139, May,
2010.
[7] 独立行政法人情報処理推進機構, ”Gumblar 攻 撃 に 対 す る 技 術 の 現 状 と 課 題,”
http://www.ipa.go.jp/security/fy22/reports/tech1-tg/a 07.html[8] 青木一史, 川古谷裕平, 岩村誠, 伊藤光恭,”半透過性仮想インターネットによるマルウェアの動的解析,” マルウェア対策研究人
材育成ワークショップ 2009, 2009 年 10 月.

謝辞[9] B. Irwin and N. Pilkington, ”High Level
Internet Scale Traﬃc Visualization Using Hilbert Curve Mapping,” VizSEC,
pp147–158, 2007.

本研究は，NTT 情報流通プラットフォーム研究所での実習において得られた成果である．

参考文献[1] SANS, ”Sans institute infosec reading
room,”
http://www.sans.org/reading[10] 畑田充弘, 中津留勇, 秋山満昭, ”マルウェア対策のための研究用データセット 〜MWS
2011 Datasets〜”，MWS2011, 2011 年 10月.

- 190 -