マルウェア対策のための研究⽤データセット〜MWS Datasets 2018 〜
⾼⽥ 雄太, 寺⽥ 真敏, 松⽊ 隆宏
笠間 貴弘, 荒⽊ 粧⼦, 畑⽥ 充弘(MWS 2018 実⾏/企画委員)

1

はじめに
n 本発表では、マルウェア対策研究コミュニティである

MWS が提供する研究⽤データセット〜MWS Datasets 2018〜を紹介させていただきます。

n ⽬次

l 背景
l MWS について
l MWS データセット 2018 の内容/利⽤
l MWS の活動
l おわりに2背景：複雑化するサイバー攻撃
n マルウェアを悪⽤したサイバー攻撃による脅威

l Drive-by Download 攻撃l Advanced Persistent Threat (APT) 攻撃l ボットネットを利⽤した企業および国家間での DDoS 攻撃
l IoT (Internet of Things) マルウェアからの攻撃 など

n マルウェア対策研究は盛んに⾏われているが、攻撃の複雑化が進みサイバー攻撃の観測はより困難に3マルウェア対策研究
n 研究開発サイクルを加速させ、⽇々進化するサイバー攻撃に対抗

l サイクルの循環を始めるには？加速させるには？

攻撃

マルウェア

データ

観測

蓄積

検知技術
観測技術
解析技術

実態調査
開発
フィード
バック

検証・評価

4

研究開発サイクルを加速させるために
n 各フェーズをサポートする情報やツールは充実化

l 既存データセットは「継続性」や「網羅性」に⽋けていたり、取得が困難であったり等の課題が存在研究の促進や成果の客観的な評価に、共通のデータが必要

攻撃

研究⽤
データセット

マルウェア

データ

観測
オープンソース
ツール
GitHubDocker Hub
Honeynet Project
SourceForge ...

検知技術
観測技術
解析技術

蓄積

実態調査
開発
フィード
バック

検証・評価

MALICIA datasets
contagio
EMBER…

途中で提供中⽌ということも論⽂
ホワイトペーパー
学術系会議
IEEE S&P, ACM CCS
NDSS, USENIX Sec
産業系会議
Black Hat, DEFCON

5

マルウェア対策研究⼈材育成
ワークショップ (MWS)n マルウェア対策研究コミュニティである MWS を組織研究サイクルを継続的に回すことで研究活動を推進、研究開発した技術等の共有により⼈材育成を含む本研究分野の発展に寄与
ü 研究⽤データセットの提供: MWS データセット
ü 研究成果の共有: MWS 20XX
本発表ではデータセットü 切磋琢磨する環境の提供: MWS Cup
を中⼼にご紹介

攻撃マルウェア
データ

MWS Cup

検知技術
観測技術
解析技術

MWS
データセット

実態調査
検証・評価

MWS 20XX

6MWS データセット 2018 の内容
n 提供されるデータセットは１０種類
n 2018年に更新のあるデータセットは５種類
データセット名08

ボット観測⽤攻撃通信/攻撃元/
マルウェア検体 CCC DATAset✓ ✓ ✓ ✓ ✓ ✓(サイバークリーンセンター)

ウェブ感染型マルウェアデータ
D3M Dataset (NTT)
マルウェア感染後の通信データ
PRACTICE Dataset
DRDoS 攻撃の観測データ
PRACTICE (AmpPot) Dataset
マルウェア動的解析ログデータ
FFRI Dataset (FFRI)
ダークネットトラフィックデータ
NICTER Dataset (NICT)
攻撃者活動観測データ
BOS Dataset (⽇⽴)
NCD in MWS Cup 2014(MWS)
⼀般的な通信を想定したデータ
マルウェア動的解析ログデータ
Soliton Dataset (ソリトン)
MWS Cup Dataset

09

10111213

1415161718✓ ✓ ✓ ✓ ✓ ✓✓✓✓ ✓ ✓ ✓ ✓ ✓✓ ✓ ✓ ✓ ✓ ✓✓ ✓ ✓ ✓ ✓✓✓7✓

BOS Dataset 2018
n 攻撃者⾏動視点で脅威を特徴付けるデータセットl 攻撃者が標的組織内でどのような操作をしたのか、どのようなファイルにアクセスしたのかを監視可能

n BOS の観測環境

l 組織内 NW を模擬した動的活動観測環境を構築

8

BOS Dataset の主な内容
n マルウェア検体のハッシュ値

l 観測に使⽤したマルウェア検体のハッシュ値をSTIX 形式 (Structured Threat Information eXpression;
脅威情報構造か記述形式) で記載したファイル

n 通信観測データ

l マルウェア検体実⾏時の通信キャプチャデータ

n プロセス観測データ

l マルウェア検体を実⾏したクライアントでのプロセスの稼働状況を記録したデータ

n その他

l Windows のイベントログ、プロキシログ※注：動的活動観測のケースごとに提供する観測データは異なる。

9

FFRI Dataset 2018
n 2013 から 2017 まではマルウェアの動的解析ログ
l FFRI が収集したマルウェア検体の動的解析ログ

ü 2013年:約2,600、2014年:約3,000、2015年:約3,000検体、2016年:約8,000、2017年:約6,200

n 2018 からはマルウェアの表層解析ログ

l ユーザアンケートを通じて、マルウェアの表層解析ログへ変更
l 悪性データ約29万検体、良性データ約21万検体
ü 良性データも提供することで、検知率＋誤検知率の計算を可能に

10

FFRI Dataset のデータ項⽬
n 1検体1⾏の csv ファイルn 収集⽇

n 各種ハッシュ値
n 表層情報 (詳細は原稿参照)
l 32bit/64bit
l DLL or notl パッキング 有無
l Anti-debug 有無
l GUI/CUIl PEiDl ファイル種別
l ヘッダダンプ

11

NICTER Dataset 2018n ダークネットトラフィックデータ

l /20 (約4,000アドレス) のダークネットトラヒック
l ダークネット ＝ 未使⽤IPアドレス
ü 通常はダークネットにはトラフィックは届かない

l データ形式は pcap + DB
l 観測期間は2011年4⽉1⽇から現在までの７年間＋α

n スパムメールデータ

l NICT のメールサーバに届いたダブルバウンスメール
l ダブルバウンスメール：ü 送信元/宛先メールアドレスアカウントが存在しない場合に発⽣ü エラーメールが⼆通やり取りされる

l データ形式はメールファイル
l 観測期間は2015年1⽉1⽇から現在までの３年間＋α

12ダークネットの観測状況
nあ13Soliton Dataset 2018
n セキュリティログ取得製品導⼊環境におけるマルウェアの動的解析ログ

l Soliton が収集したマルウェア計117検体の動的解析ログ
l 2017年1⽉〜2018年2⽉に話題になった OlympicDestroyer
Petya, WannaCry 等のマルウェアが対象

マルウェア実行環境（隔離された物理環境）

Soliton Dataset 2018

Log
hashPEfile
impfuzzy14

Soliton Dataset の主な内容
n 製品のログファイル

l Key=Value 形式の通常/詳細ログ
l １検体３０分実⾏（延⻑含む）

n sysinfo

l 各マルウェア実⾏時の環境情報

n impfuzzy, PEfilel 各マルウェア検体ごとの結果

n その他

l ドキュメントやログ変換ツール

15

MWS Cup Dataset 2018
n 昨年の MWS Cup 2017 に参加したチームが収集したデータセットも提供

n Alkanet データセット

l システムコールトレーサ “Alkanet” によるマルウェアの動的解析ログ
l システムコールログと解析サマリー結果を含む

n Jinkai Dataset 2017l 独⾃ハニークライアントで収集した Drive-by Download
攻撃に関連するトラヒックデータ
l 巡回 URL やスクリーンショット、pcap ファイルを含む

16

MWS データセットの利⽤
n 契約形態：MWS 組織委員会をハブとした利⽤⼿続きl 事務局 [csecreg@sdl.hitachi.co.jp] へコンタクト
MWS組織委員会
研究代表者から覚書／同意書受領

研究代表者の管理下で覚書/同意書に沿って研究⽤データセットを使⽤研究者・学⽣研究者・学⽣

研究代表者
研究⽤データセット
活⽤WG
研究⽤データセット毎の使⽤契約

研究者・学⽣17データセットを活⽤することで...
n 「技術」の「創出」および「検証・評価」を実施

l MWS20XX: 研究成果の共有 (論⽂の書き⽅、研究発表)
l MWS Cup: 切磋琢磨する環境 (実⽤的な技術やツールの発掘)
攻撃

MWS
データセット

マルウェア

データ

観測
MWS Cup

検知技術
観測技術
解析技術

蓄積
実態調査
開発
フィードバックMWS20XX

検証・評価18

マルウェア対策研究⼈材育成
ワークショップ (MWS)n MWS20XX: 研究者コミュニティが提供するデータセットを活⽤する産学官連携の学術系ワークショップl 研究成果を共有する場として2008年から開催

ü 攻撃解析、マルウェア解析、Android 解析、ダークネット解析とデータセットに関連する発表が多数
ü MWS2018 は、2018年10⽉22⽇〜10⽉25⽇⻑野県⻑野市
にて開催; https://www.iwsec.org/mws/2018/

沖縄
2008

岡⼭
2010

富⼭
2009

新潟
2011

松江
2012
⾼松
2013

札幌
2014
⻑崎
2015

秋⽥
2016
⼭形
2017

19

MWS Cupn マルウェア対策に関するセキュリティコンテスト

l ⽇頃の研究で培ったノウハウやツール、データセットを基に創出した技術を活⽤しながら規定時間内で課題に取り組み、解析結果を競う「切磋琢磨する場」
https://www.iwsec.org/mws/mwscup.html

l 課題例

ü Drive-by Download 攻撃解析
ü マルウェア検体の静的解析
ü マルウェア動的解析ログの分析など

l 数時間の解析競技の後、プレゼンも実施

http://www.iwsec.org/mws/2017/photo.html

20

データセットの重要性
n 研究開発サイクルの加速に「データ」は重要

l MWSでは「データセット」に加え「実⽤的な研究」にも価値があると考え、それらを適切に評価する仕組みを検討中

攻撃

MWS
データセット

マルウェア

データ

観測
MWS Cup

検知技術
観測技術
解析技術

蓄積

実態調査
開発
フィード
バック

MWS20XX

検証・評価

21

おわりに
n 複雑化するサイバー攻撃に対抗すべく、

マルウェア対策⼈材育成ワークショップ MWS では
MWS Datasets 2018 を提供中

l 研究開発の推進／技術の共有により本研究分野の発展に寄与
l MWS Datasets 2018 利⽤には、研究代表者の WG 参加とデータセット使⽤に関する契約が必要
ü MWS 組織委員会事務局「csecreg@sdl.hitachi.co.jp」までご連絡を

n 宣伝

l MWS 2018 は、8/2 アブスト締切、8/20 原稿締切
l MWS では、MWS Datasets へのデータ提供者およびMWS Cup 参加者を随時募集中
ü https://www.iwsec.org/mws/
https://www.iwsec.org/mws/mwscup.html
ü 各データセットの説明資料も公開中
https://www.iwsec.org/mws/2018/mws20180530.html

22

参考資料

23

関連研究
n IMPACT Dataset
l ネットワークデータ装置やセキュリティ装置，通信ログ等から得られるセキュリティ脅威に関するデータセットn MALICIA Datasetl ドライブバイダウンロード攻撃を仕掛ける悪性ウェブサイトから収集したマルウェア検体のデータセット
n Malware-Traffic-Analysis.net
l マルウェア感染およびエクスプロイトキットに関する通信データ
n Contagio Malware Dumpl 各種ファイルフォーマットの正規ファイルおよび悪性ファイル
n Android Malware Genome Project Datasetl マルウェアファミリ毎に分類されたAndroid マルウェア検体
n ACODE dataset
l Google Play とサードパーティマーケットから収集したAndroid アプ
リ20 万個の説明⽂に関するデータセット

24データセットを使⽤したい場合は？
n MWS データセットを使⽤するにあたってl 研究代表者の研究⽤データセット WG 参加とデータセットの使⽤に関する契約をお願いします。
l 契約書に記載された注意事項の遵守（e.g., 各種情報の開⽰をしないこと）をお願いします。
ü その他問い合わせは「csecreg@sdl.hitachi.co.jp」まで

n MWS データセットを使⽤した研究論⽂を執筆する場合は、本⽂献の引⽤をお願いします。
高田雄太, 他: マルウェア対策のための研究用データセット〜 MWS 2018 Datasets 〜,
情報処理学会, Vol.2018-CSEC-82, No.38, 2018年7月.