Vol.2012-CSEC-59 No.1
2012/12/14

情報処理学会研究報告
IPSJ SIG Technical Report

因子分析による標的型攻撃の傾向調査
三村 守1,a)

田中 英彦1,b)

概要：機密情報や個人情報の搾取を目的とする標的型攻撃は多くの組織にとって脅威である．近年の標的型攻撃では，すでにマルウェアに感染した端末が踏み台にされ，情報の送信先は刻々と変化するため，真の攻撃者を識別することは困難となっている．標的型攻撃に関する多くの情報から，攻撃者との関連が強いパラメータを抽出するためには，複数の標的型攻撃の相関を分析し，パラメータの傾向を知る必要がある．本稿では，複数の標的型攻撃に関するパラメータを多次元ベクトルに数値化し，主成分分析でその傾向の概略を調査する．さらに，因子分析により標的型攻撃の傾向を示し，標的型攻撃を構成する因子について考察するとともに，攻撃者との関連が強いパラメータを明らかにする．
キーワード：標的型攻撃，多変量解析，主成分分析，因子分析

Investigating bias in targeted attacks by factor analysisMimura Mamoru1,a)Tanaka Hidehiko1,b)Abstract: Targeted attacks that exploit conﬁdential information or personal information are serious threatsfor many organizations. Recently, attackers use the infected terminals as stepping stones, and often change
destination of the stolen information. Thus, it is diﬃcult to identify and reveal the true attacker. To selecthigh correlation parameters between an attacker from much information about targetted attacks, we needto analyze correlation between targetted attacks and know the bias. In this paper, we express parametersof targetted attacks numerically and use principal component analysis to investigate an outline of the bias.
Furthermore, we use factor analysis to indicate the bias, consider what the factors of targetted attacks are,and reveal high correlation parameters between an attacker.
Keywords: Targeted Attack, Multivariate Statistics, Principal Component Analysis, Factor Analysis

1. はじめに2007 年には標的型攻撃を受けた経験がある企業は 5.4%に留まっていたが，2011 年には約６倍の 33%に拡大してい

近年，組織が保有する機密情報や個人情報の搾取を目的る [1]．標的型攻撃の中でも，ある組織に特化した，時間おとするサイバー攻撃の脅威が顕在化している．2011 年によび手法を問わずに継続的に行われる一連の攻撃は APT

は国会，政府関係機関，民間企業等において大規模なサイ(Advanced Persistent Threat) と呼ばれることもあり，大バー攻撃が相次いで発覚し，大きな社会問題となったのはきな脅威となっている．

記憶に新しいところである．サイバー攻撃の中でも特に脅

典型的な標的型攻撃の概要を次に示す．まず攻撃者は，威が指摘されているのは，主に機密情報や個人情報の搾取業務を装った件名やファイル名をつけた標的型メールで不を目的とし，ある組織や個人に標的を絞って実施される正プログラム（マルウェア）を送信する．標的型メールを標的型攻撃である．経済産業省が実施した調査によると，受信したユーザが，業務を装った件名やファイル名を不審1a)b)に思わず，添付ファイルを開封した場合，その端末で不正な情報セキュリティ大学院大学
IISEC, Kanagawa, Yokohama 221–0835, Japandgs104101@iisec.ac.jp
tanaka@iisec.ac.jp

c 2012 Information Processing Society of Japan

命令が実行され，マルウェアに感染する．マルウェアに感染した端末は踏み台とされ，攻撃者の遠隔操作により任意

1Vol.2012-CSEC-59 No.1
2012/12/14

情報処理学会研究報告
IPSJ SIG Technical Reportの命令が実行され，不正な情報の搾取に利用される．搾取いても，標的型攻撃に関係するパラメータを多次元ベクト

された情報は，ファイアウォールやプロキシを介してコマルとして数値化するが，数値化の手法は異なる．また，マンド＆コントロールサーバに送信される．最後に，コマンルウェアの動的な挙動のみならず，標的型攻撃全般に関すド＆コントロールサーバに送信された情報は攻撃者によっるパラメータが分析の対象である点も本稿とは異なる．て回収される．近年の標的型攻撃では，コマンド＆コント

文献 [3] では，過去に収集されたマルウェアとの機械語ロールサーバは頻繁に変更され，情報の送信先は刻々と変命令列の類似度を算出する手法に加え，マルウェアのアン化する．また，発信元を秘匿するために，すでにマルウェパッキング手法および逆アセンブル手法を組み合わせた自アに感染させ，遠隔操作が可能な一般ユーザの端末が踏み動分類システムが提案されている．この手法では，類似度台にされ，標的型メールが送信される場合も珍しくない．

を算出するために機械語命令列の最長共通部分列を用いてさらに，不正に搾取した情報を用い，新たに業務を装ったいる．本稿の分析対象はマルウェアだけでなく，標的型攻件名やファイル名を付与する悪質なケースも目立つよう撃全般の広範囲であるため，基本的には各パラメータが一になってきている．このような理由から，標的型攻撃の真致するか否かで攻撃の類似度を判定する．の攻撃者を識別することは，近年ではよりいっそう困難とこれらの研究は，マルウェアの亜種の分類に関する研究なってきている．標的型攻撃に関する多くの情報から，攻であり，分析の対象はあくまでもマルウェアのみである．

撃者との関連が強いパラメータを抽出するためには，複数

これに対し，本稿は標的型攻撃の傾向調査を目的としておの標的型攻撃の相関を分析し，パラメータの傾向を知る必り，分析の対象はマルウェアのみならず，メールの件名や要がある．

本文，添付ファイルの名称や拡張子，マルウェアの種類，ある標的型攻撃に用いられたメールの件名や本文，添付ファイルの名称や拡張子，マルウェアの種類，コマンド＆コントロールサーバ等のパラメータは，いずれも単体では確実に攻撃者と結びつく情報とは言えない．なぜならば，コマンド＆コントロールサーバ等の広範囲となる点が，従来の研究とは最も大きく異なる．

3. 主成分分析によるパラメータの分析

ほとんどのパラメータは攻撃者が任意に変更することが可

標的型攻撃に関するパラメータを多次元ベクトルに数値能だからである．しかしながら，変更に要する攻撃者のコ化し，主成分分析によってパラメータの傾向を調査する．

ストはパラメータの種類によって異なる．たとえば，メールの件名や本文，添付ファイルの名称等はコストを気にせ3.1 パラメータの選定ずに容易に変更することが可能である．これに対し，マル主成分分析に用いる標的型攻撃のパラメータを表 1 に示

ウェアの種類，コマンド＆コントロールサーバ等は，実際す．これらのパラメータは，マルウェアのコマンド＆コンにマルウェアを作成したり，コマンド＆コントロールサートロールサーバ等のブラックリストで共有されている情報バを準備するコストが発生するため，それほど容易に変更や，セキュリティ関係企業のマルウェアの解析サービスですることはできないものと考えられる．ゆえに，複数の標提供される情報を参考として選定した．

的型攻撃に関するパラメータには，変化にある程度の傾向

グループ A のパラメータ１〜７は，標的型攻撃に用いが生じている可能性がある．したがって，その変化の傾向られるマルウェアの接続先に関する情報である．１はマルから，攻撃者の特徴を示すパラメータを抽出することがでウェアが接続するコマンド＆コントロールサーバのホストきれば，攻撃者の識別に結びつくものと考えられる．

名，２はその IP アドレス，３は１のドメイン名を示す．

そこで本稿では，近年複雑化している標的型攻撃の攻撃

４〜６は３のドメイン名に関する情報であり，７は２の IP者を識別するために，複数の標的型攻撃に関するパラメーアドレスの所有者を示す．これらのパラメータの特徴は，タの相関を分析する．そのためにまず，複数の標的型攻撃変更や維持にある程度の手間とコストがかかるため，容易に関するパラメータを数値化し，主成分分析でその傾向のに変更することができないということである．標的型攻撃

概略を調査する．さらに，因子分析により標的型攻撃の傾の目的が情報の搾取であった場合，これらは搾取した情報向を示し，標的型攻撃を構成する因子について考察するとの送信先に関係する情報であることを考慮すると，真の攻ともに，攻撃者との関連が強いパラメータを明らかにする．

撃者を追求するための最も信頼性が高い情報であると考え

2. 関連研究
標的型攻撃の相関分析に類似する研究としては，マルウェアの亜種の分類に関する研究が挙げられる．

られる．
グループ B のパラメータ８〜15 は，標的型攻撃に用いられるマルウェアの振る舞いに関する情報である．８〜11は大手ベンダのウイルス対策ソフトにおけるマルウェアの文献 [2] では，マルウェアの動的な挙動を多次元ベクト検知名を示す．12〜14 はマルウェアのコンピュータ内部ルとして数値化し，ベクトル間のハミング距離からマルでの挙動に関する情報であり，各々作成する一時ファイルウェアの亜種を判定する手法が提案されている．本稿におの名称，レジストリの名称およびミューテックスの名称をc 2012 Information Processing Society of Japan2

Vol.2012-CSEC-59 No.1
2012/12/14

情報処理学会研究報告
IPSJ SIG Technical Report示す．15 はマルウェアがコマンド＆コントロールサーバ

3.2 パラメータの数値化との通信に利用する通信規約を示す．これらのパラメータ

表 1 に示した標的型攻撃に関するパラメータは名義尺度も，変更や維持にある程度の手間とコストがかかるため，（カテゴリデータ）であり，そのままでは主成分分析を実容易に変更することは困難であると考えられる．しかしな施することはできない．そこで，標的型攻撃に関するパラがら，近年指摘されているウイルス作成ツールの存在 [4]メータを以下の手順で数値化する．

を考慮すると，必ずしも攻撃者に結びつく情報とは言えな

STEP1 あるパラメータを選択し，その要素の値に一つい．異なる攻撃者が，同じツールを使用してマルウェアを作成した可能性も考えられるためである．の数値を付与する．

STEP2 次の要素の値が未知であれば新たな任意の数値

グループ C のパラメータ 16〜22 は，標的型攻撃に用いを付与し，既知であれば同一の数値を付与する．

られるメールに関する情報である．16 はメールの件名，17

STEP3 STEP2 をそのパラメータのすべての要素に対しは当該メールが経由したメールサーバの IP アドレスを示
す．18 はメールを送信した端末で用いられたソフトウェアの名称，19 はその時刻帯を示す．20 はメールの送信者，て実施する．

STEP4 STEP1〜STEP3 をすべてのパラメータに対して実施する．

21 は添付ファイルの名称，22 は添付ファイルが圧縮され標的型攻撃の数を n とすると，この手順により，標的型ている場合の解凍後のファイルの名称を示す．添付ファイ攻撃に関するパラメータである n 行 22 列の名義尺度が，nルが圧縮されていない場合，21 と 22 は同じ値となる．こ行 22 列の多次元ベクトルに数値化される．

れらのパラメータの特徴は，変更や維持にほとんど手間やコストがかからないため，容易に変更することが可能であ

3.3 主成分分析るということである．しかしながら，メールの件名や添付2009 年から 2011 年の３年間にある複数の組織で発生しファイルの名称には，攻撃者の特徴が現れる可能性は否定た標的型攻撃において，分析に用いる 22 のパラメータをできない．

取得することができたものを機械的に選定した．その選定した約 500 件の標的型攻撃に関する 22 のパラメータを，表 1 標的型攻撃に関するパラメータ

Table 1 Parameters about targeted attacks

先に示した手法で n 行 22 列の多次元ベクトルに数値化し，主成分分析を実施した．主成分分析の計算には，R[5] のprcomp 関数を用いた．第 5 主成分までの主成分分析の結果の概要を表 2 に示す．もとのパラメータが名義尺度でParameter

説明あるため，標準偏差の値には絶対的な意味はない．寄与率

1

host name

Ｃ＆Ｃサーバのホスト名は，第１主成分で 64.2%程度の低い値であった．このこと

2

IP address

Ｃ＆Ｃサーバの IP アドレスから，すべての標的型攻撃に関するパラメータが，同じ傾

3domain name

Ｃ＆Ｃサーバのドメイン名

4

DNS server

Ｃ＆Ｃサーバの DNS サーバ

5

resistrant

Ｃ＆Ｃサーバのドメイン登録者

6

resistrar

Ｃ＆Ｃサーバの登録レジストラ

た．換言すると，４〜５つの主成分で，標的型攻撃に関す

7

address owner

Ｃ＆Ｃサーバの IP アドレス所有者

るパラメータの９割が説明できることになる．しかしなが8virus name 1

ウイルス対策ソフト 1 の検知名

ら，主成分分析の目的は，できるだけ少ない主成分に変数9virus name 2

ウイルス対策ソフト 2 の検知名を集約することにあるため，相関が低い変数も含まれ易い

10virus name 3

ウイルス対策ソフト 3 の検知名

11

virus name 4

ウイルス対策ソフト 4 の検知名

12temp ﬁleマルウェアが作成するファイル名

13

registry

マルウェアが作成するレジストリ名

14

mutex

マルウェアが作成するミューテックス名 が適当である．

15

protocolマルウェアの通信規約

16

subject

メールの件名17transit

経由したメールサーバ

18

X-Mailer

端末で用いられたソフトウェア名

19time zone

端末の時刻帯20

from

メールの送信者

21

attached ﬁle

メールの添付ファイル名

標準偏差

22

specimen

解凍後の添付ファイル名

No.

A

B

Cc 2012 Information Processing Society of Japan

向を示すわけではないことが予想できる．累積寄与率は，第 4 主成分から第 5 主成分あたりで 90%以上の値となっ傾向がある．よって，各主成分と各パラメータの相関から各主成分が何であるかを解釈することは困難である．各主成分の解釈を容易にするためには，因子分析を実施するの表 2 主成分分析の結果の概要

Table 2 A summary of principal component analysis

第1第2第3第4第5主成分

主成分

主成分

主成分

主成分

235.5

116.5

71.5

54.4

44.7

寄与率

0.642

0.157

0.059

0.034

0.023

累積寄与率

0.642

0.799

0.858

0.892

0.915

3

Vol.2012-CSEC-59 No.1
2012/12/14

情報処理学会研究報告
IPSJ SIG Technical Report

表 3 探索的因子分析の因子負荷量4. 因子分析

Table 3 Factor loadings of exploratory factor analysis

主成分分析の結果，４〜５つの主成分で，標的型攻撃に関するパラメータを説明できる可能性が示された．そこ
で，標的型攻撃のパラメータの傾向を説明できる因子を探索するために，因子分析を実施する．さらに，因子分析のParameter

第 1 因子

第 2 因子

第 3 因子

第 4 因子host name

0.234

0.023

-0.2280.197

IP address

0.087

0.613

0.213

0.116

domain name

0.358

0.220

0.195

0.315

DNS server

0.041

0.902

-0.033

0.023

resistrant-0.098

0.952

0.057

-0.116

主成分分析を実施した約 500 件の標的型攻撃に関する nresistrar-0.0570.974

0.058-0.112

行 22 列の多次元ベクトルに対し，探索的因子分析*1 を実address owner-0.105

0.944

0.015

-0.069virus name 1

0.139

0.327

-0.2950.211

virus name 2

0.116

0.125

-0.1570.252

virus name 3

0.016-0.126

0.170

0.984

R[5] の pfa[6] 関数を用いた．その結果，固有値 1.0 以上をvirus name 4-0.032-0.157

0.269

0.685

基準とすると，４因子構造が妥当であるという結論に達し

temp ﬁle-0.316-0.035

0.648

0.268

た．４因子を仮定した探索的因子分析の因子負荷量*5 を表

registry

0.221

0.153

0.665

0.032

3 に示す．

mutex

0.136

0.009

0.854

-0.101

protocol

0.093

0.021

0.689

-0.135subject0.003

0.121

0.343

0.370

transit

0.969-0.0400.066-0.019強い相関があり，時刻帯および送信者とやや強い相関があ

X-Mailer

0.831-0.022-0.009-0.063る．また，マルウェアが接続するコマンド＆コントロール

time zone

0.570-0.126

0.008

0.133

サーバのホスト名およびドメイン名との弱い相関も認めら

from

0.557

0.060

-0.020-0.068attached ﬁle

0.957-0.0300.079-0.079specimen

0.931-0.074

0.023

0.043

結果を用いて攻撃者と相関が高いパラメータを抽出する．

4.1 探索的因子分析施した．因子の抽出法は最尤法*2 とし，因子の回転*3 はプロマックス法*4 で実施した．探索的因子分析の計算には，第１因子は，当該メールが経由したメールサーバ，メールを送信したソフトウェアの名称，添付ファイルの名称とれる．
第２因子は，マルウェアが接続するコマンド＆コント
ロールサーバの DNS サーバ，ドメイン登録者，レジスト
ラおよび IP アドレスの所有者と強い相関があり，コマンド＆コントロールサーバの IP アドレスとやや強い相関が4.2 検証的因子分析
次に，探索的因子分析で発見した４つの因子と各パラある．また，ウイルス対策ソフト 1 の検知名との弱い相関も認められる．

メータの関係を，検証的因子分析*6 で確認する．探索的第３因子は，マルウェアが作成するミューテックス名と因子分析の結果，相関が認められた各因子とパラメータ強い相関があり，一時ファイル名，レジストリ名および通の間に相関があることを仮定し，検証的因子分析を実施

信規約とやや強い相関がある．また，コマンド＆コントした．検証的因子分析の計算には，R[5] の cfa 関数 [7] をロールサーバの IP アドレス，ウイルス対策ソフト 4 の検用いた．その結果，RMSEA(Root Mean Square Error of

知名およびメールの件名との弱い相関も認められる．

Approximation)*7 の値は 0.075 となった．したがって，検第４因子は，ウイルス対策ソフト 3 の検知名と強い相関

証的因子分析の結果は必ずしも最適というわけではないがあり，ウイルス対策ソフト 4 の検知名とやや強い相関がが，許容範囲内であると考えられる．検証的因子分析の各ある．また，コマンド＆コントロールサーバのドメイン名，パラメータの因子負荷量を表 4 に示す．また，その因子間

ウイルス対策ソフト 1 および 2 の検知名，マルウェアが作相関行列を表 5 に示す．
各パラメータの因子負荷量には，探索的因子分析と比較成する一時ファイル名およびメールの件名との弱い相関も認められる．

して特に大きな変化は認められなかった．よって，探索的因子分析で発見した４つの因子と各パラメータの関係は妥当であると考えられる．各因子間の相関については，全般*1*2*3*4*5

因子の数，変数等を変え，試行錯誤を繰り返しながら因子を探索する手法
標本データから母集団を推定する手法の一つであり，最も尤もらしい値を母集団の推定値とする手法
仮に決めた因子空間の座標系を変換し，新しい座標系を決定する操作であり，データを解釈し易くするために実施する．
回転後の因子軸が直交しない斜交回転の一手法であり，因子間に相関がある場合に用いられる．
因子と分析に使用した変数との相関係数に相当する値

c 2012 Information Processing Society of Japan

的にやや強い相関が認められた．しかしながら，第１因子と第２因子の相関のみ弱いという結果となった．
*6*7

ある程度の仮説が設定されており，変数に基づいて仮説とした因子構造が妥当かどうかを検証する手法
モデルの分布と真の分布との乖離を示す指標であり，一般 0.05以下であれば当てはまりがよく，0.1 以上であれば当てはまりが悪いとされる．

4

Vol.2012-CSEC-59 No.1
2012/12/14

情報処理学会研究報告
IPSJ SIG Technical Report
表 4 検証的因子分析の因子負荷量

第２因子は，主としてマルウェアが接続するコマンド

Table 4 Factor loadings of conﬁrmatory factor analysis＆コントロールサーバの IP アドレス，DNS サーバ，ドメイン登録者，レジストラおよび IP アドレスの所有者で構成されている．これらは容易に変更することができない情

Parameter

第 1 因子

第 2 因子

第 3 因子

第 4 因子host name

0.263

0.000

0.000

0.000

IP address

0.000

0.568

0.378

0.000

domain name

0.381

0.300

0.000

0.390

第３因子は，主としてマルウェアが作成する一時ファイ

DNS server

0.000

0.897

0.000

0.000

ル名，レジストリ名，ミューテックス名および通信規約でresistrant

0.000

0.898

0.000

0.000構成されている．これらは標的型攻撃に用いられるマル

resistrar

0.000

0.933

0.000

0.000

ウェアの振る舞いに関する情報であり，容易に変更するこ

address owner

0.000

0.884

0.000

0.000

virus name 10.000

0.240

0.000

0.170とは困難であると考えられる．これらは第２因子である攻virus name 20.000

0.000

0.0000.160

virus name 30.000

0.000

0.000

0.999

成者が同一である可能性を示しているものと考えられる．

virus name 40.000

0.000

0.103

0.667

したがって，第３因子をマルウェア作成者因子と命名する．

temp ﬁle

0.000

0.000

0.474

0.146

第４因子は，主としてウイルス対策ソフト 3 および 4 のregistry

0.000

0.000

0.903

0.000

検知名で構成されている．ウイルス対策ソフト 1 および 2の検知名は，ベンダ独自の命名規則に基づいて決定されて報であり，最も攻撃者に関係する因子であると考えられる．
したがって，第２因子を攻撃者因子と命名する．

撃者因子との相関も高く，これは攻撃者とマルウェアの作

mutex

0.000

0.000

0.801

0.000

protocol

0.000

0.000

0.6010.000

subject

0.000

0.000

0.416

0.353

transit

0.970

0.000

0.000

0.000

名は，脆弱性の名称を基に決定される場合が多いという特X-Mailer

0.787

0.000

0.0000.000

徴がある．ゆえに，第４因子を脆弱性因子と命名する．脆

time zone

0.603

0.000

0.000

0.000

弱性因子は，第３因子であるマルウェア作成者因子との相

from

0.533

0.000

0.0000.000

関も高いため，マルウェア作成者因子に抱合して考えてもattached ﬁle

0.933

0.000

0.000

0.000

specimen

0.935

0.000

0.0000.000

差し支えないであろう．

いる．これに対し，ウイルス対策ソフト 3 および 4 の検知

4.4 パラメータの抽出

表 5 因子間相関行列

検証的因子分析のパス図を図 1 に示す．図中の太い実線

Table 5 Factor correlation matrix

は 0.8 以上の強い相関を示し，細い実践は 08〜0.4 のやや強い相関を示している．また，破線は 0.4 未満の弱い相関第 1 因子

第 2 因子

第 3 因子

第 4 因子

第 1 因子

1.000

0.228

0.504

0.507

第 2 因子

0.228

1.000

0.574

0.438

この結果から，第１因子である被害者因子は，他の因子

第 3 因子

0.504

0.574

1.0000.645との相関が低く，独立していると解釈することができる．

第 4 因子

0.506

0.438

0.645

1.000

被害者因子とコマンド＆コントロールサーバのホスト名おを示している．

よびドメイン名との弱い相関は，真の攻撃者が表面的に被4.3 因子の命名害者を偽っている可能性を示しているものと考えられる．

探索的因子分析および検証的因子分析の結果，４つの因しかも，第１因子は攻撃者を示す第２因子との相関がもっ子を抽出し，各パラメータとの関係の妥当性を検討した．とも低い．よって攻撃者を識別するためには，第１因子を次に，４つの因子と各パラメータとの関係を考察し，各因除外するのが妥当であると考えられる．

子に名称を付与する．

第２から第４因子である攻撃者，マルウェア作成者およ

第１因子は，主として当該メールが経由したメールサー

び脆弱性因子は，表 5 によると因子間の相関がやや強いこバ，メールを送信したソフトウェアの名称，時刻帯，送信とからも，相互に関係しているものと解釈することができ者，添付ファイルの名称で構成されている．これらはいずる．標的型攻撃の中には，一部の第２因子とのみ相関が強れも，標的型攻撃に用いられるメールに関する情報であり，い特定のマルウェアや，脆弱性も確認されている．よって容易に変更することが可能である．しかも，第１因子は最これらの因子間の相関は，攻撃者が自ら脆弱性を収集しても攻撃者に関係すると考えられるマルウェアの接続先に関活用し，マルウェアを作成している可能性を示しているもする情報との相関が低い．よって第１因子は，すでにマルのと考えられる．したがって，真の攻撃者を識別するためウェアに感染し，攻撃者に操られた被害者の端末である可に有効なパラメータは，第２から第４因子に関係するパラ能性が考えられる．したがって，第１因子を被害者因子とメータであると考えられる．

命名する．

c 2012 Information Processing Society of Japan5

Vol.2012-CSEC-59 No.1
2012/12/14

情報処理学会研究報告
IPSJ SIG Technical Report
host name
IP address

domain nameDNS server

第２因子

resistrant

攻撃者

registraraddress ownervirus name A

第３因子
マルウェア作成者

virus name B
virus name Cvirus name D
temp file

第４因子

registry

脆弱性

mutex

protocolsubjecttransit

第１因子

X-Mailer

被害者

time zone
fromattached file

1.0～0.8

0.8～0.4

コマンド＆コントロールサーバのホスト名，ドメイン名および IP アドレスはどこから攻撃されているのかを判断する指標にはなり得ず，あくまで参考程度に解釈するのが妥当であろう．

6. おわりに
本稿では，近年複雑化している標的型攻撃の真の攻撃者を識別するために，複数の標的型攻撃に関するパラメータの相関を分析し，攻撃者との関連が強いパラメータを明らかにすることを目的とした．そのためにまず，複数の標的型攻撃に関するパラメータを多次元ベクトルに数値化し，主成分分析でその傾向の概略を調査した．さらに，因子分析により標的型攻撃の傾向を示し，標的型攻撃を構成する４つの因子を発見するとともに，攻撃者と相関が高いパラメータを抽出した．
今後の課題としては，攻撃者と相関が高いパラメータをspecimen使用し，実際に攻撃者毎に標的型攻撃を分類することが挙

0.4～0.0

げられる．しかしながら，各パラメータの攻撃者との関係の強さ，情報の信頼性の高さは明らかに同一ではない．攻図 1 因子分析のパス図

撃者との関係が強いパラメータと弱いパラメータ，またはFig. 1 A path diagram of factor analysis

信頼性が高いパラメータと低いパラメータを同じ優先度で評価した場合，分類結果には多量のノイズが含まれること

5. 考察になる．したがって，各パラメータの因子負荷量から，分類のための優先度を決定する必要があるものと考えられる．

過去３年間の標的型攻撃に関するパラメータの因子分析を実施した結果，被害者因子，攻撃者因子，マルウェア作成

参考文献

者因子および脆弱性因子の４つの因子を発見した．各因子[1]間の相関は全般的にやや高いが，被害者因子と攻撃者因子の間でのみ低いという結果となった．被害者因子とコマン
ド＆コントロールサーバのホスト名およびドメイン名との弱い相関に関しては，真の攻撃者が表面的に被害者を偽っ[2]ている可能性を考慮すれば説明ができる．近年ではダイナミック DNS 等のサービスを利用すれば，コマンド＆コン[3]

トロールサーバのホスト名およびドメイン名を容易に変更することが可能である．残るウイルス対策ソフトの検知[4]

名，メールの件名等の独立因子に関しては，いずれも各因子との関係を決定づける合理的な理由はない．ゆえに，攻撃者を識別するためには，攻撃者因子，マルウェア作成者因子および脆弱性因子を構成するパラメータを利用し，被害者因子を構成するパラメータを除外するのが妥当である[5][6]と考えて差し支えないであろう．
興味深いのは，攻撃者因子とコマンド＆コントロールサーバのホスト名およびドメイン名との相関が低いとい[7]

経済産業省：最近の動向を踏まえた情報セキュリティ対策の提示と徹底，経済産業省（オンライン），入手先
hhttp://www.meti.go.jp/press/2011/05/
20110527004/20110527004.htmli （ 参 照 2012-08-12）(2011).
堀合啓一，今泉隆文，田中英彦：マルウェア亜種の動的挙動を利用した自動分類手法の提案と実装，情報処理学会
論文誌，Vol.50, No.4, pp.1321–1333 (2009)．
岩村誠，伊藤光恭，村岡 洋一：機械語命令列の類似性に基づく自動マルウェア分類システム，情報処理学会論文
誌，Vol.51, No.9, pp.1622–1632 (2010)．
情報処理推進機構：脆弱性を利用した新たなる脅威の監視・分析による調査，情報処理推進機構（オンライン），入手先 hhttp://www.ipa.go.jp/security/vuln/
report/newthreat200907.htmli（参照 2012-08-12）(2009).
The R Project for Statistical Computing（オンライン），
入手先 hhttp://www.r-project.org/i （参照 2012-09-14）.
青 木 繁 伸：因 子 分 析（ オ ン ラ イ ン ），入 手 先
hhttp://aoki2.si.gunma-u.ac.jp/R/pfa.htmli（参照 201209-14）.
青 木 繁 伸：検 証 的 因 子 分 析（ オ ン ラ イ ン ），入 手 先
hhttp://aoki2.si.gunma-u.ac.jp/R/cfa.htmli （参照 201209-14）.

う点である．また，攻撃者因子とコマンド＆コントロール
サーバの IP アドレスとの相関もそれほど高いわけではな
い．これらの事実は，コマンド＆コントロールサーバのホスト名，ドメイン名および IP アドレスは，むしろ攻撃者との関係が低いという可能性を示している．したがって，

c 2012 Information Processing Society of Japan6