数量化理論と CCCDATAset2009 を利用したボットネットのC&C サーバ特定手法の提案と評価
元†佐々木東京電機大学大学院

工学研究科

三原†，‡

良一‡
情報メディア学専攻

あらまし 近年，ボットネットによる被害が問題になっている．ボットネットは，ボット PC を特定・隔離しても別の PC がボットになり，根本的な解決にならない．そこで著者らは，ボットネットを根源まで追跡する多段追跡システムの構想を示した．今回，多段追跡システムの第二段での追跡手法として，C&C(Command&Control)サーバに関するブラックリストを用いる検知方式と，CCC DATAset 2009 の解析結果を数量化理論２類に適用する検知方式の２方式を用いることで C&C サーバの特定を行う手法を考案した．本論文では，C&C サーバのブラックリストを用いた方式と数量化理論２類を用いた方式に関して述べると共に，２つの方式を用いた多段追跡システム第二段の提案とその評価結果の報告を行う．

Proposal and Evaluation of Technique to Detect
C&C Server on Botnet Using CCC DATAset 2009
and Quantification Methods
Hajime Mihara††‡Ryoichi Sasaki‡

lnformation Systems and Multimedia Design， Graduate School of Engineering，Tokyo Denki University

Abstract Recently, damage caused by the botnet becomes a big problem． There exists aproblem that the other bot PCs can be produced, even if one bot PC could be specified andremoved． Therefore， it is not a fundamental solution to specify only the bot PC． To
solve this problem authors proposed the multistep trace back system． In this paper, theauthors developed the second step system which consists of two methods: first method isto use the black list of the C&Cserver and the second one is to use analytical result using
quantification methods No. 2 and CCCDATAset2009. In this paper, we describe thesecond step system using two methods and the result on the evaluation using
CCCDATAset2009.
[2]

1 はじめに[1]

近年，ボットネット による被害が問題になっている．ボットネットとは，ボットと呼ばれるマルウェアに感染した PC(以下，ボット PCとする)が複数組み合わさって構成されるネットワークである．ボット PC は，C&C サーバと呼ばれる中継サーバを介して，ボットネットを操作する攻撃者(以下，ハーダーとする)からの命令を受け取り，様々な活動を行う．
現在では，数百台から数万台のボット PC から構成されるボットネットが確認されている．このボットネットは，ハーダーからの命令により，複数のボット PC が一斉に DoS(Denialof service) 攻 撃 を 行 う ， DDoS(DistributedDoS)攻撃に利用される．
ボットからの攻撃パケットは送信元 IP アドレスが偽装されていることがあり，ボット PCの特定は困難である．その問題に対処するため，
IP トレースバックシステム[3]が提案されている．しかしながら，IP トレースバックシステ
ムだけでは，攻撃パケットを送信しているボット PC の特定はできても，ハーダーや C&C サーバを特定することはできない．
そこで現在著者らは，ネットワーク管理者同士が情報共有を行い，ボット PC の特定だけではなく，C&C サーバやハーダーの操作する PCの特定を目的とした，多段階トレースバックシ
ステム[4]を構想している．
本論文では，多段追跡システムのうち，第二段トレースバックシステムの提案を行うと共に，第二段トレースバックシステムにおける
C&C サーバの特定手法として，C&C サーバのブラックリストを用いる検知方式と，CCCDATAset2009[5]の解析結果を，数量化理論２類に適用する検知方式の二方式について述べ，その評価を行う．

・Bot-GL
ボットと疑わしきホストの IP アドレスリスト

・Bot-BL
ボットと確定したホストの IP アドレスリスト

・ホワイトリスト
ボットネットに関係しないホストの IP アド
レスリスト

・ボットリスト
インターネット上から取得したボットネットに関するドメインのリスト

・H-DATA
取得した全ての通信データを一定時間記録する

・B-DATA
Bot-GL の IP の通信データを記録する
通信データ取得

２ 提案システム
２．１ 数量化理論２類①

数量化理論は，統計数理研究所出身の林知己
夫教授らにより開発された日本独自のデータ分析手法である．
数量化理論２類は，２つのタイプＡとＢがばらばらにあるとき，パラメータの係数を適切に設定することで，ＡはＡ同士，ＢはＢ同士で近い値を取るようにし，かつＡとＢは遠い値を取るようにしようとする．よって，A と B の明快な境界線の設定が可能となる．また，未知のデータに対しては，パラメータの係数の値を用いて，Ａ，Ｂどちらに属する可能性が強いかを推定することが可能である．

２．２ 提案システム概要
第二段トレースバックシステムの構成図(図1)と処理の流れ(図 2)を以下に示す．
ただし，第二段トレースバックシステムは，ポートミラーリング機能等によって，ルータを通過する全てのパケットを取得可能とする．

ホワイトリストに登録はあるか？

YES

通信データ破棄NO②

Bot-BLに登録はあるか？

YES
管理者に通達NO③

Bot-GLに登録はあるか？

YES

NO

④

ボットリストにマッチするか？
NO

YES

⑤

数量化方式にマッチするか？

YES

ホストのIPアドレスをBot-GLに登録
通信データをB-DATAに記録

通信データをH-DATAに記録

NO

図 2 第二段トレースバックシステムの処理の流れ① 通信ホストの IP アドレスがホワイトリストにあるか確認する．リストにあればその通信データを破棄し，リストに無ければ②に移行する② 通信ホストの IP アドレスが Bot-BL にあるか確認する．リストにあれば管理者に通達し，その通信データを B-DATA に記録する．リストに無ければ③に移行する③ 通信ホストの IP アドレスが Bot-GL にあるか確認する．リストにあればその通信データを B-DATAに記録し，リストに無ければ④に移行する④，⑤に関しては以降の項にて述べる．
被害側NW管理者

インターネット

NW管理者

ルータ

PDB
ホワイトリスト

ボットドメインリスト

H-DATA
ボット感染ホスト

B-DATA

Bot-GL

Bot-BL

図 1 第二段トレースバックシステム構成

２．２．２ ボットリストを使用した検知方式④では，通信ホストのドメインがボットリス
トにあるか確認する．リストにあればそのホストの IP アドレスを Bot-GL に登録し，通信デー
タを B-DATA に記録する．ボットリストは，C&Cサーバ等のブラックリストであり，インターネット上で公開されている C&C サーバ等のドメインのリストを，一定時間ごとに取得し，更新する．よって，この方式は，日々新たに C&Cサーバ等が更新されるボットネットに対して有効である．

今回著者らは，既存研究[2][5]を参考として，数量理論２類を用いた検知方式のパラメータ⑤では，数量化理論２類を用いた検知を行う． 候補として，以下の 5 項目を選択した．
①逆引き
2.2.2 項のボットリストを使用した検知方式②SOA レコード
では，ボットリストに記載されていないホスト③WHOISは検知することができない．そのため，今回著④mail,www サーバの有無
者らは，ボットリストを使用した検知方式に加⑤TTL 値
え，数量化理論２類を用いた検知方式を用い， 逆引きとは，DNS サーバに対して IP アドレスさらなる検出精度の向上を目指す．
からホストのドメイン名を問い合わせること
数量化理論２類を用いるためには，判別式にであり，SOA レコードとは，各 DNS サーバ入力するパラメータを決定する必要がある．そが管理するドメインの，設定情報である．また，のため，今回著者らは，CCCDATAset2009 のWHOIS とは，各レジストリ組織が管理する，３種類のデータのうち，攻撃通信データを解析
ドメインや IP アドレス，AS 番号の管理者情し，ボットネットの特徴を調査する．そして， 報であり，TTL 値とは，各 DNS サーバが管理調査の結果得たボットネットのデータを数量するドメイン情報の，取得した際の生存時間で化理論２類のパラメータとして使用することある．さらに，今回著者らは，ボットネットにを目指す．
関するドメインには，不必要なサービスは登録次章にて，CCCDATAset2009 の解析を行い， されていないのではないか，という推測に基づ
数量化理論２類を用いた検知方式のパラメー
き，同一ドメイン上での mail，www サーバのタ候補を求める．
有無の調査を行う．
次節にて，各パラメータ候補の調査結果に関して述べる．
３ ＣＣＣＤＡＴＡset2009 の解析

２．２．３ 数 量 化 理 論 ２ 類 を 用 い た
検知方式

数量化理論２類を用いた検知方式のパラメータ候補を求めるため，CCCDATAset2009 のデータ解析を行った．解析には，ボットネットに関する通信データと，ボットネットに関係しない通信データの２つを用いた．今回著者らは，通信データから直接ボットネットの特徴を調査するのではなく，通信データ中の各ボットの接続先ホストのドメインに着目し，そのドメインに関する特徴の調査を行った．
まず，CCCDATAset2009 の攻撃通信データから，ボットネットに関するドメインを取得し，以下の手順で２４個のドメイン(以下，ボットネットドメインとする)のデータを得た．
①通信データ中の DNS クエリを取得②取得した DNS クエリの内，a)-c)を除外
a)IP アドレスのものb)Hotmail 等明らかに正規サービスのもの
c)自 NW ドメインの問い合わせのもの③重複したドメイン名を除外

さらに，ボットネットに関係しない通信データとして，本研究室のネットワークから取得した通信データ(表 1)のうち，任意に選択した DNS通信から，５０個のドメインデータ（以下ノーマルデータとする）を得た．
表１ ノーマルデータ取得元通信データ
PC台数20台（OS:WindowsXP）

通信データ取得時間 ２４時間
パケット数約５０万パケット

３．１ 逆引きボットネットドメインとノーマルドメインの逆引き情報を調査した(表 2)．
表 2 ドメインの逆引き結果
ノーマルドメイン

ボットネットドメイン

９個（１８%） ２個（８%）

逆引き結果が正しくない ３４個（６８%） ５個

（２１%）

逆引き結果が正しい

返答なし

７個

（１４%） １７個

（７１%）

合計

５０個

（１００%） ２４個（１００%）

調査の結果，ボットネットドメインとノーマルドメインでは，逆引きの結果に明らかな差異があることがわかった．具体的には，ボットネットドメインでは逆引きができない割合が多く，ボットネットドメイン全体の７割を占めたのに対し，ノーマルドメインでは逆引きの結果が正しくない割合が高く，ノーマルドメイン全体の７割であった．

３．２ SOA レコード
SOA レコードには以下の情報が含まれる．
a) ゾーン名b) ネームサーバホスト名c) 管理者メールアドレスd) シリアル番号e) Refresh 値f) Retry 値g) Expire 値h) Minimum 値

今回著者らは，ボットネットドメインとノーマルドメインの SOA 情報の内，h)の Minimum値を調査した(図 3)．これは，ボットネットドメインの更新頻度はノーマルドメインの更新頻度より多いと言われているため，ネガティブキャッシュとして機能する h)の値が，ノーマルドメインの値と比較して差異が期待できると考えたためである．
図 3 より，ノーマルドメインがある一定の値に集中して Minimum 値が設定されている傾向にあることがわかった．対して，ボットネッ
トドメインにはそのような傾向は見られなかった．

調査の結果，d)と e)には差異が見られなかったが，j)に関しては，ノーマルドメインよりも，ボットネットドメインの登録期間が比較的短い傾向にあるということがわかった．
2020/6/18

2017/9/22

2014/12/27

2012/4/1

2009/7/6

2006/10/10

1000000
2004/1/14

10000014710 13 16 19 22 25 28 31 34 37 40 43 46 49

ボットネットドメイン登録終了年月日

10000

ノーマルドメイン登録終了年月日

図 5 ドメインの登録終了年月日

1000
100
10
1
1 3 5 7 9 11 13 15 17 19 21 23 25 27 29 31 33 35 37 39 41
ノーマルドメインのMinimum値

ボットネットドメインのMinimum値

図 3 Minimum 値

３．３ WHOIS
WHOIS からは，一般的に以下の情報を得ることができる．
a) 登録ドメイン名b) レジストラ名c) ドメインが登録されている DNS サーバ名d) ドメインの登録年月日e) ドメインの有効期限f) ドメイン名登録者の名前や住所g) 技術的な連絡の担当者連絡先h) 登録に関する連絡の担当者連絡先i) 登録者への連絡窓口の連絡先
今回著者らは，上記の内，d)と e)，そしてd)と e)の差分である j)ドメインの登録期間に関して調査を行った(図 4，図 5，図 6)．
2012/4/1

7500
7000
65006000
5500
5000
4500
4000
3500
3000
2500
2000
1500
1000
500
0
1357

9 11 13 15 17 19 21 23 25 27 29 31 33 35 37 39 41 43 45 47 49
ボットネットドメイン登録期間

ノーマルドメイン登録期間

図 6 ドメインの登録期間

３．４ mail,www サーバの有無
ボットネットドメイン，ノーマルドメインに対し，同一ドメインにおける mail サーバ，ウェブサーバの登録の有無の調査を行った(表 3，
表 4)．
表 3 ウェブサーバの有無
ノーマルドメイン

ボットネットドメイン

ウェブサーバ有

４５個

（９０%）

１３個

（５４%）

ウェブサーバ無し

２個

（４%）

４個

（１６%）

返答なし

３個

（６%）

７個

（３０%）

５０個

（１００％）

２４個（１００%）

合計

2009/7/6
2006/10/10
2004/1/14

表 4 Mail サーバの有無

2001/4/19
1998/7/24

ノーマルドメイン

ボットネットドメイン

Ｍａｉｌサーバ有３６個（７２%）

１４個

（５９%）

Ｍａｉｌサーバ無し

１０個（２０%）３個（１２%）

返答なし

４個（８%）

７個

（２９%）

５０個

（１００％）

２４個（１００%）

1995/10/28
1993/1/31
1990/5/7
1987/8/11
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51
ボットネットドメイン登録年月日

ノーマルドメイン登録年月日

図 4 ドメインの登録年月日

合計

調査の結果，ノーマルドメインとボットネッ
トドメイン共に，同一ドメイン上にウェブサーバおよびメールサーバが登録されている割合が高く，２つのドメインにおける差異は見られなかった．

み合わせを選択し，2.2.3 項の数量化理論２類を用いた検知方式に使用するパラメータの組み合わせとする．
ここで，数量化理論２類の適応にあたり，株式会社エスミ社のソフトウェア EXCEL 数量化理論[7]を使用した．

３．５ TTL 値

４．１．１ 実験パラメータ設定値

ノーマルドメインとボットネットドメインの TTL 値を調査した(図 7)．

3 章の調査結果を用いて，実験を行う際に必要となる，数量化理論２類の判別式のパラメータとする(表 5，表 6，表 7)．

1000000

100000

表 5 ドメイン登録期間，ドメイン登録終了年月日のパ
ラメータ設定値

10000

1000

ドメイン登録期間 設定値

100

1-2500 (日)2501-5000 (日)125001-8000 (日)3NA41011357

91113151719212325

ノーマルドメインTTL27293133353739414345474951

ドメイン登録終了 設定値
年月日-2010.09.13
12010.09.142
NA3

ボットネットドメインTTL

図 7 TTL 値

表 6 mail サーバ，ウェブサーバのパラメータ設定値

調査の結果，ノーマルドメインの TTL 値は，特定の値に集中して設定されている傾向にあるのに対し，ボットネットドメインの TTL 値はノーマルドメインのような傾向が見られない，ということがわかった．

４ 実験による最適パラメータの設定と評価
４．１ 実験方法
まず，パラメータ設定実験により，2.2.3 項の数量化理論２類に用いる，最適なパラメータの組み合わせを選択する．パラメータ設定実験
では，3 章の各パラメータ候補に対し，数値を設定することにより，数量化理論２類に適用し，試行を行う．試行は，パラメータの全ての組み合わせに対して行う．そして，試行結果の内，判別率が高く，かつパラメータの組み合わせ数が最小のものを選択する．
次に，パラメータ設定実験にて選択した組み合わせに対して，検証実験を行う．これは，パラメータ設定実験で出力された判別率が，判別式に使用したドメインのデータを，再度判別式に入力して得られた値であるためである．よって，検証実験では，判別式にパラメータ設定実験で使用したデータ以外のドメインのデータを入力し，同様の判別率が得られるか，検証を行う．
そして，パラメータ設定実験と検証実験の結果を比較し，最も検出率の高いパラメータの組

Mailサーバ 設定値
あり

１なし

２ウェブサーバ 設定値
あり
なし

１２

表 7 逆引き，TTL 値，Minimum 値のパラメータ設定値
ＴＴＬ値

設定値

Minimum値

設定値
14

返答が正しくない

２ 100001-1000000

1 1-100
2 101-1000
3 1001-100000

返答が正しい

３ NA

4 NA

逆引き
返答無し

設定値 1-1000
１ 1001-100000

23４．２ 実験データ
実験と検証実験それぞれに使用するドメインのデータを用意する．ボットネットドメインは 19 個あり，ノーマルドメインは 50 個ある．
よって，パラメータ設定実験にはボットネット
ドメインを 10 個，ノーマルドメインを 20 個使用する．検証実験には，ボットネットドメインは残りの 9 個，ノーマルドメインは残り 30個から任意に 20 個選択し，使用する．

４．３ 実験結果
４．３．１ パラメータ設定実験結果
実験結果を表 8 に示す．ただし，表 8 は以下の３つの条件を満たしたパラメータの組み合わせである．今回の実験では，a)，b)を満たす最小のパラメータの組み合わせ数は２つであった．
a) ボットネットドメインの検出精度が 80%以上b) ノーマルドメインの検出精度が 80%以上c) パラメータの組み合わせ数が最小

表 8 実験結果
パラメータの組み合わせ
ボットネットドメイン検出精度 ノーマルドメイン検出精度
ドメイン登録期間
ウェブサーバの有無
80
80
ドメイン登録期間
逆引き9080
ドメイン登録終了年月日
逆引き8080

表 8 より，a)，b)，c)を満たし，かつボットネットドメインの検出率が最も高いパラメー
タの組み合わせは，「ドメイン登録期間」と「逆引き」の２つのパラメータの組み合わせであることがわかった．
また，この２つのパラメータの組み合わせにおける，ボットネットドメインとノーマルドメインを合わせた全体の検出率は 83%であり，誤検出率は 17%であった．

４．３．２ 検証実験結果
検証実験の結果(表 9)，4.3.1 項の a)，b)，c)の条件を満たす 3 つのパラメータの組み合わせの内，最も高い検出率を示したパラメータの組み合わせは，「ドメイン登録期間」と「逆引き」の２つのパラメータの組み合わせであることがわかった．
また，この２つのパラメータの組み合わせにおける，ボットネットドメインとノーマルドメインを合わせた全体の検出率は 86%であり，誤検出率は 14%であった．
表 9 検証実験結果
パラメータの組み合わせ
ボットネットドメイン検出精度（%ノーマルドメイン検出精度（%）
ドメイン登録期間
ウェブサーバの有無
10035
ドメイン登録期間
逆引き
8885
ドメイン登録終了年月日逆引き5585

このパラメータの判別累積グラフを図 8 に示す．
120.0%

100.0%

80.0%
累60.0%
積
40.0%

20.0%

00000

1 .9

2 .1

2 .3

01 .7

00 .9000 .7

1 .5

00 .5

1 .3

00 .3

1.
1000-0.70 .10-0.9-0.1

0-1.10-0.3
00-1.3-0.5

0-1.5-1.7
00.0%

サンプルスコア
ボットネットドメイン累積（%）

ノーマルドメイン累積（%）

図 8 累積判別グラフ

検証実験では，パラメータ設定実験と同じパラメータの組み合わせが，検出率，誤検出率共に比較的良い値を示した．これらの値は，一般には良好な値とは言えない．しかし，C&Cサーバの候補としてチェックの対象とする場合には十分な値である考えられる．

以上より，2.2.3 項の数量化理論に用いる最適なパラメータは，以下の 2 つのパラメータの組み合わせとなった．
・ドメイン登録期間
・逆引き

５ おわりに
本論文では，多段追跡システムのうち，第二段トレースバックシステムを提案し，第二段トレースバックシステムにおける C&C サーバの特定手法として，ブラックリスト方式と数量化理論２類を用いた検知方式に関して述べた．また，実験により，数量化理論２類に用いる最適なパラメータの選定を行い，その有効性を確認した．
今後は，第二段トレースバックシステムの実装を目指すと共に，ボットネットの特徴が変更された場合に対して，動的に対応可能な検知システムの運用を目指す．

参考文献[1]ボットネット概要
http://www.jpcert.or.jp/research/2006/Botnet_summary_0720.pdf[2]高橋正和，村上純一，須藤年章，平原伸昭，
佐々木良一，「フィールド調査によるボットネットの挙動解析」，情報処理学会論文誌，Vol.47，
No.8，2007[3] 藩博文，佐々木良一:IP トレースバックのための出国印方式の試作と評価，情報処理学会
論文誌，Vol.49, No.9, (2008).
[4]三原元，名雲孝昭，芦野祐樹，上原哲太郎，
佐々木良一，「ボットネットの多段追跡システムの構想と CCCDATAset2008 の利用手法」
MWS2008[5] 畑田充弘，中津留勇，寺田真敏，篠田陽一，「マルウェア対策のための研究用データセッ
トとワークショップを通じた研究成果の共有」
MWS2009[6] Malware Threat Center
http://www.mtc.sri.com[7]株式会社エスミ
http://www.esumi.co.jp[8]林知己夫，[数量化-理論と方法]，朝倉書店，
1993 年