Copyright(c)2009-2017 NTT CORPORATION. All Rights Reserved.

MWS 2017 意⾒交換会

D3M (Drive-by Download Data by Marionette)
データセット説明
NTTセキュアプラットフォーム研究所
⾼⽥ 雄太、秋⼭満昭
2017年06⽉06⽇
Copyright©2017 NTT corp. All Rights Reserved.

はじめに：データセット提供の意義
NTT Confidential• 研究開発のサイクルを加速させ、⽇々進化するサイバー攻撃に対抗─ サイクルの循環を加速させるには？
検知技術
観測技術
解析技術
開発・フィードバック

観測

攻撃

実態調査
検証・評価

マルウェア

蓄積

データ

Copyright©2017 NTT corp. All Rights Reserved.

1

研究開発サイクルを加速させるために
NTT Confidential• 近年、各フェーズをサポートする情報やツールが充実化
─ もちろん、さらなる充実化は必要• これらを有効に活⽤し、研究開発を加速
検知技術
観測技術
解析技術
開発・フィードバック
論⽂
ホワイトペーパー
アカデミック国際会議Black Hat / Defcon
CSS/MWS

Honeynet Project
GitHubDocker Hub
SourceForge
MWSCupDatasets

観測
研究⽤
データセット

攻撃実態調査検証・評価

オープンソース
ツール

マルウェア

蓄積

データ

MWS datasets
contagio
MALICIA datasets
Virus Total …

Copyright©2017 NTT corp. All Rights Reserved.

2

D3M の概要
NTT Confidential• データセットの内容
─ 攻撃通信データ▪ 悪性 URL を巡回した際に得られたドライブバイダウンロード攻撃の通信データ

─ マルウェア情報▪ ドライブバイダウンロード攻撃によってホスト上にダウンロードされた実⾏形式のファイルなど

─ マルウェア通信データ▪ 実⾏形式のファイルを取得して24時間以内にマルウェアサンドボックス上で実⾏した際の通信データ▪ マルウェアサンドボックスはインターネットに接続可能（攻撃通信は遮断）

D3M2010

D3M2011

D3M2012

D3M2013

D3M2014

D3M2015

D3M には D3M2010〜2015 が含まれており、数年にまたがった解析により攻撃の変化・傾向を観測できる（かも）Copyright©2017 NTT corp. All Rights Reserved.

3

D3M の取得環境
NTT Confidential• ドライブバイダウンロード攻撃に関連する URL をブラウザへ投⼊し、⾃動的に発⽣する⼀連の Web 通信、ダウンロードした実⾏ファイルの通信を収録
1. 独⾃に収集した悪性 URL リストを⾼対話型ハニークライアント
Marionette で巡回
2. 検知した URL を直ちに再巡回し、その際の通信データを記録
3. 2. で取得した実⾏形式のファイルを、マルウェアサンドボックス
Botnet Watcher で解析し、その時の通信データを記録

⾼対話型
ハニークライアント（Marionette）
脆弱な環境による攻撃・マルウェアの収集検体

マルウェア
サンドボックス（BotnetWatcher）

マルウェアの通信パターン解析

スイッチ
アクセス
悪性サイト (攻撃サイト)

攻撃通信データ (pcap形式)

アクセス
悪性サイト (C&C)
マルウェア通信データ (pcap形式)

Copyright©2017 NTT corp. All Rights Reserved.

4

D3M に含まれる情報
NTT Confidential• 提供されるデータ形式

─ pcap（ドライブバイダウンロード攻撃通信、マルウェア通信）• 攻撃を⾏う URL, ドメイン名, IP アドレス
• 難読化された JavaScript• 攻撃コード（HTML, JavaScript, PDF, Jar, …）• C&C サーバとの通信• など

Copyright©2017 NTT corp. All Rights Reserved.

5最新のD3Mデータセットについて
NTT Confidential• これまでのデータセット (D3M2010-2015) を参考に、是⾮独⾃の攻撃検知/観測基盤を構築していただき、最新データの収集に挑戦してもらいたい！
─ MWS Cup 2016 に参加した各チームの解析ツールを提供:
MWSCup2016Datasets▪ 既に GitHub アップロード済みスクリプトも！

◦ https://github.com/h-uekawa/drive-by-finder

─ 多種多様な組織が所属する MWS におけるデータセット共有、データセットを活⽤した研究推進を活発にしていきたい

今後のデータセットは(Cup等を通じて)皆さんで協⼒して作っていきましょう！
異なる観測点・環境でのデータ収集は重要

Copyright©2017 NTT corp. All Rights Reserved.

6

“意⾒交換” 会ということなので...
NTT Confidential• 実は⾃前でデータセットを収集/活⽤しているという組織・個⼈はいらっしゃいますか？
• データ収集/提供する際の障壁とは？
─ 解析の仕⽅が分からない？

▪ MWS で作った解析ツールで得たデータ提供は可能か？

• どのようなデータセットがあると良い？
─ 似たようなデータセットがあっても別に良い▪ e.g., MWS Cup 2016 Datasets のスクリプトを実⾏/改良してみる、MWSセッション内で結果⽐較してみる等

─ インジケータも貴重な情報でしょう▪ e.g., IOC, マルウェアハッシュ, コードシグネチャ

続きはBoFで7

Copyright©2017 NTT corp. All Rights Reserved.

その他の公開データ
NTT Confidential• Malware Traffic Analysis: 悪性 pcap ファイル─ http://malware-traffic-analysis.net/• Malware domain list: 悪性 URL

─ http://www.malwaredomainlist.com/• hphosts: 悪性ドメイン名

─ http://www.hosts-file.net/

Copyright©2017 NTT corp. All Rights Reserved.

8

研究動向
NTT Confidential• Webサイト巡回

─ [NDSSʼ16] Cache, Trigger, Impersonate: Enabling Context
Sensitive Honeyclient Analysis On-the-Wire• リダイレクト分析

─ [Securityʼ15] WebWitness: Investigating, Categorizing, andMitigating Malware Download Paths
─ [SecureCommʼ16] Website Forensic Investigation to Identify
Evidence and Impact of Compromise• Exploit kit / JavaScript 解析

─ [NDSSʼ15] EKHunter: A Counter-Offensive Toolkit for Exploit Kit
Infiltration
─ [CODASPYʼ16] Detecting Malicious Exploit Kits using Tree-based
Similarity Searches─ [DSNʼ16] Kizzle: A Signature Compiler for Detecting Exploit Kits
─ [WWWʼ17] J-Force : Forced Execution on JavaScript
Copyright©2017 NTT corp. All Rights Reserved.

9おわりにNTT Confidential• 「検知観測技術 > データ収集 > 実態調査」の研究開発サイクルを加速し、サイバー攻撃に対抗
MWS では様々なデータセットが提供されているが、さらなる充実化のために MWS 全参加組織の協⼒の下、データセット作成と論⽂投稿のご協⼒をいただきたい

Copyright©2017 NTT corp. All Rights Reserved.

10