DEIM Forum 2014 D4-3

マハラノビス距離によるトラフィック異常検知への MSD 法の適用
An Application of the MSD method to the Mahalanobis based Traﬃc Anomaly
Detection
松井 友哉†

秋山 豊和†† 京都産業大学コンピュータ理工学部 〒 603-8555 京都府京都市北区上賀茂本山
E-mail: †{g1045038,akiyama}@cse.kyoto-su.ac.jp
あらまし

異常検知手法では，データ間の相関を考慮したマハラノビス距離を用いることが多い．しかし，マハラノ

ビス距離を用いた異常検知手法では，外れ値の影響を受けやすく異常の検知精度が低下する．多くの場合，外れ値の影響を除外するため，外れ値を除いた過去の系列に対する平均ベクトル，分散共分散行列を用いて，現在の系列に対する異常検知が行われている．本研究では，マハラノビス距離を用いた異常検知手法において外れ値の影響を受けに
くい MSD 法を適用することにより，外れ値を含んだ最新の系列を用いて異常検知を可能にする．対象データとしては，トラフィックデータから抽出したエントロピー値を用い，従来の手法と異常検知精度の比較を行う．異常検出時には，マハラノビス距離が χ2 分布に従うことを利用し，品質管理時に利用される 2 σ法，3 σ法と同様に，分布の95.4%点，99.7%点，99.9%点などの信頼区間を閾値として異常検出する．評価結果より，MSD 法のトラフィック異常
検知への適用可能性について議論する．

The Mahalanobis distance is often used for anomaly detection because it can handle data correlation．However，
since the Mahalanobis distance based anomaly detection methods are sensitive to outliers，it is easy to decrease
their accuracy．In order to exclude the inﬂuence of outliers，the average and variance values of the past sequence
data without outliers are mostly used for the current sequence investigation．In this study，we propose to apply
the MSD method，which is less sensitive to outliers ，to the Mahalanobis distance based method．It enables us
to use recent sequence including outliers．We use the entropy value extracted from the traﬃc data as the target
data，and compare the accuracy with conventional methods．Since the distribution of Mahalanobis square distanceis known to be the chi-square distribution，we adopt its conﬁdence interval，e.g. 95.4% or 99.7%，as a thresholdfor anomaly detection．From the evaluation results，we will discuss the applicability of MSD method to the traﬃcanomaly detection．
キーワード

多変量外れ値検出，MSD，エントロピー

1. は じ め にMultivariate Outlier Detection，MSD，Entropy
知手法の 1 つとして，これまでに，ネットワークトラフィックから得られる情報を多変量変数と考え，データ間の相関を考慮

近年，ネットワーク環境が一般的なものとなり各家庭に普及したマハラノビス距離を用いた異常検知手法が提案されている．

している. スマートフォンやタブレット端末などの利用者が増

しかし，マハラノビス距離を用いた異常検知手法では，外れ値

加傾向にあり, ネットワークがより身近な存在として定着しての影響を受け異常の検知精度が低下する．多くの場合，外れ値いることが伺える [1]．一方，ウイルスやサイバー攻撃の手口はの影響を除外するため，外れ値を除いた過去の系列に対する平

年々巧妙化の一途をたどり， 不正アクセスや情報漏洩と言った

均ベクトル，分散共分散行列を用いて，現在の系列に対する異問題を招いている．サイバー攻撃の手口として多く見られるも常検知が行われている [3]．そこで，本研究では，外れ値の影響のとして，サーバなどのネットワークを経由している機器を対を受けにくい MSD(Modiﬁed Stahel-Donoho) 法を適用するこ

象に大量データやパケットを送りつけサービスの提供を不能にとにより，外れ値を含んだ最新の系列に対して異常検知を行い，する DoS/DDoS 攻撃などがある [2]．このような異常パケット

最新の動向を考慮した異常検知の有効性を検証することを目的

により，ネットワークの安全性が脅かされている．そのため，イとする．そして，従来の手法 [3] と異常検知精度の比較を行う

ンシデント発生後の早期異常検知も含め，定常的なネットワー

ことにより，トラフィック異常検知への適用可能性について明ク監視により，異常を検知する運用が求められている．異常検らかにする．

2. 既 存 手 法

2. 2 EMMM の問題点

マハラノビス距離を用いたトラフィック異常検知手法としEMMM では，外れ値を除くことにより新たな問題点が生まてエントロピーベース多次元マハラノビス距離法：EMMM

れている．外れ値を除いた過去の時系列に基づいて異常検知を（Entropy based Multi dimensional Mahalanobis distance行うため，狭い窓幅の場合，過去の時系列が十分に溜まるまで

Method: EMMM）[3] が提案されている．本節では，EMMM

異常判定が安定しない．また，広い窓幅においては，各情報源の概要について述べたあと，その問題について述べるから得られるエントロピーの絶対数が少なくなるため同様に不安定な判定結果となる．このことから，外れ値を含んだ状態の

2. 1 EMMM の概要

系列から安定した平均ベクトル，分散共分散行列を求める方法

EMMM は，情報源 (変数) のエントロピー値を用いて，多変が必要であると考えられる．

数間の相関から異常を検知する統計的手法である．EMMM では，連続したパケット列を窓幅と呼ばれる基準長で，窓と呼ば3. 提 案 手 法

れる一定区間に区切る．窓幅は時間またはパケット数を単位と2.2 節で述べたように，外れ値の除去を行うことで，マハラする．窓に入ったパケットが持つ IP アドレスやポート番号な

ノビス距離算出時に用いるエントロピーの絶対数が少なくなる

どの情報源から各シンボルごとの出現確率 Pi を求める．情報ことから，正確な判定が難しくなることが想定される．

源が m 個の異なるシンボルを持つとすると，エントロピーは

そこで，外れ値判定の閾値を用いて値の除去を行わず，外れ値を含んだ状態からマハラノビス距離を算出する．しかし，そ次式で定義される．
m∑

エントロピー H = −Pi log2 Piのままでは外れ値の影響を受けるため MSD 法 [4] を用いて，外…(1)

れ値の影響を低減する．MSD 法では，データを多方向に射影する．データ分布に対して，中央にあるものを中心部，中心部

i=1

情報源の数を k とすると，時刻 t ではエントロピーベクトルの周囲にあるデータを周辺部とし，異なる重み付けを行う．重

Ht = (Ht ・ 1 , …, Ht ・ k ) が得られる．時刻 t + 1 におけるエンみに差を持たせることにより，外れ値の与える影響を弱めるこ

トロピーベクトルを Ht+1 ，時刻 t までのエントロピー平均ベとや影響を排除することができる．また，平均ベクトルと分散

クトル H̄t と分散共分散行列 Σt から以下のようにマハラノビ

共分散行列に，異常判定の対象となるエントロピーベクトルまス距離を算出する．

でを含むことでマハラノビス距離算出時にエントロピーの絶対

Dm =

√

(Ht+1 − H̄t )T (Σt )−1 (Ht+1 − H̄t )数が増え，安定した結果が得られると考えられる．この手法を…(2)

平均ベクトルおよび分散共分散行列は，外れ値の影響を受け以降では MSD-EMMM と呼ぶ．

3. 1 MSD法る傾向があるため，t + 1 以降の異常検知に影響を及ぼすこと

MSD 法は，外れ値の介入によるデータへの影響を抑える手が考えられる．このことから，外れ値判定の閾値θを設ける．

法である．データを多方向の直線上に射影することにより，中

Ht+1 から求めたマハラノビス距離に対し，Dm > θ が成り立心部と周辺部に分離し重み付けによる差を設ける．重みの差につ場合 Ht を外れ値と見なす．外れ値と判定された Ht は Ht+1

より，外れ値によるデータへの影響を弱めたり，あるいは影響

以降，平均ベクトルおよび分散共分散行列の演算に利用せず除を排除することが可能となる．この重み付けを 1 次ウェイトと去する．この平均ベクトルと分散共分散行列の更新を学習と呼呼ぶ．1 次ウェイトを用いて，外れ値の影響を受けにくい平均

ぶ．なお，外れ値判定されたベクトルはそのまま異常値としてベクトルと分散共分散行列を算出する．次に，分散共分散行列出力される．

を固有値分解することで主成分分析をおこなう．固有値の値にEMMM の検出手順を以下に示す．
（ i ）パケットを収集し，窓内の情報源から各シンボルごとの出現確率をもとにエントロピー値を求める．
（ ii ）対象となるエントロピーベクトルから平均ベクトルと分散共分散行列を用いてマハラノビス距離を算出する．

かかわらず，すべての固有ベクトルを用いて再射影し，ウェイ
トを精緻化することでさらに精度を高めた平均ベクトルと分散共分散行列の値とする．
詳細な手順を以下に示す．

( i ) 一次ウェイトの算出（ iii ）外れ値判定の閾値より，外れ値と判定されれば，マハ

一定数のランダムな直交基底を作成し，基底を構成する各

ラノビス距離算出に用いたエントロピーベクトルを平均

基底ベクトルへ直線上にデータポイントを射影する．そのベクトル，分散共分散行列の計算対象から外し，異常値

線上で中心からの距離（残差）を求め，この大きさから一として出力する．
（ iv ）( ii ) に戻り処理を繰り返す．
このように，EMMM はエントロピーによる情報量から各情報源の相関を考慮した統計的異常検知手法である．

次ウェイトを設定する．

( ii ) ウェイト付き主成分分析
一次ウェイトを用いて平均ベクトルと分散共分散行列を推計し，得られた分散共分散行列から固有値と固有ベクトルを求めることにより主成分分析を行う．

算処理を行う．窓幅の大きさにより検出に影響が及ぶため，適( iii ) 最終ウェイト( i ) における直交基底を主成分分析により生成された固有

切な窓幅の選択が必要である．窓幅の設定にはパケット数で窓ベクトルに変え，同様の処理を行い二次ウェイトとする．

幅を指定する方法と，時刻で指定する方法がある．EMMM を

一次ウェイトと二次ウィエイトを比較し，小さい方を最終参考に MSD-EMMM においても窓幅をパケット数で指定する．

ウェイトとする．

さらに，窓幅の広さを 10,000，1000，100 の 3 種類とし，窓幅の広さによる影響について評価を行う．

( iv ) 最終推計値
最終ウェイトを用いて，再び平均ベクトルと分散共分散行列を算出する．
これらの手順により，外れ値の介入によるデータへの影響を抑4. 評 価 方 法
本節では EMMM と MSD-EMMM の評価方法について述べる．4.1 節で評価で用いる指標について，4.2 節で対象とする

えた値となる．

データセットについて述る．

4. 1 評 価 指 標

3. 2 MSD-EMMM
MSD-EMMM は 2.1 節で述べた EMMM に対して 3.1 節で異常検知の評価手法では，異常を正常と判定する FalseNeg-

述べた MSD 法を適用した手法である．MSD 法により得られative(FN) や正常を異常と判定する FalsePositive(FP) の値がた平均ベクトルと分散共分散行列から下式のマハラノビス距離用いられる．FN および FP はトレードオフの関係にあるため，を求める．

FN，FP を総合的に評価する必要がある．そこで，F 尺度を用

Dm =

√

いる [3]．F 尺度は以下の式からなる．

(Ht − H̄t )T (Σt )−1 (Ht − H̄t )

…(3)

tp
tp + f p
tp
適合率 P =
tp + f p
再現率 R =

検出手順は以下の通りである．

( i )EMMM の手順と同様，パケットを収集し，(1) 式から各情報源に対するエントロピーを算出する．

(ii) エントロピーベクトルに MSD 法を適用し，平均ベクトルと分散共分散行列を算出する．

(iii) 得られた平均ベクトルと分散共分散行列からマハラノビ
ス距離を算出する．

値

ノビス距離を二乗したマハラノビス平方距離は，自由度 k のχ2 分布に従うことが知られている [3]．この χ2 分布における確率密度関数は Γ (x) をガンマ関数として( 12 )kx

x 2 −1 e− 2Γ ( k2 )異 常 判 定 の 結 果 ，tp は 異 常 を 異 常 と 検 知 し た True-

Positive(TP) の回数，fp，fn は誤検知となった FP と FN の回1 に近いほどよい．

ここでは，k 次元マハラノビス距離について考える．マハラ

f (x) =…(7)

しく異常検知が行えていることを示す．また，F 尺度も同様に，(v) 外れ値判定の閾値より，異常判定を行う．

k
2

…(6)

数である．どちらも 0 から 1 の間の値をとり，1 に近いほど正(iv) (ii) に戻り処理を繰り返す．

3. 3 閾

2RP
1
=
1
1
R
+P
(
+
)
2 R
P

F = 1

…(5)

4. 2 データセット
DARPA2000 の デ ー タ セット を 用 い て 比 較 評 価 を 行 う．
DARPA2000 のデータセットは二種類からなる．ルータの内側で観測されたパケット (以下，inside データと呼ぶ) とルータの外側で観測されたパケット (以下，dmz データと呼ぶ) である．

inside データには DDoS 攻撃パケットが，dmz データには IP…(4)

アドレススキャンおよび DDoS 攻撃からなる異常パケットが含まれている．本稿では，inside データを用いて比較評価を行う．

で表される．マハラノビス平方距離が a 以下の値を取る確率は

全 649,787 パケットが観測されており，そのうち攻撃パケット

確率密度関数の性質から

f (x)dx となるため，トラフィック
0は 403,161 - 476,716 の区間 (以下ではこの区間を異常区間と呼から抽出したすべての値のうち正常値が占める割合を p と過程ぶ) で観測されている．なお，ARP や ICMP のパケットは，IP

すると， 0 f (x)dx = p を満たす a は計算で求められる [5]．し√たがって，EMMM および MSD-EMMM では a を閾値としアドレスやポート番号が含まれないなど，各情報源に対して得て設定することができる．a = 25 のときに p = 0.997 が得られてしまう．そのため，今回の異常検出において ARP や ICMP

た．文献 [3] を参考に，EMMM と MSD-EMMM では a = 5，のパケットは，収集時に除去するように設定を行った．また，

10，15，20 を閾値として設け，閾値による影響の評価を行う．

エントロピーの算出に必要となる情報源は，文献 [3] と同様送∫a∫a

られる情報が少ないため，これらを含むことで異常と判断され

信元 IP アドレス (srcip)，送信先 IP アドレス (dstip)，送信先

3. 4 窓幅

ポート番号 (srcport)，送信先ポート番号 (distort)，パケット

2.1 節でも述べたが，統計的手法では連続したパケット列を長 (length)，プロトコル (protocol)，TTL 値 (ttl)，フラグメ

窓幅と呼ぶ基準長で区切り，窓内に入ったパケットに対して演

ント ID(id)，フラグメント用のフラグの状態 (ﬄag) の 9 種類

としている．さらに，分散共分散行列は，データ数よりも変数の数が多い場合に正常な値を生成しないため，その間に生成されるマハラノビス距離を 0 で置き換える．

4. 3 評 価 環 境
データセットの分析にはプロトコルアナライザ tshark[6] および文献 [4] に掲載されている R 言語で実装された MSD 法のコードを用いた．tshark によりパケットキャプチャデータに対して不要なデータのフィルタリング，分析に必要な情報源の抽出を行い，その後 R 言語を用いて実装した EMMM，MSD-EMMM
により異常判定を行った．判定結果評価用の F 尺度の計算も同様に R 言語で実装した．

5. 評 価 結 果
本節では，inside データを用いた比較評価の結果を示す．まず，MSD-EMMM の特性を調査するため，5.1 節で窓幅による影響について，5.2 節で窓幅および閾値を変化させた場合の F 尺度の変化について述べる．その後，5.3 節で EMMM と図 1 窓幅 10,000 の MSD-EMMM

MSD-EMMM における F 尺度の比較結果について述べる．さらに，5.4 節では，エントロピーベクトル数と算出時間ならびに F 尺度の関係について述べ，処理時間改善の可能性について議論する．最後に 5.5 節で今後の課題について述べる．

5. 1 窓幅による影響
窓幅を 10,000，1000，100 と変化させ MSD-EMMM でマハラノビス距離を求めたものを図 1 に示す．横軸は窓番号，縦軸はマハラノビス距離を示している．窓幅により，算出されるマ
ハラノビス距離の絶対値が大きく異なるため，0 から 1 の区間
で正規化を行っている．まず，異常区間については，窓幅によらず異常を検出することができている．窓幅 10,000 では，窓幅が広くいことから異常区間における反応が遅れていることがわかる．窓幅 100，1000 においては，異常区間のはじまりと同時に反応がみられる．また，窓幅 100，1000 におけるマハラノビス
距離について，算出開始直後は，値が安定せず 20,000[packets]
付近までバラツキがみられる．窓幅が狭い場合は，エントロ

図2

窓幅 1000 の MSD-EMMM

ピーベクトル Ht の各要素のバラツキが大きく，マハラノビス
距離も大きくなる傾向がある [3]．そのため，MSD-EMMM においても，狭い窓幅で即応性は見られるが，エントロピーベク
トル Ht の絶対数が少ない場合マハラノビス距離が大きくなっている．

5. 2 閾値および窓幅の F 尺度への影響
閾値をθ = 5，10，15，20 と変化させた結果をについて，窓幅が 10,000 の場合を表 1，1000 の場合を表 2，100 の場合を表3 にそれぞれ示す．この結果から，窓幅 10,000 から窓幅 1000
へ窓幅を狭くした際には F 尺度が向上していることがわかる．
さらに，閾値を大きくすると F 尺度が向上していることがわかった．窓幅 1000 においては θ ≧ 15，100 においては θ ≧20 において F 尺度が 0.8 以上となった．また，低い F 尺度になると想定された窓幅 10,000 にいて閾値θ ≧ 5 で 0.4 以上の図 3 窓幅 100 の MSD-EMMM

値が得られた．これは，窓幅が広くエントロピーベクトル Ht

対数も増えるため，算出されるマハラノビス距離が安定し，エの絶対数が少ないが，MSD 法により精緻化した平均ベクトル，

ントロピー数確保の面で，MSD-EMMM の利点が薄れる．一

分散共分散行列を用いた結果であると考えられる．このことか

方，MSD-EMMM の F 尺度が逆に低下している．これは，図ら，広い窓幅でエントロピーベクトル Ht の絶対数が少ない場

3 からも分かる通り，10,000[packets] までに多くの異常を検知

合においても，MSD 法を用いることにより安定したマハラノ

していることが原因となっている．10,000[packets] までのキャビス距離の値が得られると考えられる．

プチャデータを確認したところ，観測開始時点から DNS パケッ
トが急増していること，その後 DNS パケットが減少し，逆に

表1

窓幅 10,000 による閾値ごとの F 尺度

TCP パケットが増加していることなどが，検知されていることがわかった．つまり，DDoS 攻撃ではないが，より詳細なト

窓幅

閾値θ

F 尺度

W = 10,000

50.4324

ラフィック変動が検知できていることが分かる．対象の検知方

W = 10,000

100.5714

法を工夫することで，DDoS 攻撃以外の特異なトラフィック変W = 10,000

150.6154

動の検知に利用できる可能性がある．

W = 10,000

20

0.6667
表 4 窓幅 10,000 における MSD-EMMM と EMMM

表 2 窓幅 1000 による閾値ごとの F 尺度
窓幅

閾値θ

F 尺度

W = 100050.4601

W = 1000

100.6372

W = 1000

150.8324

W = 1000200.8889

窓幅閾値θ

W = 10,000

50.43240.25

W = 10,000

100.57140.25

W = 10,000

150.61540.25

W = 10,000

20

0.6667

0.25

MSD-EMMM EMMM

表 5 窓幅 1000 における MSD-EMMM と EMMM
表 3 窓幅 100 による閾値ごとの F 尺度
窓幅

閾値θ

F 尺度

W = 100

50.4068W = 100

100.6059W = 100

15

0.7281

W = 100

20

0.8295

窓幅

閾値θ

MSD-EMMM EMMM

W = 100050.4601

0.48

W = 1000

100.6372

0.65

W = 1000

150.83240.75

W = 1000200.88890.85

表 6 窓幅 100 における MSD-EMMM と EMMM
窓幅閾値θ

5. 3 EMMM との比較

W = 100

50.40680.80

MSD-EMMM と EMMM の比較を行う．文献 [3] では F 尺度

W = 100

100.60590.98の数値が記載されていないため，グラフから推測した値によりW = 100

15

0.7281

0.98

MSD-EMMM との比較を行う．EMMM および MSD-EMMM

W = 100

20

0.82950.99

MSD-EMMM EMMM

では閾値をθ = 5，10，15，20 と設定した．窓幅 10,000，1000，

100 における F 尺度の比較を行ったものをそれぞれ表 4，表 5，

比較評価では，文献 [3] と同様に 9 変数を用いて，マハラノビ

表 6 に示す．表 4 から窓幅 10,000 の場合，表 6 から窓幅 100 のス距離を算出している．しかし，length，proto，ttl，id，ﬄag

場合，F 尺度において大きな数値差が生じていることがわかる．

などの変数においては，DDoS 攻撃への相関が少なく，これら

一方で，窓幅 1000 における差は小さいことがわかる．窓幅 1000の変数を用いても検出の向上につながり難い [3]．本来ならこれに着目すると，閾値θ ≦ 10 においては，MSD-EMMM より

らのパラメータは DDoS 攻撃検知の観点からは削除したほうがも EMMM のほうが高い．また，窓幅 10,000 においては，すべ望ましいが，比較評価のため，同じ条件を用いた．なお，異常ての閾値において MSD-EMMM の方が高い結果となっている．

とは相関の少ないエントロピー要素が介入していても EMMM，

このような要因として，窓幅 10,000 の EMMM では，エントロ

MSD-EMMM ともに異常は検出できた．また，窓幅を適切に

ピーベクトル Ht のサンプル数が足りず，マハラノビス距離が選択することで，EMMM を上回る F 尺度を得ることができ大きな値を取ることにより誤検知を招いている．MSD-EMMM

た．窓幅 10,000 では閾値θ ≧ 5 で，窓幅 1000 では閾値θ ≧においては，外れ値を除くことがないため，EMMM のエント

15 において F 尺度の向上がみられ，MSD-EMMM は窓幅がロピーベクトル Ht と比較し，一定数のエントロピーを用いて広い場合に有用性が見られる．

マハラノビス距離を算出することができている．また，MSD法により，精緻化された平均ベクトル，分散共分散行列を用いていることで，安定したマハラノビス距離の算出を行えるた

5. 4 エントロピーベクトル数における算出速度および F 尺
度の関係

め，誤検知の抑制につながっている．そのため，広い窓幅にお平均ベクトルおよび分散共分散行列の算出には一定数のエン

いて，EMMM よりも高い F 尺度を算出することができたと言トロピーベクトルが必要である．エントロピーベクトル数の増

える．窓幅 100 においては，窓幅が狭く EMMM においても未減により算出時間の短縮および F 尺度の精度に影響を与えると知の情報が 100 と小さくなる．それに加え，エントロピーの絶考えた．そのため，inside データおよび dmz データを用いて

エントロピーベクトル数を徐々に増加させた際の算出時間および F 尺度の観測を行った．inside データを用いた窓幅 10,000，
窓幅 1000 におけるベクトル数と F 尺度の推移を表 7，表 8 に，dmz データを用いた窓幅 10,000，窓幅 1000 におけるベクトル表8

窓幅 1000 におけるベクトル数と F 尺度の推移 (inside データ)数と F 尺度の推移を表 9，表 10 にそれぞれ示す．inside デー閾値θタを用いた窓幅 10,000，窓幅 1000 におけるマハラノビス距離

50.29970.46300.4630を図 4，図 5 に，dmz データを用いた窓幅 10,000，窓幅 1000

100.39290.63440.6429におけるマハラノビス距離を図 6，図 7 にそれぞれ示す．表 7，150.44330.83720.8324

表 8，表 9 から，ベクトル数 10 の場合，ベクトル数 100 にお20

0.46990.88890.8889

算出時間

1927.792

2355.487

2722.309

ける算出時間は最も良い結果であるが F 尺度は優れなかった．
しかし，ベクトル数 20 およびベクトル数 200 からは全ベクト閾値θ

ベクトル数 100 ベクトル数 200 ベクトル数 300

ベクトル数 400 ベクトル数 500 ベクトル数 600

50.46300.46150.4601100.64290.64290.6429かった．表 10 では，ベクトル数 100 においても F 尺度の精度

150.83240.83720.8372が高く，ベクトル数を 350 まで 50 ずつ変化させた結果と同様

20

0.88890.88890.8889の値を示した．また，図 4 から図 7 からも，窓幅 10,000 では

算出時間

3002.554

3235.633

3387.408

ルを用いた場合の F 尺度と同様の結果となっていることがわ

ベクトル数 20 以降から，窓幅 1000 ではベクトル数 200 以降から算出されたグラフは同様の形状を示した．このことから，
平均ベクトルおよび分散共分散行列の算出において全エントロ
ピーベクトル数を用いる必要はなく，窓幅 10,000 であればベク
トル数 20，窓幅 1000 であればベクトル数 200 程度から同様のF 尺度を算出することができる．全ベクトル数を用いる場合よりも算出時間の短縮が行えるため，MSD-EMMM を用いる際にはベクトル数を減らすことが望ましい．一方，EMMM の算

表 9 窓幅 10,000 におけるベクトル数と F 尺度の推移 (dmz データ)

出時間は窓幅 10,000，窓幅 1000，窓幅 100 においてそれぞれ，

閾値θ

ベクトル数 10

ベクトル数 20

ベクトル数 3050.18180.47090.47090.207sec，1.987sec，65.696sec のようになっている．EMMM

100.2222

0.53330.5000と比較すると，MSD-EMMM の算出時間は非常に長くなって

15

0.26670.53330.5714

おり，少なくとも現状の実装ではリアルタイム処理には利用で

20

0.30770.61540.5714

算出時間65.31671.27676.130

きないと考えられる．
表7

窓幅 10,000 におけるベクトル数と F 尺度の推移 (inside データ)閾値θ

ベクトル数 10

ベクトル数 20

ベクトル数 3050.17780.39020.4211100.2286

0.53330.5517150.24240.55170.6400200.25000.76190.6667

算出時間

169.063

177.750

188.971閾値θ

ベクトル数 40

ベクトル数 50

ベクトル数 6550.44440.43240.4571

10
15
20
算出時間

0.59260.64000.6957
195.965

0.61540.64000.6957201.024表 10

窓幅 1000 におけるベクトル数と F 尺度の推移 (dmz データ)閾値θ

ベクトル数 100 ベクトル数 150 ベクトル数 200

0.5926

50.55280.55280.57850.6400100.68890.68130.70450.6667150.77500.77500.7848200.86110.86110.88571140.289

1258.726

1361.914

205.762

算出時間

その他の算出時間短縮のアプローチとして，窓幅の拡大や情閾値θ

ベクトル数 250 ベクトル数 300 ベクトル数 350

50.56200.56200.5600100.69660.71260.7045

エントロピー数が多くなり平均ベクトル，分散共分散行列を算150.78480.78480.8052

出するまでに時間を要する．また，少ない情報源数では正確に

200.88570.88570.8732

異常を検出することが難しく，多すぎる情報源数においては算

算出時間1442.197

1507.498

1549.850

報源数（変数の数）の削減などが考えられる．窓幅が狭い場合，

出時間の遅延を招く．比較評価の実験では，MSD-EMMM の窓幅 10,000 の算出時間は 221 秒，窓幅 1000 では 5071sec であり，指数関数的に算出時間が増加していると考えられる．しか図 4 窓幅 10,000 の MSD-EMMM(inside データ)

図6

窓幅 10,000 の MSD-EMMM(dmz データ)

図 5 窓幅 1000 の MSD-EMMM(inside データ)

図 7 窓幅 1000 の MSD-EMMM(dmz データ)

し，検知精度を高くするためには，ある程度狭い窓幅，情報源数が必要であり，実用性を考えた場合，マハラノビス距離算出

謝

辞までに要する時間を短縮させる必要がある．一方，現在用いて本研究の一部は，SCOPE ICT イノベーション創出型研究開いる情報源数には DDoS 攻撃に対して直接関与していないがあ発ならびに国立情報学会研究所との共同研究の助成を受けて実るため，それらの変数を除く方法が考えられる．それにより，施したものである．

マハラノビス距離の変化にともなう検出精度が低下する可能性も考えられる．そのため，算出時間の短縮と，検出精度の両立の点を考え，今後より詳細に検証していく必要がある．

5. 5 今後の課題
5.3 節で述べた短い窓幅においてより詳細なトラフィック変動が検知できる特性については，今後詳細に調査する必要がある．
また 5.4 節で述べたように，算出時間の短縮も課題の一つである．さらに，窓幅 10,000 の 10,000[packets] 付近から EMMMの検出精度が大幅に低下することを確認している．これは，十分にエントロピーベクトル数が確保できない状態でトラフィッ
クの傾向が変動した場合，EMMM では異常検知できなくなることを示している．このようなケースで MSD-EMMM による検知を併用する方法などが考えられる．今後詳細に検討していく必要がある．本研究では，DARPA2000 のデータセットを用いて MSD-EMMM の評価を行った．今回用いた DARPA2000の inside データは攻撃箇所が一箇所のみであった．そのため，攻撃が断続的に行われている DARPA2000 の dmz データなども用いて検証する必要がある．また，含まれている異常パケッ
トは mstream と呼ばれるツールを用いて生成されたものであり [3]，実ネットワークにおいては，ツールが生成できる攻撃以
外にも様々な攻撃が含まれる．多様な攻撃に対応できるかどうかの検証には，MAWI[8] で観測されているトラフィックデータ
を用いるなど，実ネットワークへの適用が不可欠である．

6. お わ り に本研究では，マハラノビス距離を利用した統計的異常検出手法である EMMM に MSD 法を適用し，検知精度から適用可能性について評価を行った．その結果，EMMM では検出精度が低かった広い窓幅において MSD-EMMM が優位であることがわかった．MSD-EMMM は算出時間を要するが，広い窓幅においては，比較的短時間で算出できるため，対象となる観測環
境において，短期間での観測データ出力が困難な場合などにおいて，有効に利用できるものと考えられる．エントロピーベク
トル数と算出時間および F 尺度の関係を調査したところ，ベク
トル数が多いほど算出時間を要するが，一定のベクトル数から

F 尺度に増加はみられなかった．ベクトル数の調整によりある程度の算出時間の短縮が可能であると考えられる．
今後は，5.5 節で述べたような MSD-EMMM の応用方法の検討ならびに実用的な算出時間の実現を目指して手法を改良していく必要がある．また，実トラフィックを用いた検証も必要であると考えられる．

文

献[1] ”電通，スマートフォンについての利用実態を調査〜急増する若者ユーザーの「スマ充」ライフ〜”
http://www.dentsu.co.jp/news/release/2012/pdf/2012036-0329.pdf，2014 年 1 月参照．
[2] ”情報処理研究機構 2011 年度情報セキュリティ事象被害状況調
査報告書”，http://www.ipa.go.jp/ﬁles/000024392.pdf，2014
年 1 月参照．
[3] 小島俊輔，中嶋卓雄，末吉敏則，”エントロピーベースのマハラ
ノビス距離による高速な異常検知手法”，情報処理学会論文誌
Vol.52，No.2，pp.656-668，2011 年 2 月．
[4] 和田かず美，”多変量外れ値の検出 〜MSD 法とその改良手法について〜”, 統計研究彙報 第 67 号 2010 年 3 月 (89〜157)[5] 藤原雄介，”マハラノビス距離による異常検知手法のクラスタリ
ングを利用した改良の提案”，奈良先端科学技術大学院大学情報科学研究科修士論文，2013 年 9 月．
[6] D.2. tshark: Terminal-based Wireshark，
http://www.wireshark.org/docs/wsug html chunked/AppToolstshark.
html，2014 年 1 月参照[7] The R project for Statistical Computing，http://www.
r-project.org/，2014 年 1 月参照[8] MAWI Working Group Traﬃc Archive．http://mawi.wide.
ad.jp/mawi/，2014 年 1 月参照．