MWS  2016  意⾒見見交換会

D3M  (Drive-‐‑‒by  Download  Data  by  Marionette)
データセット説明
NTTセキュアプラットフォーム研究所
秋⼭山  満昭、⾼高⽥田  雄太
2016年年05⽉月30⽇日Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

はじめに：データセット提供の意義• 研究開発のサイクルを加速させ、⽇日々進化するサイバー攻撃に対抗─ サイクルの循環を加速させるには？
検知技術
観測技術
解析技術
開発・フィードバック

観測

実態調査
検証・評価

蓄積

攻撃
マルウェア
データ	  Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

2	

研究開発サイクルを加速させるために• 近年年、各フェーズをサポートする情報やツールが充実化
─ もちろん、さらなる充実化は必要• これらを有効に活⽤用し、研究開発を加速
検知技術
観測技術
解析技術
開発・フィードバック
論論⽂文
ホワイトペーパー
アカデミック国際会議
Black  Hat  /  Defcon

MWS
への投稿

検証・評価

オープンソース
ツール

観測

実態調査
蓄積

ノウハウ共有Honeynet  Project
GitHubDocker  HubSourceForge  ...

MWS  datasets  の充実化

攻撃マルウェア
データ

研究⽤用
データセットMWS  datasets
contagio
Virus  Total  …

	  Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

3	

D3M  の概要
• データセットの内容
─ 攻撃通信データ▪ 悪性  URL  を巡回した際に得られたドライブバイダウンロード
攻撃の通信データ

─ マルウェア情報▪ ドライブバイダウンロード攻撃によってホスト上にダウンロードされた実⾏行行形式のファイル情報など

─ マルウェア通信データ▪ 実⾏行行形式のファイルを取得して24時間以内にマルウェアサンド
ボックス上で実⾏行行した際の通信データ▪ マルウェアサンドボックスはインターネットに接続可能（攻撃通信は遮断）

D3M2010 　  D3M2011 　  D3M2012 　  D3M2013 　 　D3M2014 　  D3M2015

D3Mには  これまで提供されたデータセット全て  が含まれており、数年年にまたがった解析により攻撃の変化・傾向を観測できる（かも）	  Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

4	

D3M  の取得環境• ドライブバイダウンロード攻撃に関連する  URL  をブラウザへ投⼊入し、⾃自動的に発⽣生する⼀一連の  Web  通信、ダウンロードした実⾏行行ファイルの通信を収録
1. 独⾃自に収集した悪性  URL  リストを⾼高対話型ハニークライアント  Marionette  で巡回2. 検知した  URL  を直ちに再巡回し、その際の通信データを記録
3. 2.  で取得した実⾏行行形式のファイルを、マルウェアサンドボックス  Botnet  Watcher  で解析し、その時の通信データを記録

⾼高対話型
ハニークライアント（Marionette）
脆弱な環境による攻撃・マルウェアの収集

検体

マルウェア
サンドボックス（BotnetWatcher）

マルウェアの通信パターン解析

スイッチ	 　アクセス 　 　 　 　 　 　 　 　 　 　 　 　攻撃攻撃通信データ  (pcap形式)

悪性サイト  (攻撃サイト) 　アクセス 　 　 　 　 　 　 　 　 　 　 　 　コマンド

マルウェア通信データ  (pcap形式)	  悪性サイト  (C&C)

Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

5	

D3M  に含まれる情報• 提供されるデータ形式

─ pcap（ドライブバイダウンロード攻撃通信、マルウェア通信）• 攻撃を⾏行行う  URL,  ドメイン名,  IP  アドレス
• 難読化された  JavaScript• 攻撃コード（HTML,  JavaScript,  PDF,  Jar,  …）• C&C  サーバとの通信• など	  Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

6	

D3Mのデータ量量

D3M
2010
2011
2012
2013
2014
2015

URL数554283
158
4656299

pcap  サイズ
130  MB33  MB29  MB
14  MB
11  MB
300  MB	  Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

7	

D3M提供形態の変更更• 今までのデータセット（D3M2010-‐‑‒2015）
─ ⽬目的：攻撃⼿手法の理理解，基本的な研究の着⼿手
─ 利利⽤用形態：今まで通りMWSと契約して⼊入⼿手• 最新のデータセット─ ⽬目的：難関国際会議などを⽬目的にした発展的な研究
─ 利利⽤用形態：MWSと契約した上でさらに、①提供元組織(NTT)へのインターン②提供元組織(NTT)との共同研究
まずは今までのデータセットを用いた研究	  をお勧めします		  Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

8	

他のデータセット• Malware  Traﬃc  Analysis

─ http://www.malware-‐‑‒traﬃc-‐‑‒analysis.net/
─ マルウェアやExploit-‐‑‒Kitの通信データ（pcap）、IDSログなどを配布
─ データセットの解説（図解付き）
─ データセットの解析チュートリアル

最近のExploit-­‐Kitの手法や手動解析のコツを勉強できる。	  
実際の攻撃通信なので、検知手法の評価にも利用できるはず。		  
Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

9	

研究動向  (ʼ’14〜～)• 巡回URLリスト⽣生成/Web巡回

─ [NDSSʼ’16]  Cache,  Trigger,  Impersonate:  Enabling  Context-‐‑‒Sensitive  Honeyclient  Analysis  On-‐‑‒the-‐‑‒Wire• リダイレクト分析

─ [Securityʼ’15]  WebWitness:  Investigating,  Categorizing,  and  Mitigating  Malware  Download  Paths• Exploit  kit  /  JavaScript  解析

─ [CODASPYʼ’14]  Webwinnow:  Leveraging  Exploit  Kit  Workﬂows  to  Detect  Malicious  URLs
─ [DIMVAʼ’14]  PExy:  The  Other  Side  of  Exploit  Kits
─ [NDSSʼ’15]  EKHunter:  A  Counter-‐‑‒Oﬀensive  Toolkit  for  Exploit  Kit  Inﬁltration
─ [CODASPYʼ’16]  Detecting  Malicious  Exploit  Kits  using  Tree-‐‑‒based  Similarity  Searches─ [DSNʼ’16]  Kizzle:  A  Signature  Compiler  for  Detecting  Exploit  Kits	  Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

10	

おわりに
• 「検知観測技術  >  データ収集  >  実態調査」の研究開発サイクルを加速し、サイバー攻撃に対抗

MWS  では様々なデータセットが提供されているが、さらなる充実化のために  MWS  全参加組織の協⼒力力の下、データセット作成と論論⽂文投稿のご協⼒力力をいただきたい	  Copyright©2016	  	  NTT	  corp.	  All	  Rights	  Reserved.	

11