Silviase/jgov_v1.4_full_ann huggingface dataset:
や Web のインタフェースから確認した。これは組込み機器のマルウェア感染を示唆するものであったため、これらの攻撃元を突き止めるため、多様な組込み機器の Telnet サービスを模擬した図ハニーポットシステム IoTPOT を世界で初めて提案した。その結果、平成 27 年 4 月より 4 ヶ月で約 15 万 IP アドレス、361 種類の組込み機器から、90 万回のマルウェアダウンロード試行が観測された。ハニーポットにより収集されたマルウェア検体は 11 種類の異なる CPU アーキテクチャで動作するものを含み、その 9 割はマルウェアデータベース VirusTotal において未知であり、既知であるものについても、ウイルス対策ソフトの検知結果は著しく低く、従来の PC 向けマルウェアとは異なる新規のマルウェア群が収集できたといえる。さらに、収集した検体の動的解析を行うため、多様な CPU アーキテクチャで動作する動的解析環境(サンドボックス)を構築しその挙動を観測した。その結果、多くの IoT のマルウェアはサービス妨害攻撃に加担すると共に、不正クリック、感染拡大活動、認証情報盜取といった様々なサイバー攻撃に悪用されていることを突き止めた。

## ・データエンリッチメントび大規模分散データベースに関する研究開発

基本計画で定めた計画に加えて、日本の金融機関を狙ったマルウェア(以降「金融系マルウェア」と呼ぶ)の解析も研究対象とした。これは、平成26年、金融系マルウェアが流行し、不正送金の被害が急増している背景を受けたものである。平成26年度上期に、「長期観測用マルウェア動的解析」にて、攻撃の実態の把握、有効なアラート情報の発信が可能である見通しを得た。平成26年度下期に、金融系マルウェア観測のシステム化を完了した。平成27年度、70検体以上の金融系マルウェアの長期観測を実施した。また、H27年度に自動化を完了した「潜在ネットワーク攻撃機能の抽出」(Taint解析)においても金融系マルウェアの解析を実施した。これらにより、Chthonic、Dyre、Rovnixといった主要なマルウェア含む観測マルウェアに対しアラート出力という先進的な成果を得た。

最終目標である突合分析の所用時間30秒以内、突合精度80%以上は昨年度10,848検体で本性能は達成している、今年度検体数が1,6236検体となっても昨年度と同様の性能を確認し30秒以内で検索できることを達成した。

## ①データエンリッチメントに関する研究開発

長期観測用マルウェア動的解析および、機能推定用動的解析への投入検体を自動で判別するようシステム化を行った。検体の DNS アクセスをネットワークに対する特徴的な振る舞いとみなし、大規模分散データベースに登録されていない DNS アクセスを行うものは、長期観測用マルウェア動的解析および、機能推定用動的解析対象とし、自動で投入を行うことによって、解析検体規模を拡大した。

## ①-1 長期観測用マルウェア動的解析

平成 26 年度に 50 検体、平成 27 年度に 133 検体の長期観測を実施した。検体に指示を行う C&C サーリスト、検体が名前解決に利用する DNS サーバリスト、検体が SPAM 送信に用いる SMTP サーバ等を取得することができ、攻撃情報として把握、アラートの発行を行った。また、検体が通信を行う頻度に着目し、検体の活動周期を明らかに、予兆把握の仕組み構築に貢献した。

## ① -2 機能推定用動的解析(潜在ネットワーク攻撃機能の抽出)

潜在ネットワーク攻撃機能の抽出(Taint解析)の研究開発の過程で、本技術を用いた手動での解析を平成26年度から平成H27年度の間に、20検体の解析を行い、検体が通信を行うC&Cサーバリスト、C&C
から配信される攻撃対象リスト、攻撃コードを取得することができた。平成27年度に潜在ネットワーク攻撃機能の抽出(Taint解析)の自動化を完了し、約200検体(うち金融系検体：10%)の解析を実施し、自動化の有効性を示した。なお、潜在ネットワーク攻撃機能の抽出においては過剰の処理負荷がかかることが判明したため、上記の研究アプローチを取ることとした。

## ②大規模分散データベース

観測データを蓄積するとともに、運用者や分析者等のデータベース利用者が使用できる Web インタフェースの開発を行った。最終年度、長期観測用マルウェア動的解析および潜在的ネットワーク攻撃機能の抽出(Taint 解析)で得られる情報をアラートとして自動発行機能を実装した。データベースへの検体情報蓄積量：1,6236 検体、蓄積した1,6236 検体を次の項目で検索、全て1秒未満で検索結果を抽出検索項目：ファイル HASH 値/アクセス HOST 名/アクセス PORT 番号/Mutex 名/API 名/アクセスファイル名/アクセスレジストリ名

### 3.2 国際的なサイバー攻撃情報収集・共有技術（課題2）

## (概要)

サイバー攻撃を検知するセンサーについて、その分散運用・管理技術を含めた国際的なサイバー攻撃情報収集技術を確立するとともに、安全な利活用を可能とするサイバー攻撃情報共有基盤技術の研究開発を実施する。

#### 3.2.1 国際的なサイバー攻撃情報収集技術（課題2－ア）

国際的に分散配置されたセンサーの運用・管理を遠隔化・自動化し、設置組織に応じて観測のためのフィルター設定やプライバシー設定を柔軟に変更（動的設定）することのできる技術を開発する。また、観測データから多くの評価指標に従って統計データを自動的に生成するとともに、可視化等の分析支援作業に資するための研究開発を実施する。

最終的には、動的設定に要する時間を 5 秒以内に、統計データ抽出に要する時間を 10 秒以内にすることを目標とする。

・センサ分散運用・管理自動化技術、情報保護及び動的設定変更技術及び統計データ可視化技術に関する研究開発

## ①センサ分散運用・管理自動化技術

国際的に分散配置されたセンサーの運用・管理を人手に頼ることなく遠隔化・自動化し、センサーで収集したデータの解析に支障を生じることなく安定稼動可能な技術の研究開発を行った。

最終年度となる平成27年度までに、日本を含む7カ国8拠点のセンサを構築した。また、課題2一の実施者と連携して、収集したサイバー攻撃情報を委託研究6者で共有する環境、及び、連携先に対して収集したデータを提供可能な環境を構築し、以下についての機能の確認・評価試験を行った。

## Ⅰ．稼働状況の監視強化

センサの稼動状態をプロセスレベルに加え、ハードウェアレベルでの確に把握する手段の確保

## Ⅱ．障害対応の迅速化、効率化。

センサが異常状態となった場合の復帰手段を確保するとともに、センサの電源 OFF/ON を遠隔から制御し、現地作業を機器交換作業等に最小限化。

## Ⅲ．一元管理化
センサ OS の脆弱性修正、機能追加、ハードウェアの故障に伴うセンサ機器の交換による OS を含むソフトウェアの再インストールに対応。

ネットワークブート機能を使用することで、センサのソフトウェアイメージをネットワークからインストールする環境を構築。

また、海外拠点における観測センサの稼働停止時間、収集したサイバー攻撃情報の転送停止時間の短縮を図るため、センサ機能を構成するソフトウェア（OS、アプリ、プロセス群）の内、重要な構成要素についてハードウェア復旧後に自動で起動する設定・機能を導入した。

最終年度において、障害復旧の平均時間が2時間57分、稼働率の平均が99.9%超となり、安定した解析環境を提供することができた。

## ②情報保護および動的設定変更技術

解析対象とする各国のダークネットデータおよびDNSデータの匿名化技術の開発、および匿名化技術を利用して、解析目的に沿った、匿名化するデータの設定を動的に変更できるシステムの開発を行う。

成果の第一はダークネットを対象とし、各拠点が要求する匿名化を満足するために匿名化フィルタを設計し、システム開発を行った。これは予め用意した匿名化手法を各拠点側が選択し、匿名化を実現するシステムとなっている。第二に各国に設置されたセンサに関してDNSを想定し、DNSに対する匿名化システムを開発し、その匿名化フィルタの実装を行った。国内外拠点に分散配置されるセンサの中で、特にDNSサーバについてIPアドレス、ポート番号、URLなどプライバシーに関わる情報の匿名化を行う。さらにこの匿名化において、各ノード、特に国内外拠点が要求する匿名化を原則、自由に選択出来るものとしている。同時に、各パラメータについての匿名化要求をWebでの詳細なヒアリング、もしくはコマンドラインでの入力により分析し、必要かつ十分な匿名化手法を自動選択するシステムとなっている。さらに解析側から、解析に必要かつ十分な匿名化を要求し調整する機能も有する。また解析目的別にDNSの各抽出データにおいて必要十分なデータに対して匿名化を与える手法を提案した。第三に匿名化プログラムにおける出力のデータ構造から、推定できる（生）データの情報量を評価するために、時系列分析の一種である自己相関と相互相関を利用した複数のダークネットに対するパケット解析手法を提案し、実際に各国のダークネットトラフィックデータを用いて提案手法の検証を行った。次に公開される統計データと自国のダークネット観測データを利用したダークネットIPアドレスの推定手法を提案した。提案する推定手法により、公開する統計データの形態によっては他国のダークネットIPアドレスを推定することが可能であることを示し、さらにその対策法を与えた。

## ②統計データ可視化技術

各国に設置したセンサーの観測データから多くの評価指標に従って統計データを自動生成するとともに、以降の検索・分析を迅速、効率的に実施する為の Web ポータルを構築した。本 Web ポータルは PRACTICE がセンサーを設置した各連携組織に対して公開しており、各国センサーから収集したサイバー攻撃 1 次情報、各種解析エンジンにより得られる解析結果情報、及び、国内サイバー攻撃観測網（マルウェアサンドボックス、DR-DoS ハニーポット等）から得られる早期警戒アラート情報などを参照する事が可能である。連携組織へ提供される情報については月次レポートを除き、各情報源からポータルが情報を受け取った後、目標とする実時間で表示されることを確認しており、連携組織での迅速な活用
が可能となっている。

Web ポータルにおいて取り扱う情報、連携先へ提供される情報については、以下の図に示す通りである。

図2. Web ポータル通じて連携組織へ提供される情報

「サイバー攻撃1次情報」として、自国に設置したセンサーから得られる自国宛の攻撃情報、及び、他の連携国に設置したセンサーから得られる自国の攻撃元ホスト情報や自国の感染疑いホスト情報がリアルタイムで処理されポータル上で情報提供されており、連携組織において「自国宛の攻撃傾向の把握」や「攻撃元ホスト情報の分析」の為これらのデータが有効活用されている事を確認した。

「サイバー攻撃解析情報」として、ダークネット以外のサイバー攻撃観測網や各種解析エンジンから得られるC2、DoS攻撃元(リフレクタ)、DoS攻撃被害ホスト、及び、サイバー攻撃1次情報の解析結果等の情報が含まれており、連携組織はこれらの情報を参照する事により自国内のDR-DoS攻撃被害ホスト・攻撃種類等をリアルタイムで把握できると共に、「DR-DoS攻撃」の攻撃元となっている「リフレクタ」や「C2」の自国内件数についても把握する事が可能となっている。国内において被害が拡大するリ
フレクション型の DoS 攻撃は連携国の多くにおいても観測されており、実際に連携先数カ国の官公庁・重要インフラ Web サイトに対する大規模攻撃（2015/9-10）等の早期警戒アラート情報が本 Web ポータルを通じてリアルタイムで連携組織へ共有された。

DR-DoS ハニーポットによる早期警戒アラート情報については、平成25年10月から本研究開発の姉妹プロジェクトである「国際連携によるサイバー攻撃予知・即応に関する実証実験」を通じて同プロジェクトの実施機関であるテレコムアイザック推進会議（T-ISAC J）の参加メンバーに対してメール形式で配信されている。本アラートについては攻撃の早期検知・情報提供だけに留まらず、ISP運用の改善に役立てる事を実証しており、DoS攻撃対策オペレーションの時間短縮等の効果について既に確認している。海外連携組織においても本アラートメール配信に対する要望があるため、実施体制を含めた今後の国際展開可能性について関係機関と検討を進めている。

さらに、連携各国に設置したダークネットセンサによって収集されたトラフィックの解析を行い、各センサに共通する特徴からインターネット全体に行われると想定される攻撃を検知し可視化するシステムを構築した。本システムでは、センサで観測されるトラフィックをプロトコル・ポート別に監視し、観測ホスト数の増加度合い（一定期間過去の時点での観測ホスト数と現在時点での観測ホスト数の比率により評価する値）が一定数以上のセンサ間で共通して閾値を超過する場合に検知を行う。実際に本システムを各連携国に設置したセンサにより収集されたトラフィックに適用した結果、各種注意喚起や脆弱性情報に対応した特定ポートへの攻撃を検知することが確認された。検知された事例としては例えば、特定の企業が製造したNASのWEB管理画面（5000/tcp）に存在する脆弱性を探索する挙動や、多くのUnix系システムが影響を受けたShellshock脆弱性を含むWEBベースのシステム管理ツール（10000/tcp）に対するスキャンなどが挙げられる。さらに5000/tcpの事例では、各国で観測されるスキャンホスト数の増減に時間差があることから、スキャンホストの増加が遅く観測されるセンサでは事前に通知できる可能性がある。このような事例では本システムの検知結果の早期警戒への利用が期待される。

また、平成27年度では本検知手法のホスト数増加度合いの評価指標としてISITの成果を適用した。具体的には分散型攻撃検知エンジンの手法を各国設置センサにより収集されるトラフィックに適用し、共通するポートで同時期にアラートが出力される場合にグローバルアラートとして検知を行うようにした。この結果、従来の手法では検知されていた調査目的の組織（SHODAN、ShadowServer等）によるスキャンが関与していると思われるアラートの一部を削減することに成功した。

一部の事例ではダークネットにスキャンを行うマルウェア種別の特定を達成した。アンチウイルスソフトベンダの ESET が公開したレポートから Linux.Moose というマルウェアが 10073/tcp ポートへスキャンを行うという情報を得たために、本プロジェクトで観測しているダークネットアドレスレンジに当該ポートへスキャンを行うホストの調査を行った。本マルウェアは当該ポートへスキャンを行う他、Telnet(23/tcp)や 10073/tcp で待ち受けを行うことがレポートにより明らかにされておりそれらのポートへコネクトバックすることで調査を行った。この結果、スキャンを行うホストの一定数がこれらのポートを開放しており感染の疑いが強いこと、解析レポートに記載されていない機器からのスキャン等を確認した。

## ・観測データからの攻撃のモデル化、運用者支援に関する研究開発
Denial of Service）攻撃を対象とし、ネットワーク運用者視点での攻撃判定精度、早期検知に関してハニーポットの有効性を実証した。検証は、2014/08/01-2014/11/30 に観測した DR-DoS 攻撃を対象に行い、ハニーポットのデータと ISP バックボーンの観測攻撃データの突合分析により実施した。結果、ハニーポット検知事例の約 58%が一定レベルの攻撃規模に発展し、攻撃に発展した事例のうちの約 86%において、ハニーポットの方が ISP バックボーン上に配置されている既存の DoS 攻撃対策システムよりも、平均約 30 秒早期に検知可能であることを確認できた（平成 26 年度実施）。

平成 27 年度は DR-DoS ハニーポットアラートにおける攻撃検知の網羅性と検知速度・精度を個別の ISP に最適化するための検知閾値に関する検証を実施した。検証は、DR-DoS ハニーポット観測データと ISP オペレータの攻撃対処ログを突合分析し、パケット集約時間および同一宛先に対する集約時間中のパケット数からなる閾値を調整し、早急なオペレータ対処が必要なアラート、対処が必要でないアラートの検知数を算出した。今後この結果を基に、運用中の DR-DoS ハニーポットアラートの通知設定を調整する予定。

## ② 攻撃の規模推定技術

運用者支援を目的とし、ハニーポットの初期観測データからその後予想される攻撃全体の規模を推定する手法の提案・検証を行った。本手法は、ハニーポットで観測された特徴量で攻撃事例をクラスタリングし、ハニーポット観測トラヒック量とISPバックボーンで観測された攻撃全体のトラヒック量の相関の高いクラスタリングを抽出し、規模を推定する。平成26年2月1日～11月30日に観測したDNSリフレクション攻撃を対象に検証を行い、アラート全体の64%の攻撃規模を推定可能であり、特定のクラスタに属する攻撃の規模を最大誤差±35%以内で推定可能であることを確認した。この結果から、ハニーポットの監視により、攻撃を早期に検知できることに加え、早期検知時点で推定した攻撃規模情報をアラートに付与することにより、運用者による対処の優先順位付けを支援できると考えられる。

## ③ 高速フロー分析技術

攻撃観測データ、攻撃予測情報、悪性ホスト情報等のミクロ解析の成果を運用者支援に役立てるために、ISP バックボーンの膨大なフローデータとの高速な突合分析が可能なフローフィルタの開発を行った。本フィルタにより十数万 IP とのマッチング処理で従来方式（nfdump）の 1000 倍以上の高速化を実現した。また、本フィルタを利用し、ミクロ解析で観測した攻撃（DR-DoS ハニーポットで観測した攻撃、マルウェア感染ホスト群からの攻撃）を ISP バックボーンで長期間にわたり収集・保持するシステムの開発を行った。

## ④ 重要攻擊分類技術

ISP バックボーンでの大量通信検知アラートに DR-DoS ハニーポットアラートおよびネットワークトポロジ情報を付与したアラートからオペレータ対処を必要とする重要アラートを抽出する技術の開発・検証を行った。本手法は、上記アラート情報と ISP オペレータの過去の攻撃対応ログを用いて機械学習により重要アラートを抽出する。平成 27 年 1 月 1 日～3 月 31 日の大量通信検知アラートを対象に検証を行った結果、重要アラートを非重要アラートと判定する確率（False Negative）が最小になるよう閾値設定した場合、False Negative が 0% で、全大量通信アラートから 53% の非重要アラートを削減可能であることを確認した。また、非重要アラートを重要と判定する確率（False Positive）が最小になる閾値設定を行った場合、False Positive 0.1%（平均 1.4 件/20 秒）程度に抑えることが可能であることを確
認した。重要攻撃観測の網羅性と検知精度はトレードオフの関係であるが、利用 ISP やオペレータごとにパラメータ調整することで、より有益なアラートの通知が可能と考えられる。

## ⑤ ISP バックボーンでの攻撃観測

### 1. ボット（Morto）感染ホストの観測

ミクロ解析の結果に基づき収集された Morto ボット感染ホストの IP アドレス情報と、ISP バックボーン上での大量通信アラートの突合分析を行った。その結果、各攻撃事例の主な送信元（上位3ホスト）に含まれるボットを1800ホスト観測でき、ミクロ解析とバックボーンとの突合分析が、DDoS攻撃の発生源の識別に有効であることを確認した。捕捉できるボットの種類、感染ホスト数が増えれば、ボットネット毎のDoS攻撃活動状況を把握し、優先的にテイクダウンすべきボットネットの選別等に役立てられると期待できる。

### 2. 最新の DR-DoS 攻撃の観測・分析

将来的に流行が予想される DDoS 攻撃への対策検討とし、海外で観測されている最新の DR-DoS 攻撃の日本での発生状況を調査した。対象プロトコルは NetBIOS、RPC Portmap、Sentinel、RIPv1 で、前者 3 プロトコルによる攻撃は日本国内では深刻化していないが、RIPv1 に関しては、海外での観測とほぼ同時期に国内でも急増していることを確認し、継続的に観察する必要がある。

上記に加え、近年増加している Booter(Stresser)サイトを使った DR-DoS 攻撃についても調査を行った。Booter は Web 経由で指定宛先に DDoS 攻撃を実施するサービスで、専門知識のない一般ユーザでも容易に攻撃が行えるため、今後当該サービスによる被害は増加すると考えられる。調査の結果、攻撃事例中の開始 10 秒間で当該事例中の全ユニークホストの約 90%を観測できており、1 攻撃中に利用される踏み台群は固定である可能性が極めて高いことが確認できた。そのため、当該攻撃への対策としては、攻撃継続期間中の全パケットの詳細分析は必要なく、一度詳細解析で攻撃判定されたものを一時ブラックリスト等に格納し、一定時間後は IP レベルでの低負荷マッチングを行うことでも大部分の攻撃トラヒックを規制できることが確認できた。

#### 3.2.2 サイバー攻撃情報共有基盤技術（課題2一）

国内外で収集した攻撃データ及びその分析情報（突合分析結果等）について、研究機関及び民間事業者等の関係機関と具体的に共有するための、情報共有基盤の構築技術を開発する。

最終的には、情報共有に関する処理が提供情報の発生から10分以内に完了することを目標とする。

初年度は、国内で攻撃情報を共有するため、情報共有基盤の基本設計を実施した。

情報共有基盤の基本設計方針は、①ダークネットデータ収集のためのセンサーが動作する仮想サーバ(VM)を管理するVMサーバと、そのVMサーバを制御するファイルサーバをLocal Edge Unit(LEU)として国内外拠点に配置し、国内外のLEUで得られたダークネットデータを国内にある統合管理部の共有ストレージに自動で転送して蓄積する、②共有ストレージに蓄積されたダークネットデータは、研究機関及び民間事業者等の各拠点ユーザがリモート接続して取得することにより、サイバー攻撃情報分析に利用することができる、③LEU－統合管理部間、ユーザ拠点－統合管理部間のデータ転送はセキュアなVPN接続により行われる、とした。
図3. 情報共有基盤

表 1．情報共有基盤における各ノード（サーバ）の役割

VM サーバ	センサー装置を含む情報収集用サーバ(収集拠点である各国や各地域に配置)
ファイルサーバ	システムデータベースからの制御のもと VM サーバを制御するサーバ
Web サーバ	システム維持管理・開発のために利用するユーザが接続する Web サーバ
共有ストレージ	本システムのサイバー攻撃情報を蓄積するデータサーバ
システムデータベース	本システムを維持管理するための情報を格納するデータベースサーバ

2 年目以降は、実用化に向けて、プロトタイプシステムを構築し、試験運用を通じて、利便性、性能面、機能面における個々の検証評価を行い、改良検討した。

2 年目には、必要な仕様・構成要素・リソース等を検討し、プロトタイプシステムを構築して統合管理部／各拠点 LEU のサーバ PC 起動試験、VM 移動・同期試験、サイバー攻撃情報収集試験、障害復旧試験等の機能試験、運用試験を行い、実用化に向けた試験運用を開始した。

3年目には、研究機関のダークネットデータ解析エンジンのプロトタイプを情報共有基盤に組み込み、共有ストレージのダークネットデータを自動解析してその解析結果を共有ストレージに自動で転送する仕組みを確立したことにより、解析結果を効率的に共有できるようになった。また、機微データシステム（B-NONSTOPシステム）を情報共有基盤に導入することにより、プライバシー保護、及び有害情報の無害化等を考慮した上で、各拠点ユーザのデータプロバイダへのリモート接続による機微データ解析の半自動化、高速化を実現した。

4 年目には、情報共有基盤に各研究機関が解析した結果（出力データ等）を共通化・正規化して蓄積する仕組み（解析データ管理システム）を追加した。これらの解析結果やアラートデータに適切なタグを付加、汎用フォーマットである JSON 形式で共通化して蓄積することにより、二次解析やアラート出力でどの拠点の解析データでも同じインターフェイスで検索・抽出できるため、関連性のある各拠点のデータや異なった研究機関の結果を枠組みを超えて利用・解析することが可能となった。さらに、各拠点のデータの突合解析を完全自動化し、高速化・汎用化を達成した。

最終年度には、ダークネット予兆分析、DR-DoS ハニーポット予兆分析、サンドボックス マルウェア挙動解析を行う各研究機関から解析結果やアラートデータを情報共有基盤に自動で転送して蓄積、そ
の多種多様なサイバー攻撃情報を統合解析してサイバー攻撃対象に対するアラートを通知するシステムの構築を実現し、実運用を開始した。この実運用において、攻撃の発生から通知までの平均時間は、アラートデータ1件につき、1～2秒を達成している。

また、本研究で構築したシステムは、サイバー攻撃情報の統合解析により、多種多様なサイバー攻撃の予兆解析の高速化を可能にしている。例えば、研究機関 A のダークネット解析結果と研究機関 B のDR-DoS アラートの中から、送信元 IP アドレスと宛先ポートが一致するものを高速で検索・抽出することにより、攻撃者のスキャンと攻撃の相関関係（ルール）の発見、マルウェアの種類の特定をリアルタイムで行うことを可能にした。他にも、研究機関 A のダークネット解析結果で観測された増幅率の高いドメイン（応答サイズが一定サイズを超えるドメイン）を研究機関 B のDR-DoS アラートから検索・抽出することにより、ダークネットで観測されたそのドメインが、攻撃対象に対する DNS アンプ攻撃に使用されるまでの期間を瞬時に突合して、ダークネットの観測から DNS アンプ攻撃に至る相関関係（ルール）をリアルタイムで把握することも可能になった。

図 4. 情報共有基盤及び各システムの関係

## 4 政策目標（アウトカム目標）の達成に向けた取組みの実施状況

本研究開発の政策目標は、「インターネットの利用における安全性、信頼性の向上を図り、利用者が安心・安全にインターネットを利用できる環境を実現する」ことである。これを達成するため、国内外の多様な情報に基づく攻撃予知技術に関する研究開発（課題1）及び「国際的なサイバー攻撃情報収集・共有技術に関する研究開発（課題2）」を行い、サイバー攻撃のリスクを軽減することを目的としている。

本研究開発においては、国立研究開発法人情報通信研究機構（NICT）が開発したネットワーク観測センサの技術提供を受け、海外10カ国11拠点に展開されたダークネット観測センサからデータの収集を行った。これらに加え、DR-DoSハニーポットで収集したリフレクション攻撃情報やサンドボックスによるマルウェア検体の動的解析情報を、課題2のサイバー攻撃情報収集・共有技術により開発した基盤上で集約・統合解析を行い、サイバー攻撃予兆アラートを生成した。

アラート情報の一部は、本研究開発の姉妹プロジェクトである「国際連携によるサイバー攻撃予知・即応に関する実証実験」を通じて同プロジェクトの実施機関であるテレコムアイザック推進会議 (T-ISAC J) の参加メンバーに提供され、ISP などの実運用環境における評価・検証に活用された。特に、DR-DoS ハニーポットにより生成された DDOS 攻撃予兆アラートは、平成 25 年 10 月からリアルタイムでメール配
信を開始し、ISP のネットワーク運用において DoS 攻撃対策オペレーションの時間短縮等の効果を確認した。

また、マルウェアのサンドボックス解析の結果を、総務省の「官民連携による国民のマルウェア対策支援プロジェクト（通称 ACTIVE）」に提供し、マルウェア感染防止への利活用検討を行っている。

## 5 政策目標（アウトカム目標）の達成に向けた計画

海外連携機関に構築したダークネットセンサについては全て NICT へ移管し、プロジェクト終了後も NICT によりサイバー攻撃情報の収集及び、国際連携に関わる活動を継続する。（4月以降、順次が移管する予定である。）課題1－ア（サイバー攻撃情報の類似性・局所性・時系列性解析技術）の成果である各種ダークネット解析エンジンについては、現時点で移管・継続方法は決まっていないが、NICT におけるダークネット分析に適用し活用することを想定している。

課題 1 ーイ（サイバー攻撃情報と攻撃実体の相関分析技術）の成果である、DR-DoS ハニーポットについては引き続き横浜国立大学で運用を継続し、T-ISAC J を経由して各 ISP へのアラート配信を継続する。マルウェアサンドボックス解析については、ACTIVE との連携継続を軸に、今後の活用について調整を行っているところである。

課題 2 — アのサイバー攻撃情報収集技術については標準化や商品化などは想定していないが、サイバー攻撃情報の収集や統計可視化処理を円滑に行うためのシステムとして活用できるよう、導入のためのパッケージ化を進める予定である。

課題2－イのサイバー攻撃情報共有基盤技術については、上記のサイバー攻撃情報収集技術や、課題1の各種解析エンジンと連動することにより、研究開発分野での利活用が期待できる技術である。標準化や商品化などは想定していないが、NICTにおけるデータ共有に利活用できるよう検討を進めている。
## 6 査読付き誌上発表論文リスト

[1] Ryo Takayanagi, Yoshihiro Okada, "Visualization System by Combinatorial Use of Edge Bundling and Treemap for Network Traffic Data Analysis," Communications in Computer and Information Science (CCIS), Springer, 投稿中, Feb. 2016

[2] Takayoshi Sboudai, Hikara Murai, “A Semi-Supervised Data Screening for Network Traffic Data using Graph Min-CUTs,” 情報処理学会論文誌「数理モデル化と応用(TOM)」，投稿中, Jan. 2016

[3] Kensuke Koshijima, Hideitsu Hino, Noboru Murata, "Change-Point Detection in a Sequence of Bags-of-Data", IEEE Transactions on Knowledge & Data Engineering, vol.27, no. 10, pp. 2632-2644, Oct. 2015

[4] Norikazu Takahashi, Ryota Hibi, “Global convergence of modified multiplicative updates for nonnegative matrix factorization,” Computational Optimization and Applications, Vol.57, Issue 2, pp. 417-440, Aug., 2013

[5] Yaokai Feng, Yoshiaki Hori, Kouichi Sakurai, Junichi Takeuchi, "A Behavior-Based Method for Detecting Distributed Scan Attacks in Darknets," Journal of Information Processing (JIP), Vol. 21, No. 3, pp. 527-538, Information Processing Society of Japan (IPSJ), July, 2013.

[6] 溝口 誠一郎, 笠原 義晃, 堀 良彰, 櫻井 幸一, 機械的通信挙動モデルに基づく階層型クラスタリングによるボット検知手法", 情報処理学会論文誌 Vol.54, No. 3, pp. 1087-1098, 情報処理学会, 3 月, 2013 年

[7] 千葉一輝, 堀良彰, 櫻井幸一, 機械的通信挙動モデルに基づく階層型クラスタリングによるボット検知手法", 情報処理学会論文誌 Vol.54, No.3, pp.1071-1076, 情報処理学会, 3月, 2013年

[8] 笠間貴弘, 織井達憲, 吉岡克成, 松本勉, "公開型マルウェア動的解析システムに対するデコイ挿入攻撃の脅威," Journal of Information Processing, Vol. 52, No. 9, pp. 2761 - 2774, 2011.

[9] T. Kasama, K. Yoshioka, T. Matsumoto, M. Yamagata, M. Eto, D. Inoue, K. Nakao, "Malware Sandbox Analysis with Efficient Observation of Herder's Behavior," Journal of Information Processing, Vol. 20, No. 4, pp. 835 - 845, 2012.

[10] T. Kasama, K. Yoshioka, D. Inoue, T. Matsumoto, "Catching The Behavioral Differences between Multiple Executions for Malware Detection," IEICE Trans., Vol. E96-A No.1 pp. 225-232, 2013.

[11] 牧田大佑, 吉岡克成, 松本勉, "DNS ハニーポットによる DNS アンプ攻撃の観測," IPSJ Journal No. 55, Vol. 9, pp. 2021 - 2033, 2014.

[12] 牧田大佑, 吉岡克成, 松本勉, 中里純二, 島村隼平, 井上大介, "DNS アンプ攻撃の事前対策へ向けた DNS ハニーポットとダークネットの相関分析," 情報処理学会論文誌, Vol. 56, No. 3, pp. 921-931, 2015. (情報処理学会特選論文)

[13] Yinmin Papa, Katsunari Yoshioka, Tsutomu Matsumoto, "Detecting Malicious Domains and Authoritative Name Servers Based on Their Distinct Mappings to IP Addresses," Journal of Information Processing, Vol. 23, No. 5, pp. 623-632, 2015.

[14] 金井 文宏, 庄田祐樹, 橋田啓佑, 吉岡克成, 松本勉, "Android アプリケーションの自動リパッケージに対する耐性評価," 情報処理学会論文誌, 2015.

[15] 庄田祐樹, 金井文宏, 橋田啓佑, 吉岡克成, 松本勉, "メソッドの呼び出し関係のグラフを用いた
Android マルウェア検知手法の改良,"情報処理学会論文誌, 2015.

[16] 田辺 瑠偉, 笠間 貴弘, 吉岡 克成, 松本 勉 "重要情報へのファイルアクセス失敗挙動に基づく情報探索型マルウェア検知手法," 情報処理学会論文誌, 2016.

[17] Yin Minn Pa Pa, Suzuki Shogo, Katsunari Yoshioka, Tsutomu Matsumoto, Takahiro Kasama, Christian Rossow "IoTPOT: A Novel Honeypot for Revealing Current IoT Threats," Journal of Information Processing, Japan, 2016.

[18] T. Kasama, K. Yoshioka, D. Inoue, and T. Matsumoto, "Malware Detection Method by Catching Their Random Behavior in Multiple Executions," 2012 IEEE/IPSJ 12th International Symposium on Applications and the Internet, pp. 262 - 266, 2012.

[19] T. Fujii, K. Yoshioka, J. Shikata, and T. Matsumoto, "An Efficient Dynamic Detection Method for Various x86 Shellcodes," 2012 IEEE/IPSJ 12th International Symposium on Applications and the Internet, pp. 284 - 289, 2012.

[20] Yinminpapa, K. Yoshioka, T. Matsumoto, "Search Engine Based Investigation on Misconfiguration of Zone Transfer," AsiaJCIS2013, 2013 (AsiaJCIS2013 Best Paper Award).

[21] Yin Minn Pa Pa, Shogo Suzuki, Katsunari Yoshioka, and Tsutomu Matsumoto, Takahiro Kasama, Christian Rossow, "IoTPOT: Analysing the Rise of IoT Compromises," 9th USENIX Workshop on Offensive Technologies (USENIX WOOT 2015), 2015.

[22] Lukas Kramer, Johannes Krupp, Daisuke Makita, Tomomi Nishizoe, Takashi Koide, Katsunari Yoshioka, Christian Rossow, "AmpPot: Monitoring and Defending Amplification DDoS Attacks," Proc. Research in Attacks, Intrusions, and Defenses (RAID15), Lecture Notes in Computer Science, Vol. 9404, pp. 615-636, 2015.

[23] Jiawei Su, Katsunari Yoshioka, Junji Shikata, Tsutomu Matsumoto, "Detecting obfuscated suspicious JavaScript based on information-theoretic measures and novelty detection," 18th Annual International Conference on Information Security and Cryptology, 2015.

## 7 査読付き口頭発表論文（印刷物を含む）リスト

[1] Takumi Kimura, Norikazu Takahashi, "Global Convergence of Modified HALS Algorithm for Nonnegative Matrix Factorization", The Sixth IEEE International Workshop on Computational Advances in Multi-Sensor Adaptive Processing, Cancun, Mexico, Dec., 2015.

[2] Ryo Takayanagi, Yoshihiro Okada, “Visualization System by Combinatorial Use of Edge Bundling and Treemap for Network Traffic Data Analysis”, The 10th International Workshop on Information Search, Integration, and Personalization (ISIP 2015), North Dakota, America, Oct., 2015.

[3] Yaokai Feng, Yoshiaki Hori, Kouichi Sakurai, "A Proposal for Detecting Distributed Cyber-Attacks Using Automatic Thresholdin", The 10th Asia Joint Conference on Information Security (AsiaJCIS 2015), Kaohsiung, Taiwan, May., 2015.

[4] Masato Seki, Norikazu Takahashi, "New Update Rules based on Kullback-Leibler, Gamma, and Renyi Divergences for Nonnegative Matrix Factorization," 2014 International Symposium on Nonlinear Theory and its Applications (NOLTA2014), Luzern, Switzerland, Sep., 2014.
[5] Norikazu Takahashi, Jiro Katayama, Junichi Takeuchi, “A Generalized Sufficient Condition for Global Convergence of Modified Multiplicative Updates for NMF,” 2014 International Symposium on Nonlinear Theory and its Applications (NOLTA2014), Luzern, Switzerland, Sep., 2014.

[6] Can Wang, Yao-Kai Feng, Junpei Kawamoto, Yoshiaki Hori, Kouichi Sakurai, “A Parameterless Learning Algorithm for Behavior-Based Detection,” 9th Asia Joint Conference on Information Security (AsiaJCIS2014), Wuhan, China, Sep., 2014.

[7] Kazumasa Yamauchi, Junpei Kawamoto, Yoshiaki Hori, Kouichi Sakurai, “Extracting C&C Traffic by Session Classification Using Machine Learning,” The 7th Workshop among Asian Information Security Labs (WAIS2014), Shanghai, China, Jan., 2014.

[8] Jiro Katayama, Norikazu Takahashi, Junichi Takeuchi, “Boundness of modified multiplicative updates for nonnegative matrix factorization,” The fifth IEEE international workshop on computational advances in multi-sensor adaptive processing (CAMSAP2013), Saint Martin, Dec., 2013.

[9] Hisashi Tsuruta, Takayoshi Shoudai, "Structure-based Data Mining and Screening for Network Traffic Data," IIAI-AAI, ESKM2013, Special Session on Machine Learning and Data Mining, Shimane, Japan, Aug., 2013.

[10] Heejae Yim, Norikazu Takahashi, Yukiko Yamauchi, Shuji Kijima, Masashi Yamashita, “Finding Items Associated with Varied Members in a Pairwise Data Stream,” The 16th Korea-Japan Joint Workshop on Algorithms and Computation (WAAC2013), Suwon, Korea, Jul., 2013.

[11] Kouhei Kubo, Yukiko Yamauchi, Shuji Kijima, Masashi Yamauchi, “On Approximation of Normalized Compression Distance by Tree Metric for Clustering,” The 16th Korea-Japan Joint Workshop on Algorithms and Computation (WAAC2013), Suwon, Korean, Jul., 2013.

[12] Kazumasa Yamauchi, Yoshiaki Hori, Kouichi Sakurai, “Detecting HTTP-based Botnet based on Characteristic of the C&C session using by SVM,” The 8th Asia Joing Conference in Information Security (AsiaJCIS2013), Seoul, Korea, Jul., 2013.

[13] Yoshihiro Okada, "Network Data Visualization Using Parallel Coordinates Version of Time-tunnel with 2Dto2D Visualization for Intrusion Detection," The Ninth International Symposium on Frontiers of Information Systems and Network Applications (FINA 2013), Barcelona, Spain, Mar., 2013

[14] Atsushi Okamoto, Takayoshi Shoudai, "MINING FIRST-COME-FIRST-SERVED FREQUENT TIME SEQUENCE PATTERNS IN STREAMING DATA," IADIS International Conference e-Society 2013 (ES2013), Lisbon, Portugal, Mar., 2013.

[15] Sayaka Yamauchi, Masanori Kawakita, Junici Takeuchi, “Botnet Detection Based on Non-negative Matrix Factorization and the MDL Principle,” The 5th International Workshop on Data Mining and Cyber Security (ICONIP2012), Doha, Qatar, Nov., 2012.

[16] Satoru Akimoto, Yoshiaki Hori, Kouichi Sakurai, “Collaborative Behavior Visualization and its Detection by Observing Darknet Traffic,” The 4th International Workshop on Security (CSS2012), Melbourne, Australia, Dec., 2012.

[17] Kazuki Chiba, Yoshiaki Hori, Kouichi Sakurai, “Detection of abnormal HTTP communication
based on the edit distance," poster, The 7th International Workshop on Security (IWSEC2012), Fukuoka, Japan, Nov., 2012.

[18] Satoru Akimoto, Yoshiaki Kasahara, Yoshiaki Hori, Kouichi Sakurai, "Analysis of DNS Traffic to Resolve the Same Domain for Botnet Detection," poster, The 7th International Workshop on Security (IWSEC2012), Fukuoka, Japan, Nov., 2012.

[19] Yaokai Feng, Yoshiaki Hori, Kouichi Sakurai, Junichi Takeuchi, "A Behavior-based Detection Method for Outbreaks of Low-rate Attacks," The 12th IEEE/IPSJ International Symposium on Applications and the Internet (SAINT2012), Izmir, Turkey, Jul., 2012.

[20] Kazuki Chiba, Yoshiaki Hori, Kouichi Sakurai, “Reviewing the Way to Quantifying Information Leeks on HTTP Requests and Proposing the Detection System,” Fifth Workshop among Asian Information (WAIS2012), Pohang, Korea, Jan., 2012.

[21] Satoru Akimoto, Yoshiaki Kasahara, Yoshiaki Hori, Kouichi Sakurai, "A Study of Collaborative behavior Detection and Investigating change of Attack using 3D-visualization on Observing the Darknet Traffic," Fifth Workshop among Asian Information Security Labs (WAIS2012), Pohang, Korea, Jan., 2012.

[22] Ryota Hibi, Norikazu Takahashi, "A Modified Multiplicative Update Algorithm for Euclidean Distance-Based Nonnegative Matrix Factorization and its Global Convergence," 2011 International Conference on Neural Information Processing, Shanghai, China, Nov., 2011.

[23] Yoshiro Fukushima, Yoshiaki Hori and Kouichi Sakurai, “Proactive Blacklisting for Malicious Web Sites by Reputation Evaluation Based on Domain and IP Address Registration,” IEEE TrustCom 2011, Changsha, China, Nov., 2011.

[24] Seiichiro Mizoguchi, Yoshiaki Hori, Kouichi Sakurai, “Network-based Malware Detection by focusing on distributions of data transmission intervals,” Informational Workshop on Security (IWSEC) 2011, Nov., 2011.

[25] 澤谷 雪子、窪田 歩、山田 明、“Understanding the Time-series Behavioral Characteristics of Evolutionally Advanced Email Spammers”、AISec'12 ACM 978-1-4503-1664-4/12/10（2012年10月19日）

[26] H. Mori, K. Yoshioka, T. Matsumoto, “Proposal of Visualization Method and User Interface for Analyzing Traffic Observed by Long-term Malware Sandbox Analysis,” IWSEC2012, Poster Session, 2012.

[27] Yinmin Papa, K. Yoshioka, T. Matsumoto, "Search Engine Based Investigation on Misconfiguration of Zone Transfer," IWSEC2012, Poster Session, 2012.

[28] K. Yoshioka, "PRACTICE: botnet tracking for detecting emerging threats," Work-In-Progress Session, AsiaJCIS2013, 2013.

[29] R. Tanabe, K. Yoshioka, and T. Matsumoto, "Detecting Intrusion using Dummy Credentials," Work-In-Progress Session, AsiaJCIS2013, 2013.

[30] Takashi Koide, Daisuke Makita, Katsunari Yoshioka, Tsutomu Matsumoto, "Observation and Analysis of TCP-based Reflection DDoS Attacks Using Honeypot," Research in Attacks, Intrusions, and Defenses (RAID15), Poster session, 2015.