2017 Fiscal Year Annual Research Report
Online Learning Algorithms for Real-time Detection, Classification, and Visualization of Cyberattacks
| Project/Area Number |
16H02874
|
|---|
| Research Institution | Kobe University |
|---|
Principal Investigator |
小澤 誠一 神戸大学, 数理・データサイエンスセンター, 教授 (70214129)
|
|---|
| Co-Investigator(Kenkyū-buntansha) |
北園 淳 神戸大学, 工学研究科, 工学研究科研究員 (00733677)
大森 敏明 神戸大学, 工学研究科, 准教授 (10391898)
|
|---|
| Project Period (FY) |
2016-04-01 – 2020-03-31
|
| Keywords | 機械学習 / サイバー攻撃 / ダークネット / 連想ルールマイニング / DDoS判定 / IoTマルウェア / Mirai / SVM |
|---|
| Outline of Annual Research Achievements |
H29年度では，NICTが有する/16ダークネット（未使用IP群）センサーで観測される通信トラフィックに対し，H28年度に開発した2種類のサポートベクトルマシン(SVM)を組み合わせたサイバー攻撃検知・分類システムおよび連想ルールマイニングを使った攻撃検知・観測を継続的に実行し，以下の結果を得た．
(1)サイバー攻撃検知・分類システムのDDoS判定の精度は，追加学習を継続的に行った結果，2017年1月1日以降も2016年度と大きく変わらず，適合率，再現率，F値とも90%を超える精度を得た．
(2)2016年10月以降，世界を席巻したIoTマルウェア「Mirai」の9月以前の動向を調査した結果，TCPヘッダのWindows Size，ToS，宛先ポート番号に顕著なルールが出現し，ソースコードがダークウェッブやGitHubで公開される以前の2016年8月2日から9月3日頃にも表れていることが分かった．ソースコードは公開されていないにも関わらず，後に公開されたMiraiのソースコードの特徴を持っており，Miraiの開発者がテストを行っていたと推測される．
(3)2017年以降にも，連想ルールマイニングによってToSや宛先ポート番号に関して顕著なルールが出現している．特に2月以降にToS(104,40→8)，ToS(224→0)，ToS(0,40→8)などの頻出パターンが観測され，それぞれ特定の国に偏って分布しており，IoTを狙ったマルウェアは，その国でよく使われているIoT機器の脆弱性を利用する亜種であると推測される．また，2月7日から2月9日にdestport(32 (or 3232), 2323→23)など宛先ポート32や3232に関連した頻出ルールが出現し，Mirai亜種の挙動と推測される．
(4)2017年3月5日～29日において，destport(81, 88, 8000, 8080→80)など宛先ポート80, 81, 88, 8000, 8080を利用したルールが特定の国に突出して出現し，Miraiの条件と合致していることから，Mirai亜種であると推測される．
|
| Current Status of Research Progress |
Current Status of Research Progress
3: Progress in research has been slightly delayed.
Reason
H29年度において，情報通信研究機構(NICT)が所有する13個のダークネットセンサのうち、できるだけ多くのものを使用してビッグデータ化し、観測の範囲を大幅に拡大して、より詳細なサイバー攻撃の特徴を捉えられるようにシステムを改良する予定であった．センサーデータを収集して解析サーバーに保存することはできるようになったが，あまりに大量であるため，計算機資源の制約から分析手法の開発で試行錯誤ができず，H29年度においては，限られたセンサーデータで分析手法の高性能化を図ることを優先することになった．
|
| Strategy for Future Research Activity |
H30年度では，13個のダークネットセンサのうち、できるだけ多くのものを使用して、より詳細なサイバー攻撃の特徴を捉えられるようにし，観測システムの大規模化を図る。また，これを定常的に運用できるようシステムに実装し、観測されたサイバー攻撃のトレンド変化をリアルタイムで把握できるようにする。また，攻撃ホストの振る舞いを連想ルールマイニングによってルール化する研究を13個のダークネットセンサに適用し、新たな攻撃の予兆をルールベースで検知する新しいシステムを開発する。また、このオンライン学習モデルを開発し、ビッグデータを高速処理できるスキームを構築する。最後に、可視化手法であるt-SNE の高速オンライン学習アルゴリズムを開発し，リアルタイムで攻撃分布の変遷が観測できるシステムの構築を目指す。
|
