2018 Fiscal Year Research-status Report
クラウドサービスに対する経済的な損失を目的にしたEDoS攻撃の検知に関する研究
| Project/Area Number |
18K11268
|
|---|
| Research Institution | University of Miyazaki |
|---|
Principal Investigator |
油田 健太郎 宮崎大学, 工学部, 准教授 (30433410)
|
|---|
| Co-Investigator(Kenkyū-buntansha) |
岡崎 直宣 宮崎大学, 工学部, 教授 (90347047)
山場 久昭 宮崎大学, 工学部, 助教 (60260741)
|
|---|
| Project Period (FY) |
2018-04-01 – 2021-03-31
|
| Keywords | 分散型攻撃 / Economic DoS / フラッシュイベント / クラウドサービス |
|---|
| Outline of Annual Research Achievements |
本研究の目的は，クラウドサービスを標的にしている分散型攻撃（Economic DoS）の被害を減らすために，攻撃をすばやく的確に検知するシステムを開発することである．以下の2つの観点から検討を行う．
(1)クラウドサービスはリソースを柔軟に割り当てられる利点があるが，攻撃の中には一見して攻撃かアクセスの集中（フラッシュイベント）か分からないように巧妙化されたものもある．フラッシュイベントであれば，リソースを多く割り当てるなどの，正常にサービスを提供するための対策を取らなければならないため，攻撃であるか，フラッシュイベントであるか判別することが極めて重要である．そこで，(提案1)攻撃は機械により引き起こされるため，各クライアントの動作が似ていると推測される点に着目して情報量（エントロピー）を元にしてDDoS攻撃であるかフラッシュイベントであるかを判別する手法を開発する．
(2)クラウドサービスではリソースを共有するため，攻撃の標的となったサーバをすばやく検知して停止することが重要となる．そこで，(提案2)パケット間隔を元に攻撃を推定しデータ構造を工夫することで処理が軽く，すばやい検知を可能とする手法を開発する．
これらの2つの手法を実装し，様々な環境で評価を行い，クラウドリソースの効果的な利活用の提案を目指す．
平成30年度は，提案1のDDoS攻撃とフラッシュイベントを判別する手法を開発した．新規ノードの増え方に着目して，送信元IPアドレスと宛先IPアドレスを元に有効なエントロピーの計算方法を検討した．また，同じクラウドサービス上で，DDoS攻撃とフラッシュイベントが同時に発生した場合に，どの程度判別できるか評価した．その結果，我々の提案した手法は，目標にしていたDetection Rate（攻撃として正しく検知できた割合）90%を超えた93%の精度を示した．
|
| Current Status of Research Progress |
Current Status of Research Progress
2: Research has progressed on the whole more than it was originally planned.
Reason
平成30年度は，「提案1」のDDoS攻撃とフラッシュイベントを判別する手法を開発した．新規ノードの増え方に着目して，送信元IPアドレスと宛先IPアドレスを元に有効なエントロピーの計算方法を検討した．また，同じクラウドサービス上で，DDoS攻撃とフラッシュイベントが同時に発生した場合に，どの程度判別できるか評価した．その結果，我々の提案した手法は，目標にしていたDetection Rate（攻撃として正しく検知できた割合）90%を超えた93%の精度を示した．これらの成果は，国際会議で発表している．
|
| Strategy for Future Research Activity |
令和元年度は，平成30年度の研究成果を踏まえ，以下のように研究を進める予定である．
提案1による判別手法を確立できたため，その処理方法について，データ構造に着目して，「提案2」処理が軽く，攻撃をすばやく検知をするための手法を開発する．まず，個々のサーバごとにパケットの到着間隔を測定し，データ構造を保存できるように開発を行う．得られたものがどの程度データ圧縮による効果があるか，また即応性についての評価を行う．具体的な値として，2016年のデータでは，DDoS攻撃があった場合，1秒間に最大約3000万パケットが観測されているため，提案システムでは，1秒あたり5000万パケット以上の処理能力を有し，攻撃や終了の検知が30秒以内を目標に設計する．さらに，攻撃者が，どの程度のパケット間隔を攻撃と判断するかが分かってしまうと，攻撃と判断するぎりぎりの値で攻撃されてしまう問題や攻撃とは関係ない内部からのパケットによる影響を検討する．
|
| Causes of Carryover |
追加実験が必要になり，予定していた学会への参加ができなかったため．
|
