2012 Fiscal Year Annual Research Report
未知のサイバー攻撃を検知追跡するセンサーシステムの構築
| Project/Area Number |
23300025
|
|---|
| Research Institution | Nagoya University |
|---|
Principal Investigator |
高倉 弘喜 名古屋大学, 情報基盤センター, 教授 (70281144)
|
|---|
| Project Period (FY) |
2011-04-01 – 2016-03-31
|
| Keywords | 情報セキュリティ / サイバー攻撃 / ハニーポット / データマイニング |
|---|
| Research Abstract |
既存のセンサーシステムを改良し、直接攻撃を受ける、あるいは、既存システムで収集したマルウェアを用いて、自発的に感染する機構を追加した。また、名古屋大学のIPv6の導入開始に伴い、単体のコンピュータが複数の接続先を有する環境が提供されるため、これに対応するマルチホーム対応を図った。複数の接続先や回線を同時に使用しながら通信するマルチホーム環境に対応するため、トラフィックデータベースへの格納の際に、異なるセッション間の関連性の高さを判定し、これをデータベースに保存する機能を追加した。
次に、トラフィックデータベースに保存済みの正常トラフィック、および、既知の攻撃を種別毎にクラスタリングし、各クラスタに対してOne-class SVMによる学習を行うアルゴリズムの改良を行った。トラフィックデータベースの解析から新たな攻撃の可能性が疑われる場合、攻撃に関連する情報についてマイニングを行い、正常トラフィックあるいはflood 攻撃のクラスタに分類されたものは、正常または従来型攻撃と判定し、以降の処理を行わないことで、攻撃自体が解析システムに対するDDoS攻撃にならないようになっている。
従来型攻撃を仕掛けつつ新種の攻撃を行うサイバー攻撃を、その混合比率が変動しても、従来型攻撃と誤判定しないための機構を開発した。
これまでに開発したシステムを実環境において評価実験を行った。
|
| Current Status of Research Progress |
Current Status of Research Progress
2: Research has progressed on the whole more than it was originally planned.
Reason
サイバー攻撃を追跡するための囮システムはほぼ完成したと考えている。また、IPv6の広大なアドレス空間において、効率的にサイバー攻撃を囮システムに誘導する手法、および、攻撃の傾向を分析するシステムの開発に着手する等、当初計画に無かった機能の実装を始めている。
また、囮システムで収集したマルウェアを自動解析することで、既知マルウェアと共通部分の機械コードについては再度の解析をすること無く、新たに追加されたと思われる部分を特定し、そこだけの解析に注力することを可能とするマルウェア自動分類アルゴリズムも開発している。これにより、開発中の手法の効率的な検証が実現できると考えている。
ただし、サイバー攻撃の手法が、さらに巧妙化してきており、組織内ネットワークでの内部攻撃を検知する仕組みが必要となって来ている。このため、現在開発中のシステムを、このような攻撃に対応させる必要が出て来た。
|
| Strategy for Future Research Activity |
新たに得られた情報とこれまでに保存された情報を比較する以下のような解析アルゴリズムを構築する。設計方針としては、クラスタリングとOne-class SVMの統合手法の応用を考えている。この応用により、トラフィックデータベースの解析から新たな攻撃の可能性が疑われる場合、攻撃に関連する情報についてマイニングを行い、正常トラフィックあるいはflood 攻撃のクラスタに分類されたものは、正常または従来型攻撃と判定するアルゴリズムの精度向上を目指す。
新たな攻撃の可能性が高いと判断される場合、詳細解析を行う。当初は手動による解析で新たな攻撃か否かを判定するが、その解析過程をプログラム化することで、自動判別する機構を開発する。これにより、新種の攻撃を自動抽出するシステムを実現したい。さらに、攻撃元と判断した場合は、センサーシステムに逆探知を指示する。
なお、本システムではOne-class SVMの応用を考えているが、従来手法では誤検知が大きく実用的ではない可能性があるため、新たなサイバー攻撃を分類するための改良、または、新たな手法を開発しなければならない可能性がある。このため、新たなカーネル関数の提案も検討している。
センサーシステムを改良し、組織内でのサイバー攻撃を検知および防止できる機構を開発する。標的型攻撃では、実環境下にあり、かつ、実ユーザが使用するPCでなければ活動しないマルウェアが使用されるため、マルウェア感染を許容しながらも組織ネットワークに危害を及ぼさない擬似ネットワーク機構の開発を行う。
|
Research Products
(13 results)
