エントロピーの変化点に基づくネットワークパケットの異常検知

• Item type: Symposium(1)
• 公開日: 2024-10-15
• タイトル: エントロピーの変化点に基づくネットワークパケットの異常検知
• タイトル / 言語: en
• タイトル: Anomaly detection in network packets based on entropy change points
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: ネットワークの異常検知, エントロピー, ChangeFinder
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 大阪公立大学大学院情報学研究科
• 著者所属: 大阪公立大学大学院情報学研究科
• 著者所属: 大阪公立大学大学院情報学研究科
• 著者所属(英): en
• 著者所属(英): Graduate School of Informatics, Osaka Metropolitan University
• 著者所属(英): en
• 著者所属(英): Graduate School of Informatics, Osaka Metropolitan University
• 著者所属(英): en
• 著者所属(英): Graduate School of Informatics, Osaka Metropolitan University
• 著者名: 関, 晃太郎; 青木, 茂樹; 宮本, 貴朗
• 著者名(英): Kotaro, Seki; Shigeki, Aoki; Takao, Miyamoto
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 近年のサイバー攻撃の増加に伴って，組織内ネットワークに対するサイバー攻撃を検出する侵入検知システム(IDS:Intrusion Detection System) の研究が盛んに行われている．サイバー攻撃のパケットは通常のパケットとは異なり，特にフラグなどで表される特徴量の分布に変化が生じると考えられる．そこで本稿では，パケットから抽出した特徴量の出現割合を基にエントロピーを算出し，エントロピーの変化点に注目してサイバー攻撃を検知する手法を提案する．エントロピーは計算式が単純であるため計算コストが低く，特定の単位時間内で計算できるためリアルタイム処理が容易である．まず，パケットのヘッダからフラグやポート番号など複数の特徴量を抽出する．次に， 抽出した特徴量の出現割合を基にエントロピーを算出し，特徴量ごとのエントロピーの時系列データを作成する．その後，時系列データの変化点をChangeFinder で検出し，異常を検知する．実験では，CICIDS2017 データセットを用いて本手法の有効性を確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: With the rise in cyber attacks in recent years, research on intrusion detection systems (IDS) for detecting cyber attacks on internal networks has become increasingly active. When a cyber attack occurs, the packets received differ from regular packets, particularly in the distribution of features represented by flags and other indicators. This paper proposes a method to detect cyber attacks by calculating entropy based on the occurrence rates of features extracted from packets and focusing on changes in entropy. Entropy is computationally inexpensive due to its simple formula and can be calculated within specific time units, making real-time processing feasible. First, multiple features such as flags and port numbers are extracted from packet headers. Then, entropy is calculated based on the occurrence rates of the extracted features, and time-series data of the entropy for each feature is created. Subsequently, change points in the time-series data are detected using ChangeFinder to detect anomalies. The effectiveness of this method was confirmed through experiments using the CICIDS2017 dataset.
• 書誌情報: コンピュータセキュリティシンポジウム2024論文集; p. 1683-1688, 発行日 2024-10-15
• 出版者 / 言語: ja
• 出版者: 情報処理学会