エントロピーを用いた初期潜入段階におけるRemote Access Trojanの通信検知

• Item type: SIG Technical Reports(1)
• 公開日: 2017-02-24
• タイトル: エントロピーを用いた初期潜入段階におけるRemote Access Trojanの通信検知
• タイトル / 言語: en
• タイトル: Network based detection of Remote Access Trojan communication by using packet entropy on early instruction stage
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: Security
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 奈良先端科学技術大学院大学情報科学研究科
• 著者所属: 東京工業大学情報理工学院
• 著者所属: 東京電機大
• 著者所属: 奈良先端科学技術大学院大学総合情報基盤センター
• 著者所属: 奈良先端科学技術大学院大学総合情報基盤センター
• 著者所属(英): en
• 著者所属(英): Graduate School of Information Science, Nara Institute of Science and Technology
• 著者所属(英): en
• 著者所属(英): School of Computing, Tokyo Institute of Technology
• 著者所属(英): en
• 著者所属(英): Tokyo Denki University
• 著者所属(英): en
• 著者所属(英): Information Initiative Center, Nara Institute of Science and Technology
• 著者所属(英): en
• 著者所属(英): Information Initiative Center, Nara Institute of Science and Technology
• 著者名: 宇野, 真純; 石井, 将大; 猪俣, 敦夫; 新井, イスマイル; 藤川, 和利
• 著者名(英): Masumi, Uno; Masahiro, Ishii; Atsuo, lnomta; Ismail, Arai; Kazutoshi, Fujikawa
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 標的型攻撃の検知においては，初期侵入段階から端末制御段階までに Remote Access Trojan / Tool (RAT) の通信を検知することが有用とされている．しかし，標的型攻撃の検知における先行研究は，制御段階までに得られる情報を用いて検知が出来ないことや，抽出された特徴が短期間の通信パケットであるために正常なアプリケーションとの区別が困難であること，特定の通信プロトコルを使うことのみ想定した場合など環境に依存するために検知の条件を回避する偽装が容易であること等の問題が存在する．本研究では初期侵入段階から端末制御段階までの間に RAT の通信を検知することを目的とする．先行研究で用いられた In / Out-bound 通信のパケット数やバイト数などの複数の特徴に加え，RAT が通信を確立した際の C&C サーバとの通信トラフイックの通信パケットから新たにエントロピーを計算して新たに特徴とした検知手法を提案する．提案手法に対して k- 分割交差検定を行い，RAT の通信と正常なアプリケーションの通信の分類実験を行った結果，96.2% の高い精度と 1.6% の低い偽陽性を得られた．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Confidential information have been leaked accidentally by targetted attacks. Remote Access Trojan/tool (RAT) is mainly used in such attacks. It is therefore important to detect the RAT activity on intrusion stage to minimize damage by the attack. The detection of the RAT is getting more and more difficult with technological advance. Advanced RATs which use various kinds of protocols cannot be detected with conventional methods. In this study, we provide a method to detect an early intrusion stage of RAT communication by using network features of packet entropy of the communication. We use several supervised machine learning algorithms and K-fold cross validation technique to validate using features of packet entropy. From our experimental results, we report that our approach cant detect RAT sessions with the high accuracy 96.2% and the low false positive rate of 1.6%.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA12326962
• 書誌情報: 研究報告インターネットと運用技術（IOT）; 巻 2017-IOT-36, 号 9, p. 1-6, 発行日 2017-02-24
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8787
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会