@techreport{oai:ipsj.ixsq.nii.ac.jp:00177798,
 author = {宇野, 真純 and 石井, 将大 and 猪俣, 敦夫 and 新井, イスマイル and 藤川, 和利 and Masumi, Uno and Masahiro, Ishii and Atsuo, lnomta and Ismail, Arai and Kazutoshi, Fujikawa},
 issue = {9},
 month = {Feb},
 note = {標的型攻撃の検知においては，初期侵入段階から端末制御段階までに Remote Access Trojan / Tool (RAT) の通信を検知することが有用とされている．しかし，標的型攻撃の検知における先行研究は，制御段階までに得られる情報を用いて検知が出来ないことや，抽出された特徴が短期間の通信パケットであるために正常なアプリケーションとの区別が困難であること，特定の通信プロトコルを使うことのみ想定した場合など環境に依存するために検知の条件を回避する偽装が容易であること等の問題が存在する．本研究では初期侵入段階から端末制御段階までの間に RAT の通信を検知することを目的とする．先行研究で用いられた In / Out-bound 通信のパケット数やバイト数などの複数の特徴に加え，RAT が通信を確立した際の C&C サーバとの通信トラフイックの通信パケットから新たにエントロピーを計算して新たに特徴とした検知手法を提案する．提案手法に対して k- 分割交差検定を行い，RAT の通信と正常なアプリケーションの通信の分類実験を行った結果，96.2% の高い精度と 1.6% の低い偽陽性を得られた．, Confidential information have been leaked accidentally by targetted attacks. Remote Access Trojan/tool (RAT) is mainly used in such attacks. It is therefore important to detect the RAT activity on intrusion stage to minimize damage by the attack. The detection of the RAT is getting more and more difficult with technological advance. Advanced RATs which use various kinds of protocols cannot be detected with conventional methods. In this study, we provide a method to detect an early intrusion stage of RAT communication by using network features of packet entropy of the communication. We use several supervised machine learning algorithms and K-fold cross validation technique to validate using features of packet entropy. From our experimental results, we report that our approach cant detect RAT sessions with the high accuracy 96.2% and the low false positive rate of 1.6%.},
 title = {エントロピーを用いた初期潜入段階におけるRemote Access Trojanの通信検知},
 year = {2017}
}