DoHを用いたDGAマルウェア検出におけるネットワーク間の汎化性能の向上に向けた特徴量表現の検討

• Item type: SIG Technical Reports(1)
• 公開日: 2026-09-17
• タイトル / 言語: ja
• タイトル: DoHを用いたDGAマルウェア検出におけるネットワーク間の汎化性能の向上に向けた特徴量表現の検討
• タイトル / 言語: en
• タイトル: A Study on Feature Representations for Improving Cross-Network Generalization in DGA Malware Detection over DoH
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: IOT
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 奈良先端科学技術大学院大学
• 著者所属: 奈良先端科学技術大学院大学
• 著者所属: 奈良先端科学技術大学院大学
• 著者所属: 奈良先端科学技術大学院大学
• 著者所属: 奈良先端科学技術大学院大学
• 著者所属: 奈良先端科学技術大学院大学
• 著者名: 小田川,晴奎; 桂,祐成; 遠藤,新; Araya,Kibrom Desta; 新井,イスマイル; 藤川,和利
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 近年，Domain Generation Algorithm（DGA）マルウェアの検出はDNS over HTTPS（DoH）による暗号化によって，従来のペイロードベースの検出は困難になりつつある．既存のDoHを利用したDGAマルウェアの研究は，機械学習を用いた手法によって，単一のデータセットに対しては99%以上の精度を達成している．一方，本研究の予備調査において，学習に使用したデータセットとは異なるデータセットに対しては，検出精度が約23%低下することを示した．また，XGBoostモデルのFeauture Importance （特徴量重要度）を算出すると，上位を時間に関する特徴量で大きく占められていることが判明した．これについて，最も特徴量重要度の値が大きい，時間に関する特徴量についてデータ分布を確認すると，ネットワーク環境によって分布が大きく異なることがわかった．特に，時間に関する特徴量はネットワーク遅延といった要因で容易に変化しうる特徴量であり，ネットワーク間の汎化性能を高めるためには不適当であると考える．一方で，時間に関する特徴量は，DoHのバースト性を表すために重要な側面をもつため，ネットワーク環境で変化しない特徴量に変換する必要がある．これらの分析から，本研究ではネットワークに依存しない特徴量として，グラフ構造を用いた表現の検討を進める．
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA12326962
• 書誌情報: 研究報告インターネットと運用技術（IOT）; 巻 2026-IOT-75, 号 21, p. 1-8, 発行日 2026-09-17
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8787
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会