Metasploit攻撃コードに対する網羅的な攻撃パケット生成による侵入検知システムのシグネチャ自動生成

• Item type: Symposium(1)
• 公開日: 2020-10-19
• タイトル: Metasploit攻撃コードに対する網羅的な攻撃パケット生成による侵入検知システムのシグネチャ自動生成
• タイトル / 言語: en
• タイトル: Automatic Signature Generation for Intrusion Detection Systems with Exhaustively Generated Packets from Metasploit Attack Script
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: ネットワークセキュリティ，Metasploit，攻撃検知
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 京都大学
• 著者所属: NTT セキュアプラットフォーム研究所
• 著者所属: 京都大学
• 著者所属: 京都大学
• 著者所属(英): en
• 著者所属(英): Kyoto University
• 著者所属(英): en
• 著者所属(英): NTT Secure Platform Laboratories
• 著者所属(英): en
• 著者所属(英): Kyoto University
• 著者所属(英): en
• 著者所属(英): Kyoto University
• 著者名: 小林, 雅季; 鐘本, 楊; 小谷, 大祐; 岡部, 寿男
• 著者名(英): Masaki, Kobayashi; Yo, Kanemoto; Daisuke, Kotani; Yasuo, Okabe
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 一般に，脆弱性情報の公表と前後して，PoCコードと呼ばれる，その脆弱性の実現可能性を示すコードが公開される.ここで，PoCコードの開発に多用されるツールとしてMetasploitが挙げられる．Metasploitのモジュールとして開発されたコードは容易に悪用できるため，公開後の迅速な対策が必要となる．本研究では，その対策として侵入検知システムのシグネチャを生成し，システムに設置することを考える．そうした対策では，手動でのコードの解析によるシグネチャ作成が行われることが多いが，時間がかかる点が問題となる．そこで，本研究ではMetasploitの攻撃コードのうち，HTTPによるものについて、そのコードからシグネチャを自動生成する手法を提案する．提案手法では，まず攻撃コードの抽象構文木を用いた制御パスの全列挙と、それぞれの制御パスに従った攻撃コードの実行によって，網羅的に攻撃パケットを生成する．その後，生成された攻撃パケットからn-gramをベースとしたアルゴリズムによって特徴的な文字列を抽出し，シグネチャを生成する．また，代表的な攻撃コードについて生成されたシグネチャ例を示す．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: In general, before and after the disclosure of a vulnerability, the PoC(Proof of Concept) code is released. Metasploit is a framework often used to develop such code. The PoC code developed as a Metasploit module can be easily abused, so we need prompt countermeasures after released. As a basic countermeasure, we need to investigate such code and define signatures for IDS(Intrusion Detection Systems), but it is time-consuming and problematic. In this paper, we propose a method to automatically generate signatures from Metasploit attack script related to HTTP. In this method, we first enumerate all the control paths using an abstract syntax tree of the script and execute the script corresponding to each path to generate attack packets exhaustively. Then, we use an n-gram-based algorithm to extract the characteristics of the attack conducted by the script and generate signatures. We also show examples of signatures generated for some scripts.
• 書誌情報: コンピュータセキュリティシンポジウム2020論文集; p. 101-108, 発行日 2020-10-19
• 出版者 / 言語: ja
• 出版者: 情報処理学会