ダークネットにおける大規模調査パケットを考慮したポート番号埋め込みベクトルによるスキャンパケット解析

• Item type: SIG Technical Reports(1)
• 公開日: 2021-03-08
• タイトル: ダークネットにおける大規模調査パケットを考慮したポート番号埋め込みベクトルによるスキャンパケット解析
• タイトル / 言語: en
• タイトル: Scan Packet Analysis by Port-number Embedding Vector Considering Large-scale Survey Packets in Darknet
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: 情報収集・分析
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 神戸大学
• 著者所属: 神戸大学
• 著者所属: 情報通信研究機構
• 著者所属: 神戸大学
• 著者名: 石川, 真太郎; 中藤, 大暉; 班, 涛; 小澤, 誠一
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 近年，IoT デバイスの脆弱性を利用したサイバー攻撃による被害が深刻になっており，対策が求められている．本研究では，機械学習を用いてダークネットで観測されたマルウェア感染デバイスによる攻撃と，その変化を追跡する手法を提案する．最初に，ダークネット観測において，ノイズとなっている大規模調査パケットを除外する．次に，FastText による特徴抽出を行い，スキャンパケットの宛先ポート番号から，ターゲットとなっているネットワークサービス間の相関関係を捉える．最後に，UMAP と DBSCAN を用いてホストの可視化と，同じ攻撃パターンを持つホストのクラスタリングを行い，マルウェアの傾向把握や新たなマルウェア亜種の出現の検知を行う．実験では，同手法で大規模調査パケットを削除した場合としない場合を比較し，大規模調査パケット削除の有効性を示し，また，既知の大規模調査を行う組織情報などを利用し大規模調査パケットを正しく分離できていることを示した．その上で 1 日ごとの解析情報を追跡することにより，宛先ポート番号だけに着目した解析では判断できない，ホストの時間的な活動情報に基づいたマルウェア判定を行うことができることを示した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: In this research, we propose a method for tracking the attacks by malware-infected devices observed in the darknet and their changes using machine learning. First, we exclude large-scale survey packets that are noisy in darknet observations. Then, feature extraction using FastText is executed, and the correlation among targeted network services is captured from the destination port numbers of scan packets. Finally, UMAP and DBSCAN are used to cluster hosts with the same attack pattern as host visualization, to grasp malware trends and detect the emergence of new malware variants. In the experiment, we study the effectiveness of the proposed method where large-scale scanners are identified and ignored their traffic. By tracking the cluster transitions, we verify that the time transient of malware activity can be captured by tracking the portset clusters.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA11235941
• 書誌情報: 研究報告コンピュータセキュリティ（CSEC）; 巻 2021-CSEC-92, 号 49, p. 1-8, 発行日 2021-03-08
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8655
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会