遺伝的アルゴリズムに基づいた広域スキャンのフィンガープリント特定技術の提案

• Item type: Symposium(1)
• 公開日: 2021-10-19
• タイトル: 遺伝的アルゴリズムに基づいた広域スキャンのフィンガープリント特定技術の提案
• タイトル / 言語: en
• タイトル: Proposing a Genetic Algorithm Approach for Unveiling Fingerprint of Internet-Wide Scanner
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: ダークネットトラフィック，遺伝的アルゴリズム，フィンガープリント
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 国立研究開発法人情報通信研究機構／九州大学
• 著者所属: 国立研究開発法人情報通信研究機構
• 著者所属: 国立研究開発法人情報通信研究機構
• 著者所属: 九州大学
• 著者所属(英): en
• 著者所属(英): National Institute of Information and Communications Technology / Kyushu University
• 著者所属(英): en
• 著者所属(英): National Institute of Information and Communications Technology
• 著者所属(英): en
• 著者所属(英): National Institute of Information and Communications Technology
• 著者所属(英): en
• 著者所属(英): Kyushu University
• 著者名: 田中, 智; 韓, 燦洙; 高橋, 健志; 藤澤, 克樹
• 著者名(英): Akira, Tanaka; Chansu, Han; Takeshi, Takahashi; Katsuki, Fujisawa
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: インターネット上の到達可能かつ未使用の IP アドレス空間（ダークネット）を利用し，新興のマルウェア活動を検知することは，迅速なサイバーセキュリティ対策を行うために必要不可欠である．しかし，巧妙な攻撃者による分散スキャンと調査目的スキャンを区別することは非常に難しい．既存研究では，スキャン対象のポートや送信元ホストの分布に着目することで，攻撃者によるスキャン活動の検知を試みているが，緻密に組織化されたスキャン活動の特定には至っていない．一方，スキャンパケットには他の通信と区別するための特徴（フィンガープリント）が埋め込まれていることが既存研究で知られている．本稿ではフィンガープリントを論理式で表現し，遺伝的アルゴリズムを応用することで，複雑な特徴（論理式）を捉える手法を初めて提案する．ダークネットトラフィックを用いた実験では，既存及び未知の論理式の特定に成功した．論理式を満たすパケットを分析することで，複数の脆弱性を狙った複数ホストによるスキャン活動を確認するとともに，それらは中規模以下のスキャナ郡によって行われることを確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Detection of malware activities using darknet traffic is essential to perform prompt cybersecurity measures. However, distributed malware scans are indistinguishable from scan activities for investigative purposes. On the other hand, existing research has revealed that scan packets have their identifier to specify their scan packets from other traffic data. Therefore, this paper represents an identifier as a boolean formula and specifies the identifier based on the genetic algorithm, which is the first research to the best of our knowledge. Numerical experiments using darknet traffic revealed both existing and unknown boolean formulas. We also confirmed some middle- or low-rate port scans targeting multiple vulnerabilities by analyzing packets satisfying the boolean formulas.
• 書誌情報: コンピュータセキュリティシンポジウム2021論文集; p. 349-356, 発行日 2021-10-19
• 出版者 / 言語: ja
• 出版者: 情報処理学会