異常同期性推定に基づくマルウェア活動の早期検知フレームワークの検討

• Item type: Symposium(1)
• 公開日: 2021-10-19
• タイトル: 異常同期性推定に基づくマルウェア活動の早期検知フレームワークの検討
• タイトル / 言語: en
• タイトル: Study on the Early Detection Framework for Malware Activity Based on Anomalous Synchronization Estimation
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: マルウェア活動，時空間パターン，異常同期性推定，ダークネット
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 国立研究開発法人情報通信研究機構
• 著者所属: 九州大学
• 著者所属: 国立研究開発法人情報通信研究機構
• 著者所属: 国立研究開発法人情報通信研究機構
• 著者所属(英): en
• 著者所属(英): National Institute of Information and Communications Technology
• 著者所属(英): en
• 著者所属(英): Kyushu University
• 著者所属(英): en
• 著者所属(英): National Institute of Information and Communications Technology
• 著者所属(英): en
• 著者所属(英): National Institute of Information and Communications Technology
• 著者名: 韓, 燦洙; 竹内, 純一; 高橋, 健志; 井上, 大介
• 著者名(英): Chansu, Han; Jun'ichi, Takeuchi; Takeshi, Takahashi; Daisuke, Inoue
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: グローバルにサイバー攻撃が蔓延する中，攻撃傾向を迅速に捉え，対策を講じることが求められている．マルウェアの感染が拡大する際には，ダークネットに時空間パターンの同期性が観測されることが分かっている．そこで本論文では，ダークネットトラフィックの時空間パターンの同期性をリアルタイムかつ自動的に推定し異常検知を行う 3 つの独立した機械学習手法を提案する．各提案手法を一つのフレームワークに統合し，マルウェア活動の検知精度の定量的な評価実験を行った結果，各提案手法の弱みを相互補完できることが分かり，再現率 100% を達成した．また，提案フレームワークは世間にマルウェア活動が明らかになった時期より平均 153.6 日早く検知した．最後に人的分析コスト評価を行い，一人の分析者が約 14.6 時間で日々のオペレーションを遂行できることを明らかにした．本研究成果はマルウェア活動の迅速な対応の取り組みに貢献できるよう，社会実装を進めている．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: As cyberattacks are spreading globally, it is necessary to grasp the attack tendency and devise countermeasures promptly. It is known that the synchronization of spatiotemporal patterns is observed on the darknet when malware infection spreads. In this paper, we propose three independent machine learning methods that automatically estimate the synchronization of spatiotemporal patterns of darknet traffic in real-time and detect anomalies. Quantitative evaluation experiments on the detection accuracy of malware activities reveal that our framework can complement the weaknesses of each proposed model and achieve a recall rate of 100%. In addition, the proposed framework detects malware activities on average 153.6 days earlier than when malware activity became apparent in the world. Finally, we clarify that an analyst can perform a daily operation in about 14.6 hours.
• 書誌情報: コンピュータセキュリティシンポジウム2021論文集; p. 1005-1012, 発行日 2021-10-19
• 出版者 / 言語: ja
• 出版者: 情報処理学会