複数OpenFlowスイッチ環境のフロー統計情報を用いた横展開検知手法の提案

• Item type: SIG Technical Reports(1)
• 公開日: 2023-03-08
• タイトル: 複数OpenFlowスイッチ環境のフロー統計情報を用いた横展開検知手法の提案
• タイトル / 言語: en
• タイトル: Proposal for lateral movement detection method using flow statistics in multiple OpenFlow switches environments
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: IOTセッション
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 大分大学大学院工学研究科
• 著者所属: 大分大学理工学部
• 著者所属: 大分大学学術情報拠点情報基盤センター
• 著者所属: 大分大学学術情報拠点情報基盤センター
• 著者名: 福原, 悠真; 池部, 実; 吉崎, 弘一; 吉田, 和幸
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 我々は，OpenFlow スイッチが保持する統計情報から OpenFlow コントローラでインターネットからのスキャンを検知する手法を提案した．一方，ネットワーク内部にマルウェアが侵入した場合，前述の提案手法では LAN 内でのマルウェアによる横展開は防ぐことが難しい．そこで本研究では，複数のOpenFlow スイッチで構成された LAN を想定し，マルウェアによる横展開を検知する手法を提案する．横展開で狙われることが多い RPC (135/TCP) と SMB (445/TCP) を検知対象とし，スキャンでは，TCP スリーウェイハンドシェイクで用いられる SYN パケットの比率が高くなることを検知条件に用いた．送信元 IP アドレス・宛先 IP アドレス・対象の宛先ポート番号ごとに，TCP SYN フラグとそれ以外の TCP フラグで異なるマッチフィールドを定義した 2 種類のフローエントリを OpenFlow スイッチに設定して受信パケット数を取得し，SYN パケット数とそれ以外のパケット数の比率により横展開の初期活動であるスキャンを検知・遮断する．提案手法を仮想ネットワーク上で実装し，検知・遮断実験を実施し評価した．複数の条件で実験した結果，横展開の送信元 IP アドレスを攻撃者として検知・遮断できることを確認した．
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA12326962
• 書誌情報: 研究報告インターネットと運用技術（IOT）; 巻 2023-IOT-60, 号 16, p. 1-8, 発行日 2023-03-08
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8787
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会