OpenFlowのフロー統計情報を用いたインバウンド通信におけるTCPスキャン検知手法の改良と評価

• Item type: Symposium(1)
• 公開日: 2023-11-30
• タイトル: OpenFlowのフロー統計情報を用いたインバウンド通信におけるTCPスキャン検知手法の改良と評価
• タイトル / 言語: en
• タイトル: Improvement for scan detection method in inbound traffic using flow statistics of OpenFlow and its evaluation
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: セキュリティ
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 大分大学大学院工学研究科
• 著者所属: 大分大学理工学部
• 著者所属: 大分大学学術情報拠点情報基盤センター
• 著者所属: 大分大学学術情報拠点情報基盤センター
• 著者名: 福原, 悠真; 池部, 実; 吉崎, 弘一; 吉田, 和幸
• 著者名(英): Yuma, Fukuhara; Minoru, Ikebe; Koichi, Yoshizaki; Kazuyuki, Yoshida
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 我々は，OpenFlow スイッチが保持する統計情報に着目し，インターネットからの TCP によるスキャンを OpenFlow コントローラで検知する手法を提案した．本論文では，新たにコネクション切断のための RST パケットを考慮して，従来手法を改良した TCP のスキャン検知手法を提案する．OpenFlow スイッチでは，Packet-In 時に送信元 IP アドレスと，TCP SYN フラグ・TCP RST フラグ・その他の TCP フラグをマッチフィールドに指定した 3 種類のフローエントリを設定する．OpenFlow コントローラは定期的に OpenFlow スイッチから各フローエントリの受信パケット数の累計値を取得する．単一の送信元 IP アドレスにおける，一定時間ごとの TCP の受信パケット数に対する TCP SYN パケット数と TCP RST パケット数の割合からスキャンを検知する．提案手法を仮想ネットワーク上で実装・実験し，OpenFlow コントローラに過度な負荷を与えることなく，スキャンを検知・遮断できることを確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: We have previously proposed a detection method for scanning activities using TCP from the Internet focusing on statistical information on an OpenFlow switch. In this paper, we propose an improved TCP scan detection method considering RST packets for disconnecting TCP connections. In this method, when a Packet-In occurs, three types of flow entries are configured in the OpenFlow switch with the source IP address and the TCP SYN flag, TCP RST flag, and other TCP flags in their match fields. The OpenFlow controller periodically gets the received packet counts of each flow entry from the OpenFlow switch. Our system detects scan activities from the ratio of the number of TCP SYN packets and TCP RST packets in the number of received TCP packets per certain period at the source IP address. We implemented and evaluated our proposed method in the virtual network environments. And, we have confirmed that scanning activities can be detected and blocked without imposing any load on the OpenFlow controller.
• 書誌情報: インターネットと運用技術シンポジウム論文集; 巻 2023, p. 41-48, 発行日 2023-11-30
• 出版者 / 言語: ja
• 出版者: 情報処理学会