@inproceedings{oai:ipsj.ixsq.nii.ac.jp:00231168,
 author = {福原, 悠真 and 池部, 実 and 吉崎, 弘一 and 吉田, 和幸 and Yuma, Fukuhara and Minoru, Ikebe and Koichi, Yoshizaki and Kazuyuki, Yoshida},
 book = {インターネットと運用技術シンポジウム論文集},
 month = {Nov},
 note = {我々は，OpenFlow スイッチが保持する統計情報に着目し，インターネットからの TCP によるスキャンを OpenFlow コントローラで検知する手法を提案した．本論文では，新たにコネクション切断のための RST パケットを考慮して，従来手法を改良した TCP のスキャン検知手法を提案する．OpenFlow スイッチでは，Packet-In 時に送信元 IP アドレスと，TCP SYN フラグ・TCP RST フラグ・その他の TCP フラグをマッチフィールドに指定した 3 種類のフローエントリを設定する．OpenFlow コントローラは定期的に OpenFlow スイッチから各フローエントリの受信パケット数の累計値を取得する．単一の送信元 IP アドレスにおける，一定時間ごとの TCP の受信パケット数に対する TCP SYN パケット数と TCP RST パケット数の割合からスキャンを検知する．提案手法を仮想ネットワーク上で実装・実験し，OpenFlow コントローラに過度な負荷を与えることなく，スキャンを検知・遮断できることを確認した．, We have previously proposed a detection method for scanning activities using TCP from the Internet focusing on statistical information on an OpenFlow switch. In this paper, we propose an improved TCP scan detection method considering RST packets for disconnecting TCP connections. In this method, when a Packet-In occurs, three types of flow entries are configured in the OpenFlow switch with the source IP address and the TCP SYN flag, TCP RST flag, and other TCP flags in their match fields. The OpenFlow controller periodically gets the received packet counts of each flow entry from the OpenFlow switch. Our system detects scan activities from the ratio of the number of TCP SYN packets and TCP RST packets in the number of received TCP packets per certain period at the source IP address. We implemented and evaluated our proposed method in the virtual network environments. And, we have confirmed that scanning activities can be detected and blocked without imposing any load on the OpenFlow controller.},
 pages = {41--48},
 publisher = {情報処理学会},
 title = {OpenFlowのフロー統計情報を用いたインバウンド通信におけるTCPスキャン検知手法の改良と評価},
 volume = {2023},
 year = {2023}
}