eBPFを用いたアプリケーション別パケットキャプチャツールの試作と応用

• Item type: SIG Technical Reports(1)
• 公開日: 2024-05-23
• タイトル: eBPFを用いたアプリケーション別パケットキャプチャツールの試作と応用
• タイトル / 言語: en
• タイトル: eBPF-based application-wise packet capture: a prototype and its application
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: ICM3
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 東北工業大学大学院工学研究科
• 著者所属: 東北工業大学工学部情報通信工学科
• 著者所属(英): en
• 著者所属(英): Tohoku Institute of Technology
• 著者所属(英): en
• 著者所属(英): Tohoku Institute of Technology
• 著者名: 岡部, 将也; 角田, 裕
• 著者名(英): Masaya, Okabe; Hiroshi, Tsunoda
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: セキュリティインシデントの原因究明においてパケットキャプチャは貴重な情報源である．ホスト上でパケットをキャプチャする際にその送受信元のアプリケーションを併せて把握しておくことができれば，インシデント発生のきっかけとなったアプリケーションの特定を効率化できる．しかし，既存のパケットアナライザはプロトコル解析に特化しているため，直接的にパケットを送受信したアプリケーションを特定できない．そこで，我々はカーネルからユーザ空間までの広範囲の情報を取得可能な技術である eBPF (extended Berkeley Packet Filter) を利用してパケット情報とプロセス情報を関連付けることにより，パケットにアプリケーション名をマッピングした．本稿では，この機能をアプリ別パケットキャプチャツールとして実装し，アプリの通信行動監視と通信アプリの識別の 2 つのユースケースを想定したパケットキャプチャにより有用性を確認する．また，パケット単位のアプリケーション識別の応用について議論する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Packet capture provides a valuable source of information for investigating the causes of security incidents. If we can identify the applications sending and receiving packets while capturing them on a host, we can streamline the process of determining which application triggered the incident. In this paper, we propose an application-wise packet capture technique based on the eBPF (extended Berkeley Packet Filter) technology. Using the eBPF, we can obtain a wide range of information from the kernel to the user space, associate packet information with process information, and map application names to packets. We developed a prototype of the proposed packet capture tool and confirmed its usefulness through two use cases: monitoring a targeted application’s behavior and identifying the source or destination applications of captured packets. We also discuss the application of packet-level application identification.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA12326962
• 書誌情報: 研究報告インターネットと運用技術（IOT）; 巻 2024-IOT-65, 号 26, p. 1-6, 発行日 2024-05-23
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8787
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会