自己ファイルREADの検出による未知ワーム・変異型ワームの検知方式の提案

• Item type: SIG Technical Reports(1)
• 公開日: 2006-03-17
• タイトル: 自己ファイルREADの検出による未知ワーム・変異型ワームの検知方式の提案
• タイトル / 言語: en
• タイトル: An unknown-worm and mutated-worm detection scheme based on capturing self-initiated READ behavior
• 言語: jpn
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 静岡大学情報学部
• 著者所属: NTTデータ技術開発本部
• 著者所属: 静岡大学情報学部
• 著者所属: NTTデータ技術開発本部
• 著者所属: NTTデータ技術開発本部
• 著者所属: 静岡大学情報学部
• 著者所属(英): en
• 著者所属(英): Faculty of Informatics, Shizuoka University
• 著者所属(英): en
• 著者所属(英): R&D Headquarters,NTT Data corp
• 著者所属(英): en
• 著者所属(英): Faculty of Informatics, Shizuoka University
• 著者所属(英): en
• 著者所属(英): R&D Headquarters,NTT Data corp
• 著者所属(英): en
• 著者所属(英): R&D Headquarters,NTT Data corp
• 著者所属(英): en
• 著者所属(英): Faculty of Informatics, Shizuoka University
• 著者名: 鈴木, 功一; 松本, 隆明; 高見, 知寛; 馬場, 達也; 前田, 秀介; 西垣, 正勝
• 著者名(英): Koichi, Suzuki; Takaaki, Matsumoto; Tomohiro, Takami; Tatsuya, Baba; Shusuke, Maeda; Masakatsu, Nishigaki
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: ワームの感染は、ワーム自身を他のPCにネットワーク経由でコピーすることに他ならない。よってワームの感染行動は、OSのファイルシステム上では、自分自身のファイルをREAD（コピー）し、これを通信APIにWRITE（ペースト）するという動作として現れる。本稿では、この「ワームの自己ファイルREAD」を検出することにより、ワームを検知する方式を提案する。原理的にはワームは必ず自己ファイルREADを行うため、本方式によれば未知ワームや変異型ワームも検知可能であると考えられる。また本方式は、エンドユーザのPCにおける各プロセスのファイルアクセスを常時監視することにより実装可能であるため、ワームのリアルタイム検知も実現できる。本稿では本方式のコンセプトを示した上で、ファイルアクセスを監視するモニタツールを用いて擬似的に本方式の未知ワーム検知能力を検証する。
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Worm infection is just to copy the worm onto other PC by way of a network connection. Therefore,it is observed as the following behaviors;(1)COPY:read their own executable file,and (2) PASTE:write the file onto the stream communication API. This paper proposes to use this type of worm`s "self-initiated READ behavior" for unknown-worm detection. It is expected that the worm detection scheme based on capturing self-READ behavior could be applicable to a variety of worms including mutated-worm since this behavior is basically found in most of them. Moreover,this scheme could achieve real-time worm detection because the self-READ behavior can be done just by capturing the file access of every process. In this paper,the conceptual design of the proposed scheme is described and its feasibility is investigated by using a tool kit to capture the file access in the OS.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA11235941
• 書誌情報: 情報処理学会研究報告コンピュータセキュリティ（CSEC）; 巻 2006, 号 26(2006-CSEC-032), p. 275-280, 発行日 2006-03-17
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会