トラフィック情報表示システムによるscan攻撃の可視化

• Item type: SIG Technical Reports(1)
• 公開日: 2013-05-02
• タイトル: トラフィック情報表示システムによるscan攻撃の可視化
• タイトル / 言語: en
• タイトル: Visualization for scan attacks with Network Traffic Viewing System
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: 学内LAN運用管理
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 大分大学大学院工学研究科知能情報システム工学専攻
• 著者所属: 大分大学大学院工学研究科知能情報システム工学専攻
• 著者所属: 大分大学工学部知能情報システム工学科
• 著者所属: 大分大学学術情報拠点情報基盤センター
• 著者所属(英): en
• 著者所属(英): Course of Computer Science and Intelligent Systems, Graduate School of Engineering, Oita University
• 著者所属(英): en
• 著者所属(英): Course of Computer Science and Intelligent Systems, Graduate School of Engineering, Oita University
• 著者所属(英): en
• 著者所属(英): Department of Computer Science and Intelligent Systems, Faculty of Engineering, Oita University
• 著者所属(英): en
• 著者所属(英): Center for Academic Information and Library Services, Oita University
• 著者名: 小刀稱, 知哉; 松井, 一乃; 池部, 実; 吉田, 和幸
• 著者名(英): Tomoya, Kotone; Kazuno, Matsui; Minoru, Ikebe; Kazuyuki, Yoshida
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 大分大学のインバウンドトラフィックのパケットを取得し，送信元 IP アドレスの第 1 オクテットと第 2 オクテット，宛先 IP アドレスの第 3 クテットと第 4 オクテットをそれぞれ軸にした 2 次元マトリックスで表示した．また，IP アドレスの対応する場所に，パケット数に応じて配色することで，ネットワーク管理者が一目で学内ネットワークの各ホストのトラフィック状況を把握可能なトラフィック情報表示システムを構築した．本論文では，トラフィック情報表示システムを用いて，一定間隔で現在のトラフィック状況を確認し，水平型の scan 攻撃の可視化を試みた．その結果，攻撃者からの送信パケットが少なく，IDS や tcpdump 等の出力データを確認するだけでは気づきにくい水平 scan 攻撃を把握できた．また，22 番ポートに関するパケットデータを取得するよう設定し，本システムと同時に運用している不正通信検知システム・SSH パスワードクラッキング検知システムが共に検知した攻撃者の挙動を可視化した．その結果，水平 scan 攻撃後に SSH パスワードクラッキング攻撃が仕掛けられている様子が観測できた．また，送信元 IP アドレスの第 1 オクテット，第 2 オクテットをパケット数に対応した色を用い，ヒルベルト空間曲線で表示することで送信元の分布を調査した．その結果，複数の送信元から 1 つの宛先にパケットを送信している様子が観測できた．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: We have developed a Network Traffic Viewing System that network administrators can easily grasp the traffic status for each host. Our system collects the number of packets from inbound traffic of Oita University. And, our system shows two-dimensional matrix that the horizontal and vertical axis were assigned the third and fourth octet of destination IP addresses. Moreover, the system shows the matrix with the first and second octet of source IP addresses. In this paper, we attempted to visualize the horizontal scan attack using traffic status obtained at intervals. As a result, we could grasped the indiscernible horizontal scan attacks that sent a few packet, just looking at the log outputted by IDS or tcpdump. Also, we collect packet data with port 22 and examine the attackers attempt to SSH password cracking attack after horizontal scan attack. And, we visualized its behavior with our system. As a result, we could grasp the SSH password cracking attacks after the horizontal scan attacks. And, we investigated a distribution of the source IP addresses using the Hilbert curve. This visualization method mapped the first and second octets of the source IP addresses to two-dimentional matrix. As a result, we could grasp attacks from various attackers to a specific host.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA12326962
• 書誌情報: 研究報告インターネットと運用技術（IOT）; 巻 2013-IOT-21, 号 18, p. 1-8, 発行日 2013-05-02
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会