通信トラフィックの時系列分析による
40
0
0
全文
(2) 修士論文要旨. 2009 年度(平成 21 年度). 通信トラフィックの時系列分析による ボット活動の可視化と特徴検出 論文要旨 ボットネットは，悪意を持つ攻撃者の命令によって DDoS 攻撃や SPAM メー ルの送信などの様々な脅威を引き起こしている. 既存のボットネット対策の 多くは，ボットがウィルスと同様にホストの脆弱性を利用して感染すること から，既存のセキュリティ対策手法を利用している. しかし，ボットネットは二つの理由から既存のボットネット対策手法では有 効な対策にならない．一点目は，亜種の頻繁な出現とボットの更新が容易であ ることから，多くの既存の手法が用いているパケットのヘッダやペイロードに 着目した攻撃や感染活動の検出手法では不十分であるという点である．二点目 は，ボットがさまざまなネットワークに分散しているため，検知したボットの 対応が困難な点である． そこで本研究の目的は, ボットネット対策のために, ボット通信の特性や 傾向を把握することである. 本研究では, 研究用データセット CCC DATASet 2008, 2009 の攻撃通信データを用い, ボットに感染した端末の通信相手につ いて時系列分析を行った. 実験の結果, ボットの典型的な各挙動について可 視化を行い, ネットワークトラフィックから識別可能なことが分かった.. 早稲田大学大学院 基幹理工学研究科. 情報理工学専攻 池田 潤一.
(3) Abstract. of Master’s Thesis Academic Year 2009. Visualizing and Detecting Bot Activities by Time-series Analysis of Network Traffic Abstract The purpose of this study is taking measure of bot net by understanding the characteristic and the tendency to the bot communication. We used the attack communication data of CCC DATASet 2009 on time-series analysis of the other party of the communication of an infected terminal with bot. From the results of the experiments, we understood to identify typical bot activities from the network traffic.. Graduate School of Fundamental Science and Engineering, Waseda University Junichi Ikeda.
(4) 目次 第1 章 序論 1.1 研究背景. . . . . . . . . . . . . . . . . . . . . . . . . . . . .1 1.2 本論文の目的. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2 1.3 本研究より期待される成果 . . . .. . . . . . . . . . . . . . . . . . . . .2 1.4 本論文の構成. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3 第2 章 関連研究 2.1 警視庁@policeにおける定点観測. . . . . . . . . . . . . . . . . . . . . . .4 2.2 2.3 2.4 2.5 2.6 2.7. IronPort Systems. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4 NVisionIP. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4 Traffic Classification . . . . . . . . . . . . . . . . . . . . . . . . . . .5 Correlation Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . .5 Network Behavior Analysis . . . . . . . . . . . . . . . . . . . . . . . . .5 関連研究の課題とまとめ. . . . . . . . . . . . . . . . . . . . . . . . . .6. 第3 章 提案手法 3.1 時系列分析. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7 3.2 構成システム. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7 3.2.1 システムの概要. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7 3.2.2 機能の特徴. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7 第4 章 実験 4.1 実験環境. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8 4.2 解析対象. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8 4.2.1 4.2.2. CCC DATASet2008の内訳. . . . . . . . . . . . . . . . . . . . . . .9 CCC DATASet2009の内訳. . . . . . . . . . . . . . . . . . . . . . .10. 第5 章 実験結果と考察 5.1 CCC DATASet2008の解析結果 . . . . . . . . . . . . . . . . . . . . . . . .11 5.1.1 TCP-synに注目したボットからの通信 . . . . . . . . . . . . . . . .11.
(5) 5.1.2 5.1.3 5.1.4 5.2 CCC 5.2.1 5.2.2 5.2.3. UDPのパケットに注目したボットからの通信 . . . . . . . . . . . .14 TCP-synに注目したボットへの通信. . . . . . . .. . . . . . . . . .17 UDPのパケットに注目したボットへの通信. . . . . . . . . . . . . .20 DATASet2009の解析結果. . . . . . . . . . . . . . . . . . . . . . . .23 TCP-synに注目したボットからの通信 . . . . . . . . . . . . . . . .23 UDPのパケットに注目したボットからの通信 . . . . . . . . . . . .25 TCP-synに注目したボットへの通信. . . . . . . . . . . . . . . 27. 5.2.4 UDPのパケットに注目したボットへの通信. . . . . . . . . . . . . .28 5.1.5 CCC DATASet2009の解析結果の考察. . . . . . . . . .. . . . . .29 5.3 考察. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .29 第6 章 結論 6.1 まとめ. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .30 6.2 今後の課題. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .30 付録 外部発表資料.
(6) 図目次 TCP-syn に注目したボットからの通信(2008 年 4 月 28 日) . . . . . . . . . . .17 TCP-syn に注目したボットからの通信(2008 年 4 月 29 日). . . . . . . . . . .18 UDP のパケットに注目したボットからの通信(2008 年 4 月 28 日) . . . . . .20 UDP のパケットに注目したボットからの通信(2008 年 4 月 29 日). . . . . . 21 TCP-syn に注目したボットへの通信(2008 年 4 月 28 日) . . . . . . . . . . . .23 TCP-syn に注目したボットへの通信(2008 年 4 月 29 日). . . . . . . . . . . .24 UDP のパケットに注目したボットへの通信(2008 年 4 月 28 日) . . . . . . .26 UDP のパケットに注目したボットへの通信(2008 年 4 月 29 日). . . . . . . .27 TCP-syn に注目したボットからの通信(2009 年 3 月 13 日) . . . . . . . . . . .28 TCP-syn に注目したボットからの通信(2009 年 3 月 14 日). . . . . . . . . .29 118.8.200.0/22 付近の拡大図 (2009 年 3 月 13 日) . . . . . . . . . . . 29 TCP-syn に注目したボットへの通信(2009 年 3 月 13 日) . . . . . . . . . . . .30 TCP-syn に注目したボットへの通信(2009 年 3 月 14 日) . . . . . . . . . . . .31 UDP のパケットに注目したボットからの通信(2009 年 4 月 28,29 日) . . . . .32 UDP のパケットに注目したボットへの通信(2009 年 4 月 28,29 日) . . . . . .33.
(7) 表目次 実験環境. . . . . . . . . . . . . . . . . . . . . . . . . . . . .13 CCC DATASet 2008の攻撃通信データの2日分の内訳. . . . . . . . . . .14 CCC DATASet 2009の攻撃通信データの2日分の内訳. . . . . . . . . . .15 CCC DATASet 2008 の 2008 年 4 月 28 日のデータにおける TCP-syn で送信元 IP が x.x.21.x か x.x.22.x のパケットのポート別通信数. . . . . . . . . . . . .16 CCC DATASet 2008 の 2008 年 4 月 29 日のデータにおける TCP-syn で送信元 IP が x.x.21.x か x.x.22.x のパケットのポート別通信数. . . . . . . . . . . .17 CCC DATASet 2008 の 2008 年 4 月 28 日のデータにおける UDP で送信元 IP が x.x.21.x か x.x.22.x のパケットのポート別通信数. . . . . . . . . . . . . .19 CCC DATASet 2008 の 2008 年 4 月 29 日のデータにおける UDP で送信元 IP が x.x.21.x か x.x.22.x のパケットのポート別通信数. . . . . . . . . . . . . .20 CCC DATASet 2008 の 2008 年 4 月 28 日のデータにおける TCP-syn で送信元 IP が x.x.21.x か x.x.22.x 以 外 の パ ケ ッ ト の ポ ー ト 別 通 信 数. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .22 CCC DATASet 2008 の 2008 年 4 月 29 日のデータにおける TCP-syn で送信元 IP が x.x.21.x か x.x.22.x 以 外 の パ ケ ッ ト の ポ ー ト 別 通 信 数. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .23 CCC DATASet 2008 の 2008 年 4 月 28 日のデータにおける UDP で送信元 IP が x.x.21.x か x.x.22.x 以外のパケットのポート別通信数. . . . . . . . . . .25 CCC DATASet 2008 の 2008 年 4 月 29 日のデータにおける UDP で送信元 IP が x.x.21.x か x.x.22.x 以 外 の パ ケ ッ ト の ポ ー ト 別 通 信 数. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .26.
(8) 第 1 章 序章 1.1 背景 今日ではインターネットの利用範囲は，学術だけでなく行政や商業に広 がり，社会において欠かせないインフラとなった．しかし，1998年にコン ピュータウィルスに感染した悪意を持つ攻撃者によって不正に利用される 計算機（ホスト）の集合が出現した．これは後に，ボットネットと呼ばれ， それ以降インターネット上の脅威として認識された． ボットネットは経済的利益を得る目的としても利用されており，2006年5 月には攻撃者が大量のホストからクリック課金型のWeb 広告を不正クリッ クし利益と得ている[2]と報告されている．今後のインターネットではより 様々な場面で，ボットネットによる脅威が問題になると予想される．この ため，ボットネットの対策が急務である． コンピュータシステムが社会基盤の一部として定着するにつれ, その障 害がもたらす社会的損失も大きなものになっている. しかし、近年インタ ーネットに接続した端末からのDDoS, ウィルスなどの妨害攻撃, 情報漏え いやspamなどセキュリティの問題が増加傾向にあり, 被害は拡大している. 特にセキュリティ侵害への対処方法や再発防止への要求が高まってきてい るが, これらの技術はまだ十分に確立されているとは言いがたく, 対策は 急務に迫られており, 検知・防御が求められている. 中でもマルウェアの感染やメールによるウィルス, 悪意のあるファイ ルにより, 気付かずマルウェアを実行し感染することが多い. マルウェ アによる脅威は， 高度に複雑化され，脅威となるマルウェアやその配布 元サイト， 攻撃者の存在が隠蔽されている. マルウェアの機能を特定す ることは難しい[1]. このようなマルウェアの感染は， Web アプリケーシ ョンとクライアントアプリケーションの脆弱性が合わせて悪用されてい ることが多い. マルウェアの中でも, ボットネットへの接続による被害が拡大している. ボットネットとは， ボットなどのウィルスによって外部の人間によりコン. 1.
(9) トロールされるようになった複数のコンピュータをつなぐネットワークの ことを指す. ボットは従来のワームやウィルスのように自動的に感染を拡 大せず， Harderと呼ばれる攻撃者からの指令を受けて活動するため， そ の実態の把握が難しいといわれている. ボットネットに感染した端末は C&C サーバからの命令により操作され, 情報の流出, DDoS や spam など踏み台攻撃に利用される. また, ボットネ ット経由で C&C のコントロールにより新たなマルウェアをダウンロー ド・更新し, 機能や目的を容易に変更しうる. そのため, ボットに感染 した端末は時間の経過と共に挙動を変えうる. 加えてボットは攻撃者か らの指令で行動をとるため, ユーザは感染に気がつきにくいという問題 点がある. ボットによる被害が拡大している背景には, セキュリティ対 策が不十分なコンピュータを, ネットワークに接続することなどが挙げ られる. これらボットへの感染を防ぐためにも, ボットの挙動の傾向や 特徴を知る必要がある.. 1.2 本研究の目的 本研究では, ハニーポットを利用したシステムを構築し, 得られた通信 トラフィックのキャプチャ（研究データセットCCC DATASet 2009）に対し て時系列分析を行う. 時系列に対し, 挙動を可視化することにより, ボッ トネットの実態や挙動を観測し, 時間と攻撃元・攻撃先IPアドレスの関連 性を評価する. 得られた結果を評価することで, ボットの実態, 動向の観 測を行う. また, どのIPにどのような攻撃が来やすいか考察することを目 指す.. 1.3 本研究により期待される成果 本研究により期待される成果として、ボットとマルウェアの通信トラフ ィックさえ手に入れてしまえば、警戒すべきポートを特定し、未知の攻撃 に対応できることである.. 2.
(10) 1.4 本論文の構成 本論文は全7章で構成されている． 第1 章 序論 第2 章 ボットネット 第3 章 関連研究 第4 章 提案手法 第5 章 実験 第6 章 実験結果と考察 第7 章 結論 付録 外部発表資料 以上の構成である。. 3.
(11) 第 2 章 関連研究 本章では IDS などによる検知の困難化手法を導入しているソフトウェ アに対して，ボット検知を試みている関連研究を取り上げる。侵入検知や 状況認識における可視化の研究はいくつかある. ネットワークの状況を表 示したり, 時間的属性によりデータを表示するためにアニメーションを使 用したり, 色を利用することにより, 利用者にとって状況の認識を支援し ているシステムが多い.. 2.1. 警視庁@policeにおける定点観測. 警視庁@police[2] において, 定点観測が行われている. 攻撃手法や国 別攻撃元などの統計が公開されており, それぞれの情報が可視化して表示 されている.これらの情報は毎時15分頃に更新されるのでリアルタイム性 にも優れ, 逐次情報を把握することができる.. 2.2. IronPort Systems.. IronPort Systemsは, 高精度のスパムメール検知機能を備えている. 電 子メール管理者が, 自社のネットワークに電子メールおよびWebトラフィ ックを可視化できるようにした. インターネットコミュニティの各メンバ ーが、スパムの傾向やウィルスの大規模感染、スパイウェアやその他のWeb ベー スの脅威を、従来に比べより簡単に追跡できるようにすることを可能 にした.. 2.3. NVisionIP. NVisionIP[3] はインタラクティブにネットワークフローを可視化する ためのツールである. さまざまなネットワーク機器のインターフェースを 通過するトラフィックの詳細なデータであるNetflowデータを用いること で, ネットワーク状態を示すために, 色を用いることでIPアドレスにおけ る 特定のポート活動を表示している. ただし, NVisionIP は現在の状況を 把握し, 不正侵入検知における監視を支援する目的としていると考えら れる. ゆえに現在の状況を把握するのには適しているが, 過去の挙動や 4.
(12) どのような異常により現在の異常状況になったかなどの情報を得るため には向いていない.. 2.4. Traffic Classification. Traffic Classification はプロトコル毎に異なるトラフィックの傾向を 利用してプロトコルの種類を特定する手法である．ベイズ推論を利用し， パケット長の分布などから通信をしているプロ トコルの種類を推測する． 膨大なトラフィックを扱うことを前提にしている場合が多く，精度の向 上よりは尐ない情報と尐ない処理による判定を目指している．そのため検 知対象となるソフトウェアの痕跡を発見するためには利用できるが，正確 にソフトウェアを特定するためには追加調査が必要となり，ネットワーク 管理者の負担が大きくなりやすい．. 2.5. Correlation Analysis. 従来の IDS やその他の機器から得られたセキュリティイベントを元に， 発生順序によってセキュリティイベントを関連づけし，新しいセキュリテ ィイベントを発見する手法である．関連づけする方法はルールに基づく方 法と，アルゴリズムに基づく方法がある．ルールに基づく方法としてはロ グファイルからセキュリティイベントの発生順序を抽出する “SEC - a Lightweight Event Correlation Tool”や，ネットワーク上のセキュリテ ィイベントを関連づけする “NetSTAT: A Network-based Intrusion Detection Approach” が挙げられる．アルゴリズムに基づく方法はセキュ リティイベントをクラスタリングする “Clustering intrusion detection alarms to support root cause analysis” が挙げられる．. 2.6. Network Behavior Analysis. Network Behavior Analysis (NBA)は Lancope 社が製品化しているシス テムであり，sFlowを用いてホストの振る舞いを検知する．sFlow は 2 ホ スト間の通信を 1 つのフローとしてあつかい，通信プロトコルの種類や転 送データ量，開始時間と終了時間などを記録する．NBA は複数の sFlow の 5.
(13) 情報を利用し，ホストの振る舞いに着目している．sFlow はスイッチング ハブやルータから出力されるが，サンプリングしながら利用するのが一般 的であり，sFlow データグラムに収納される情報も多くはない．そのため， 詳細に挙動を捉えて検知することはできないが，ボットの感染活動など多 数のフローを発生させる挙動からセキュリティイベントを検知できるとさ れている．. 2.7. 関連研究の課題とまとめ. 以上のような技術や研究はあるが, ボットの挙動解析の問題として, ボットプログラムの進化, 機能の更新は大変早く頻繁に行われており, そのため, 対策を立てるための傾向や特徴を捉えることが困難になって いる. このような問題点からボットの挙動や本来の目的を効率的に解析 するために, 時系列分析により網羅的に通信トラフィックのキャプチャ を解析するシステムを提案する.. 6.
(14) 第3 章. 提案手法. 3.1 時系列分析 本システムでは, ボットの挙動を解析する目的で, 攻撃通信データを 用いて時系列分析を行う. 時系列分析とは, 時間経過ごとに記録された データ列や数値列からモデルを作成することである. また, その結果か ら, 全体の傾向や特徴を導き出す分析手法のことである. 本研究では, 時間軸に IP アドレスを関連付け, ボットの時間軸における外部からの攻 撃やボット感染端末による感染活動などの挙動の傾向を導き出す.. 3.2 3.2.1. 構成システム システム概要. 研究用データセットCCC DATASet2009の攻撃通信データの中には, ボッ ト感染端末とC&Cサーバや攻撃端末などとの様々な双方向通信データが混 ざっている. そのデータの中でも, TCP-synのパケットとUDPのパケットそ れぞれに注目し、それらを攻撃関連パケットと断定して解析を行った. TCP-synとUDPのパケットに注目し, これらをそれぞれ分類した. 一つ目 はボットに感染した端末から外部への通信であり, 二つ目は外部からハニ ーポットへの通信である. この二つに分類し, ボットの挙動を解析した. ここでボットの挙動として, C&Cサーバとの通信, 感染活動, マルウェア の更新などが挙げられるが, 本研究では, 感染活動のみに着目した. 感染活動の挙動を抽出するため, 横軸に時間, 縦軸に IP アドレスを取 り, ボット感染端末からの通信とボット感染端末への通信それぞれの挙 動をプロットする. これにより, 双方向の通信におけるボットの攻撃や データのやりとりなどの挙動を網羅的に抽出することができ, 攻撃の特 徴を視覚的に把握することができる.. 3.2.2 機能の特徴 通信の多いポート別に色分けして図として表示できる.その数を表示で きる. また, 図の特定部分を拡大縮小できる. 7.
(15) 第4 章 4.1. 実験. 実験環境. 本研究で利用した実験環境の端末は, 以下の表 1 に示した通りである. 表 1: 実験環境 OS. Windows XP SP3. CPU. Intel Core (TM)2 Extreme 3GHz. メモリ. 2GB. 4.2. 解析対象. 本研究で用いた解析対象は, 研究用データセットCCC DATASet2008と 2009[4] である. このデータセットはサイバークリーンセンター[5] で収 集しているボット観測データであり，マルウェア検体、攻撃通信データ， 攻撃元データから構成されたボット観測データ群である． 本研究では, 研究データセットCCC DATASet の攻撃通信データを利用し た. CCC DATASetの攻撃通信データは， ハニーポット2台 (x.x.21.xと x.x.22.x)への通信をフルキャプチャしたデータである. 識別情報（IPアド レス）が含まれているが，検体名称が含まれていない. 本研究では, 2008 年4月28日と2008年4日28日と2009年3月13日と2009年3日14日の4日分のデ ータを対象にした. これらデータを解析し, データの時刻情報とIPアドレ ス情報を照合することで， ボットの挙動を抽出した.. 8.
(16) 4.2.1. CCC DATASet2008の内訳. 各分類におけるパケット数を表2に示す. この表より, UDPでの攻撃が TCP-synよりも多いことがわかる.. 表 2: 2 日分の攻撃通信データの内訳 パケット内容. パケット 数. ボットか TCP-syn で送信元 IP が 24453856 らの通信 x.x.21.x か x.x.22.x の パケット UDP で 送 信 元 IP が 3053390 x.x.21.x か x.x.22.x の パケット ボットへ TCP-syn で送信元 IP が 9071 の通信 x.x.21.x と x.x.22.x 以 外のパケット UDP で 送 信 元 IP が 1511800 x.x.21.x と x.x.22.x 以 外のパケット. 9.
(17) 4.2.2. CCC DATASet2009の内訳. 各分類におけるパケット数を表 3 に示す. この表より,ボットからの通 信では TCP-syn パケットの通信のほうが多く、ボットへの通信では UDP パケットの通信のほうが多いことがわかる. 表 3: 2 日分の攻撃通信データの内訳 パケット内容. パケット 数. ボットか TCP-syn で送信元 IP が 481336 らの通信 x.x.21.x か x.x.22.x の パケット UDP で 送 信 元 IP が 850046 x.x.21.x か x.x.22.x の パケット ボットへ TCP-syn で送信元 IP が 4585 の通信 x.x.21.x と x.x.22.x 以 外のパケット UDP で 送 信 元 IP が 409640 x.x.21.x と x.x.22.x 以 外のパケット. 10.
(18) 第5 章. 実験結果と考察. 本章では, 研究用データセット CCC DATASet2008 と 2009 の攻撃通信デ ータの TCP-syn のパケットと UDP のパケットを時系列分析した結果につ いて述べる.. 5.1 CCC DATASet2008の結果 5.1.1 TCP-synに注目したボットからの通信 ここでは, ハニーポットから外部への通信の中で, TCP-syn のパケット に注目した結果を述べる. 解析対象のパケットから TCP-syn で送信元 IP が x.x.21.x か x.x.22.x のパケットを対象とした. ハニーポットから外 部への通信があった特定のポート番号の上位 10 個を表に示す。また、横 軸にパケット送信時刻, 縦軸に宛先 IP アドレスをプロットしたものを図 に示す. port 番号. 通信数. 1958. 2918. 1966. 2898. 1982. 2892. 1998. 2868. 1980. 2858. 1038. 2844. 1827. 2844. 1641. 2842. 1964. 2842. 1960. 2836. 表 4: CCC DATASet 2008 の 2008 年 4 月 28 日のデータにおける TCP-syn で送信元 IP が x.x.21.x か x.x.22.x のパケットのポート別通信数. 11.
(19) port 番号. 通信数. 1297. 4076. 1295. 4074. 1293. 4070. 1451. 4050. 1305. 4038. 1327. 4036. 2354. 4036. 1291. 4034. 2366. 4034. 1974. 4029. 表5: CCC DATASet 2008の2008年4月29日のデータにおけるTCP-synで 送信元IPがx.x.21.xかx.x.22.xのパケットのポート別通信数. 図1：TCP-synに注目したボットからの通信(2008年4月28日). 12.
(20) 図2：TCP-synに注目したボットからの通信(2008年4月29日) 横方向の筋を観測することができる. さまざまな port からの通信ある ことがわかる.. 13.
(21) 5.1.2 UDPのパケットに注目したボットからの通信 ここでは, ハニーポットから外部への通信の中で, UDP のパケットに注 目した結果を述べる. 解析対象のパケットから UDP で送信元 IP が x.x.21.x か x.x.22.x のパケットを対象とした. ハニーポットから外部へ の通信があった特定のポート番号の上位 10 個を表に示す。また、横軸に パケット送信時刻, 縦軸に宛先 IP アドレスをプロットしたものを図に示 す. port 番号. 通信数. 137. 10786. 138. 5974. 1026. 1700. 4223. 1350. 1061. 998. 1030. 992. 1027. 798. 1661. 692. 1038. 590. 1029. 518. 表6: CCC DATASet 2008の2008年4月28日のデータにおけるTCP-synで送信 元IPがx.x.21.xかx.x.22.x以外のパケットのポート別通信数. 14.
(22) port 番号. 通信数. 137. 11224. 138. 6056. 1026. 2612. 1031. 1312. 1049. 1052. 1043. 1038. 3456. 1024. 1150. 1022. 2551. 1018. 3711. 796. 表7: CCC DATASet 2008の2008年4月29日のデータにおけるTCP-synで送信 元IPがx.x.21.xかx.x.22.x以外のパケットのポート別通信数. 図3: UDPパケットに注目したボットへの通信(2008年4月28日). 15.
(23) 図6: UDPパケットに注目したボットへの通信. 圧倒的に port137、138 への攻撃が多い（周囲の IP アドレスの NetBIOS に対して継続的に通信している）. 16.
(24) 5.1.3 TCP-synに注目したボットへの通信 ここでは, 外部からハニーポットへの通信の中で, TCP-syn のパケット に注目した結果を述べる. 解析対象のパケットから TCP-syn で送信元 IP が x.x.21.x か x.x.22.x のパケットを対象とした. 外部からハニーポッ トへの通信があった特定のポート番号の上位 10 個を表に示す。また、横 軸にパケット送信時刻, 縦軸に宛先 IP アドレスをプロットしたものを図 に示す.(ここで図は 2008 年 4 月 28 日, 図は 2008 年 4 月 29 日のもので ある) port 番号. 通信数. 6000. 67. 1691. 7. 1069. 6. 1232. 6. 2922. 6. 3271. 6. 4361. 5. 4245. 5. 1322. 5. 1522. 5. 表8: CCC DATASet 2008の2008年4月28日のデータにおけるUDPで送信元 IPがx.x.21.xかx.x.22.xのパケットのポート別通信数. 17.
(25) port 番号. 通信数. 6000. 65. 1464. 7. 2588. 7. 3557. 7. 4306. 7. 1059. 6. 2198. 6. 2214. 6. 2593. 6. 2669. 6. 表 9: CCC DATASet 2008 の 2008 年 4 月 29 日のデータにおける UDP で送 信元 IP が x.x.21.x か x.x.22.x のパケットのポート別通信数. 図5: TCP-synのパケットに注目したボットからの通信(2008年4月28日). 18.
(26) 図5：TCP-synのパケットに注目したボットからの通信(2008年4月29日) 図からも分かるように、マルウェアに感染したハニーポットは全体にく まなく通信している様子がわかる.port6000の通信が圧倒的に多い。他には port1691、port1061などがある.. 19.
(27) 5.1.4 UDP のパケットに注目したボットへの通信 ここでは, 外部からハニーポットへの通信の中で, UDP のパケットに注 目した結果を述べる. 解析対象のパケットから UDP で送信元 IP が x.x.21.x か x.x.22.x のパケットを対象とした. 外部からハニーポットへ の通信があった特定のポート番号の上位 10 個を表に示す。また、横軸に パケット送信時刻, 縦軸に宛先 IP アドレスをプロットしたものを図に示 す.(ここで図は 2008 年 4 月 28 日, 図は 2008 年 4 月 29 日のものである) port 番号. 通信数. 53. 706711. 69. 1587. 19283. 462. 6346. 188. 4919. 172. 60960. 144. 45814. 97. 123. 81. 12805. 60. 28775. 50. 表10: CCC DATASet 2008の2008年4月28日のデータにおけるUDPで送信 元IPがx.x.21.xかx.x.22.x以外のパケットのポート別通信数. 20.
(28) port 番号. 通信数. 53. 796787. 69. 2129. 123. 87. 41698. 78. 19312. 48. 55627. 43. 7457. 42. 55660. 39. 57175. 36. 47335. 27. 表11: CCC DATASet 2008の2008年4月29日のデータにおけるUDPで送信元 IPがx.x.21.xかx.x.22.x以外のパケットのポート別通信数. 図7: UDPのパケットに注目したボットへの通信(2008年4月28日). 21.
(29) 図8: UDPのパケットに注目したボットへの通信(2008年4月29日). 88.0.0.0付近へ継続的に通信していることがわかる. 28日3:00時、28 日21:00時、29日11:00付近に大量の通信を観測することができる. port53、port69への攻撃が圧倒的に多い.. 22.
(30) 5.2 CCC DATASet2009の結果 5.2.1 TCP-synに注目したボットからの通信 ここでは, ハニーポットから外部への通信の中で, TCP-synのパケット に注目した結果を述べる. 解析対象のパケットからTCP-synで送信元IPが x.x.21.xかx.x.22.xのパケットを対象とした. 横軸にパケット送信時刻, 縦軸に宛先IPアドレスをプロットしたものを図9,10 に示す.(ここで図1は 2009年3月13日, 図2は2009年3月14日のものである) ここで図 9, 図 10 では宛先アドレスの範囲が広すぎるため, 詳細な分 析 を す る こ と が で き な い . そ こ で , 図 9 の 宛 先 IP ア ド レ ス 118.8.200.0/22 部分を拡大したものを図 11 に示す.. 図9: TCP-synに注目したボットからの通信(2009年3月13日). 23.
(31) 図10: TCP-synに注目したボットからの通信(2009年3月14日). 図 11: 118.8.200.0/22 付近の拡大図 (2009 年 3 月 13 日). 24.
(32) 図 11 より, 縦方向の筋を確認することができる. これは特定のアドレ スに対して網羅的にアクセスしている攻撃であり, アクセススキャン型 と呼ぶ. このようなアドレススキャン型の攻撃がいたるところで確認で きた.. 5.2.2 TCP-synに注目したボットへの通信 ここでは, 外部からハニーポットへの通信の中で, TCP-syn のパケット に注目した結果を述べる. 解析対象のパケットから TCP-syn で送信元 IP が x.x.21.x と x.x.22.x 以外のパケットを対象とした. 横軸にパケット 送信時刻, 縦軸に送信元 IP アドレスをプロットしたものを図 12, 13 に 示す.. 図12: TCP-synに注目したボットへの通信 (2009年3月13日). 25.
(33) 図13: TCP-synに注目したボットへの通信 (2009年3月14日) 図 12, 13 の中央に見られる帯は, 特定のアドレス付近から継続的なア クセスが行われた様子である. その中でも port135, 139, 445 への攻撃 が多く見られた. port135 のペイロードを観察したところ, REMACT とい ったリモートアクセスを仕掛けるパケットを確認し, Blaster であると推 察できた. Port445 への攻撃は SMB であった. また, 13 日 14:00 あたり に port33887 へ集中的に攻撃があった.. 26.
(34) 5.2.3 UDPのパケットに注目したボットからの通信 ここでは, ハニーポットから外部への通信の中で, UDP のパケットに注 目した結果を述べる. 解析対象のパケットから UDP で送信元 IP が x.x.21.x か x.x.22.x のパケットを対象とした. 横軸にパケット送信時刻, 縦軸に宛先 IP アドレスを宛先ポート番号ごとにプロットしたものを図 14 に示す.. 図 14: UDP のパケットに注目したボットからの通信(2 日分) 図6からわかるように横方向の筋を観測することができる. 図14での下 にある横方向の筋はport53,への通信があった. port53はDNSとの通信であ り, その詳細を分析すると, 特定のドメインを引いているものがあった. これはそのサイトにアクセスし, ファイルをダウンロードするためのアク セスであると考えられる. もう一つは, AレコードでIPアドレスを引いて いるものがあった. この意図は不明であるが, そのような特徴のある挙動 を観測することができた. port137, 138は, ボット感染端末の周囲のIPア ドレスのNetBIOSに対して継続的に通信している. この結果から, ボット は周囲の端末に対して通信する傾向があることがわかる. また, 図 14 での上にある横方向の筋は, port123 への通信が確認でき た. port123 は NTP であり, 自分自身がインターネットに繋がっているか 27.
(35) を確認するための通信であると考えられる.. 5.2.4 UDPのパケットに注目したボットへの通信 ここでは, 外部からハニーポットへの通信の中で, UDP のパケットに注 目した結果を述べる. 解析対象のパケットから UDP で送信元 IP が x.x.21.x と x.x.22.x 以外のパケットを対象とした. 横軸にパケット送信 時刻, 縦軸に宛先 IP アドレスを宛先ポート番号ごとにプロットしたもの を図 15 に示す.. 図 15: UDP のパケットに注目したボットへの通信(2 日分) 図 15 より, 13 日 14:00 や 14 日 4:00 あたりの時間帯に大量のプロット が見られる. これより, port4838 や port54283 への局所的な時間で広域 な IP アドレスから攻撃を観測できた. 特に, 14 日 4:00 あたりに受けて いる攻撃は Port54283 への SubSeven という攻撃ツールからの攻撃である と考察できる.. 28.
(36) 5.2.5 CCC DATASet2009の解析結果の考察 攻撃通信データの中でもTCP-synとUDPのパケットに注目した. TCP-syn のパケットを攻撃パケットと見なすことで, さまざまなパターンに分けて 挙動を抽出することができた. ボットからの通信のプロット図では, 縦方 向の筋を観測することができた. これはボットから外部端末への継続的な 感染活動であると断定できる. ボット感染端末への通信のプロット図では 様々な国からアクセスが網羅的にきていることを見ることができた.また, UDPのパケットに注目し, 解析した結果, 横方向の筋を確認できた. これ はボット端末の周りに攻撃したり, 特定のIPを継続的に攻撃していること がわかる. 以上より, TCP-synとUDPのパケットによる解析結果を比較すると, TCP-synパケットはアドレススキャン型の攻撃を観測し, UDPパケットは特 定のアドレスに対する攻撃の傾向が多く観測することができた.. 5.3 考察 CCC DATASet2008 と 2009 のデータより、年度により狙われている port に関しては, UDP に注目したボットからの通信では両年とも port137,138 への通信が圧倒的に多い また, 攻撃の傾向としては, TCP-syn に注目したボットへの通信の結果 からわかるように, 2008 年はランダムに通信していたのに対し, 2009 年 は比較的特定の IP に通信していることがわかる. ボットからの通信は 2008 年のほうが特定の IP を狙う傾向がある.. 29.
(37) 第6 章. 結論. 本章では本研究のまとめと今後の課題について述べる. 6.1 まとめ 本研究では, 研究データセットCCC DATASet2009の攻撃通信データを時 系列分析によって解析した. 攻撃通信データの中でも, TCP-synのパケッ トとUDPのパケットに注目し, 時間軸とIP軸に対し, 通信挙動をプロット し可視化することで, IPアドレスを網羅的に通信するものや, 特定のIPア ドレスに通信し続けるものなど, ボットに感染した端末の全体の挙動を検 出した. これは, ボットの挙動を網羅的に検出するという点で有効なシス テムであると考える. 今後の課題としては, このようなボットの特徴的な挙動を検知し, 挙 動解析を自動化できるようなシステムの構築が考えられる.. 6.2 今後の課題 今回の実験では計 4 日間分のデータしか解析することができなかった. 今回の結果より汎用性のある結果に導くためには, さらに多くの解析対 象が必要であると言える. 今回はルータレベルで port を閉じ、攻撃に対応する可能性を見いだせ た. しかし、本システムでは、port80 のような閉じることのできない port には対応できない そこで, ルータフィルタリングシステムと既存のア プリケーションレイヤのパターンマッチシステムを組み合わせたシステ ムを構築したい.. 30.
(38) 謝辞 本論文の執筆にあたり，本当に多くの方々にお世話になりました．この 場をお借りして，お礼を述べさせていただきたいと思います． まず，本論文の作成にあたり御指導いただきました早稲田大学基幹理工 学部教授村岡洋一教授に感謝します．直接お時間を頂ける機会は尐なかっ たものの，修論や今後の研究の進め方についても貴重な意見を頂きました． ありがとうございました． 電気通信大学の秋岡明香先生に感謝します．研究について多くのご意見 を頂き，研究の戦略的な進め方などについてご指導いただきました．一方 で，研究について助言を頂いただけでなく，本論文の評価に必要となる実 験環境の提供をしていただけるなど，研究の後押しをしていただきました． ありがとうございました． 岩村誠さんに感謝します．研究や実装の本質を捉えた非常に鋭い意見を たくさん頂きました．そのおかげで，自分の研究について大きい局面から 細部までの様々な視点から客観的に見て研究を改善して行けたと思ってい ます．また，大変お忙しい中にも関わらず指導していただきありがとうご ざいました． 最後に，大学入学から 6 年間に渡る研究生活で，私を支え続けてくれ た父と母に感謝します．. 31.
(39) 参考文献 [1] 高橋正和，村上純一，須藤年章，平原伸昭，佐々木 良一，”フィール ド調査によるボットネットの挙動解析”, 情報処理学会論文誌，vol.47 No.8 p2512-p2523 Aug. 2006. [2] 警察庁セキュリティポータルサイト@police, http://www.cyberpolice.go.jp/detect/observation.html [3] Kiran Lakkaraju, William Yurcik, and Adam J Lee, NVisionIP: Netflow Visualizations of System State for Security Situational Awareness, ACM SIGSAC, pp65-72, 2004 [4] 畑田充弘，他：マルウェア対策のための研究用データセットとワーク ショップを通じた研究成果の共有，MWS2009（2009年10月） [5] サイバークリーンセンター（CCC), 2009年04月度, サイバークリーン センター活動実績 https://www.ccc.go.jp/report/200904/0904monthly.html. 32.
(40) 学会発表、論文掲載 Junichi Ikeda, Kazuki Ohno, Sayaka Akioka, Masaya Orita, Yoichi Muraoka, Tamotsu Noguchi, Masakazu Sekijima: Large-Scale Computing for Protein-Protein Binding Free Energy Calculation. PDPTA 2008: 771-775, 池田潤一、大野一樹、秋岡明香、折田正弥、村岡洋一、野口保、関嶋政 和,” 大規模計算機によるタンパク質間の結合自由エネルギー計算”, 2008-MPS-070, 21-25、査読無 Junichi Ikeda, Sayaka Akioka, and Yoichi Muraoka :" An Alarm Annunciator for Domain Administrators" Proc. of the 2009 Software Technologies for Future Dependable Distributed Systems, STFSSD2009 Sayaka Akioka, Junichi Ikeda, Takanori Ueda, Yuki Ohno, Midori Sugaya, Yu Hirate, Jiro Katto, Shigeki Goto, Yoichi Muraoka, Hayato Yamana, Tatsuo Nakajima :"A Scalable Monitoring System for Distributed Environments",Proc. of the 2009 Software Technologies for Future Dependable Distributed Systems, pp.32-37(2009.3) 池田 潤一,岩村 誠, 秋岡 明香, 村岡 洋一, 通信トラフィックの時系 列分析によるボット活動の可視化と特徴検出,MWS2009. 33.
(41)
関連したドキュメント
[r]
ＣＩとＤＩは共通の指標を採用しており、採用系列数は先行指数 11、一致指数 10、遅行指数９ の 30 系列である（2017
Our goal is to define and examine the “manifold” of all solutions of the system ( ∗ ) using a generalized notion of manifold which, in effect, allows for non-standard solutions..
Keywords and phrases: super-Brownian motion, interacting branching particle system, collision local time, competing species, measure-valued diffusion.. AMS Subject
システムの許容範囲を超えた気海象 許容範囲内外の判定システム システムの不具合による自動運航の継続不可 システムの予備の搭載 船陸間通信の信頼性低下
Amount of Remuneration, etc. The Company does not pay to Directors who concurrently serve as Executive Officer the remuneration paid to Directors. Therefore, “Number of Persons”
16 単列 ＧＩＳ配管との干渉回避 17 単列 ＤＧ連絡ダクトとの干渉回避 18～20 単列 電気・通信ケーブル，K排水路，.
EC における電気通信規制の法と政策(‑!‑...
