フローペイロードの類似性に基づく拡散型ワーム検出に関する一検討(NW性能管理, NW品質, 一般)

概要

論文の詳細を見る
近年, 急速に拡散するワームによる被害が急増し社会問題となっている.このような拡散型ワームにおいて同種のワームのフローペイロードは類似する傾向があることが指摘されている.筆者らはこれまでに, フローペイロードを8ビットに分割したコードの出現頻度のヒストグラムを256次元のベクトルとして捉えることにより, フローの類似性が評価できることを示している.また, この評価を通じて, 同種のワームのフロー間には顕著な類似性があることを確認した.しかし, 単一のネットワークのみの観測ではメーリングリスト等による通信のフローが誤検出がされるという問題点も明らかとなった.この問題に対し、本稿では, 誤検出される通信と拡散型ワームの違いは複数のネットワークに渡ってペイロードが類似したフローが存在するか否かであることに着目する.そこで, 複数のネットワークに分散配置したIDSを用い, 複数のネットワークにおけるフローペイロードの類似性に基づいたワームの検出手法について検討する.また, 実ネットワークのトラヒックデータを用いた評価実験により提案手法の有効性を示す.
社団法人電子情報通信学会の論文
2005-11-10