コネクションベース方式による踏み台攻撃検出手法の提案(ネットワークセキュリティ,<特集>シームレスコンピューティングとその応用技術)

概要

論文の詳細を見る
攻撃者が不正アクセスを行う場合,攻撃者の身元を隠すために複数の踏み台ホストを経由する踏み台攻撃を行っている場合が多い.このような攻撃を検出する方式として,これまで踏み台ホストをはさんだリモートログインストロークの時間的な相関関係を見るという方法があった.しかし,この方法では踏み台ホストへのアクセスと踏み台ホストから被害ホストへのアクセスがともにリモートログインである場合に限定されることになり,踏み台ホストから被害ホストへのアクセスがFTPのような場合は検出できない.また,検出に数十秒の時間が必要である.本論文では,このような踏み台攻撃を検出するため,踏み台ホストに対するリモートログイン操作の終了と同期して踏み台ホストから被害ホストに対してTCPコネクションの確立要求が送信されることに着目する.すなわち,踏み台ホスト宛のリモートログインパケットと,踏み台ホストから送信されるTCPのSYNパケットを監視することによって,リアルタイムに踏み台攻撃を検出するコネクションベース方式を提案する.提案方式をネットワークモニタ装置に実装して動作検証を行った結果,対象とする踏み台攻撃を確実に検出できることを確認した.
2007-02-15