エントロピーベースのマハラノビス距離による高速な異常検知手法

概要

論文の詳細を見る
サイバー攻撃の被害を最小限に抑えるためには,できるだけ早期に,かつ多様の異常トラヒックを検知する必要がある.これまでに,送信元IPアドレスや送信先ポート番号などを確率変数とするエントロピーにより異常検知が可能であることが示されている.しかし,従来の手法は,安定したエントロピーを得るために数万個の標本パケットが必要であり,早期の異常検知は困難であった.また,多くの種類の異常を検知しようとする場合,IPアドレスやポート番号などの情報源を異常の種類に応じて個別に選択する必要があり,多様な異常を同時に検出するのは困難であった.本稿ではエントロピー手法に多次元マハラノビス距離を適用したEMMMを提案する.EMMMは,複数の確率変数から求めたエントロピーだけでなく,エントロピーの相関を同時に考慮しており,多様な異常を同時に検知できる手法となる.F尺度を用いた評価実験により,EMMMはDDoS攻撃やIPアドレススキャンを高い精度で検出できた.また,窓幅を狭めたEMMMにおいて,高い精度で異常を発見することができ,異常検知までの時間を大幅に短縮することができた.
2011-02-15