- 著者
-
辻 雅史
和泉 勇治
角田 裕
根元 義章
- 出版者
- 一般社団法人電子情報通信学会
- 雑誌
- 電子情報通信学会技術研究報告. NS, ネットワークシステム (ISSN:09135685)
- 巻号頁・発行日
- vol.105, no.405, pp.9-12, 2005-11-10
- 被引用文献数
-
6
近年, 急速に拡散するワームによる被害が急増し社会問題となっている.このような拡散型ワームにおいて同種のワームのフローペイロードは類似する傾向があることが指摘されている.筆者らはこれまでに, フローペイロードを8ビットに分割したコードの出現頻度のヒストグラムを256次元のベクトルとして捉えることにより, フローの類似性が評価できることを示している.また, この評価を通じて, 同種のワームのフロー間には顕著な類似性があることを確認した.しかし, 単一のネットワークのみの観測ではメーリングリスト等による通信のフローが誤検出がされるという問題点も明らかとなった.この問題に対し、本稿では, 誤検出される通信と拡散型ワームの違いは複数のネットワークに渡ってペイロードが類似したフローが存在するか否かであることに着目する.そこで, 複数のネットワークに分散配置したIDSを用い, 複数のネットワークにおけるフローペイロードの類似性に基づいたワームの検出手法について検討する.また, 実ネットワークのトラヒックデータを用いた評価実験により提案手法の有効性を示す.