JP2010204289A

JP2010204289A - 暗号トラヒック識別装置及びそれを備える暗号トラヒック識別システム

Info

Publication number: JP2010204289A
Application number: JP2009048176A
Authority: JP
Inventors: Shingo Ata; 信吾阿多; Takeshi Hasegawa; 剛長谷川; Yoshihiro Nakahira; 佳裕中平; Nobuyuki Nakamura; 信之中村
Original assignee: Oki Electric Industry Co Ltd; Osaka University NUC; Osaka City University
Current assignee: Oki Electric Industry Co Ltd; Osaka University NUC; Osaka City University
Priority date: 2009-03-02
Filing date: 2009-03-02
Publication date: 2010-09-16
Anticipated expiration: 2029-03-02
Also published as: US20100223455A1; JP5408608B2; US9021252B2; CN101827089B; CN101827089A

Abstract

【課題】ネットワーク内の通信におけるトラヒックの特徴となるデータを取得又は算出し、そのデータに基づいてトラヒックが暗号文であるのか否かを正確に判定する暗号トラヒック識別装置及びこの識別装置を備えるシステムを得る。
【解決手段】暗号トラヒック識別装置１は、トラヒックを入力する入力インターフェース部１１と、フロー別に識別するフロー識別部１２と、特徴量データを蓄積するデータ蓄積部１３と、特徴量データに基づいて評価演算を実施する選択的データ計算部１４と、その評価演算値に基づいてトラヒックが暗号化されているか否か、又は、暗号化されている場合、その暗号形式は何であるかの閾値判定を実施する計算結果判定部１５と、上記の判定結果を外部に出力する出力インターフェース部１６を備える。
【選択図】図１

Description

本発明は、インターネット等のネットワーク上のノード又は端末において、そのネットワーク上を流れるトラヒックを監視し、そのトラヒックが暗号文であるのか、平文であるのかを容易かつ高い精度で識別する暗号トラヒック識別装置及び暗号トラヒック識別システムに関する。

従来の暗号化データの特徴を抽出する技術として以下のものがある。まず、事前に既知の暗号化方法で暗号化した暗号文を暗号化信号送出機能部より発信し、その試験通信暗号データを収集してその特徴を求める。次に、トラヒックの種別が不明な通信情報に対して、暗号判定機能部において、特徴情報を集め、先に求めた既知の暗号文の特徴情報と比較し、一致した場合、そのトラヒックが既知の暗号化方法で暗号化されたデータであると推定する。この方法によれば、暗号化通信の種別として、使用されている通信アプリケーション、暗号通信ソフト、及び、暗号化プロトコルの組み合わせを示すことができる。その暗号化プロトコルとして、ＷＥＢサービスの場合はＨＴＴＰＳ：ＨｙｐｅｒｔｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌＳｅｃｕｒｉｔｙ（ＳＳＬ：ＳｅｃｕｒｅＳｏｃｋｅｔＬａｙｅｒ）、ＶＰＮ：ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋの場合はＤＥＳ：ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ、３ＤＥＳ及びＡＥＳ：ＡｄｖａｎｃｅｄＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ等を使用可能とする。また、暗号データの特徴を抽出する手段としての情報として、
（１）通信セッションの発生間隔
（２）通信セッション中のパケット発生間隔
（３）通信セッション中のパケットサイズ
（４）通信セッション中の総パケット数
（５）通信セッション中のパケット送受信方向の関係
（６）通信セッション中のパケット送受信方向比
（７）通信セッション中のプロトコル占有率
（８）通信セッション開始時の各パケットサイズ
（９）通信セッション開始時の総パケット数
（１０）通信セッション開始時の総データサイズ
（１１）長期間のＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰ分布
（１２）長期間のＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ分布
（１３）長期間のＤＮＳサーバーへの問合せの有無
（１４）通信アプリケーション側から何も通信していない時に送信されるデータの有無
を挙げている（例えば、特許文献１参照）。

特開２００６−１４６０３９号公報

しかしながら、特許文献１に係る発明においては、上記の（１）〜（１４）に係る情報を用いれば、どのような通信が行われているか、具体的には、その通信に係るトラヒックが暗号文であるのか否かを容易に判定できるとは限らないという問題点がある。

そのため、ネットワーク内の通信におけるトラヒックの特徴となるデータを取得又は算出し、そのデータに基づいてトラヒックが暗号文であるのか否かを容易かつ正確に判定する暗号トラヒック識別装置が望まれていた。

本発明に係る暗号トラヒック識別装置は、トラヒックが入力される入力インターフェース部と、前記入力されたトラヒックを少なくとも送信元アドレス及び送信先アドレスに基づいてフロー別に識別するフロー識別部と、前記フロー別に前記トラヒックの特徴量データを蓄積するデータ蓄積部と、前記特徴量データに基づいて評価演算を実施する選択的データ計算部と、その評価演算値に基づいて前記トラヒックが暗号化されているか否か、又は、暗号化されている場合その暗号形式は何であるかの閾値判定を実施する計算結果判定部と、その判定結果を出力する出力インターフェース部とを備え、前記選択的データ計算部は、前記特徴量データのうち特定のデータのみを使用して評価演算を実施するものである。

本発明に係る暗号トラヒック識別装置では、従来技術と比較して容易に精度の高い暗号文と平文の暗号識別の判定が可能となり、さらに暗号文である場合、その暗号形式の識別も可能となる。
また、本発明に係るシステムは上記暗号トラヒック識別装置を備えるので、従来技術と比較して容易かつ高い精度で暗号識別の判定、暗号形式の識別が可能になり、これら暗号識別に用いるデータ量の削減を図ることができる。

本発明の実施の形態１に係る暗号トラヒック識別装置の全体構成図である。同暗号トラヒック識別装置の暗号識別動作を示すフローチャートである。本発明の実施の形態２に係る暗号トラヒック識別装置の全体構成図である。本発明の実施の形態３に係る暗号トラヒック識別装置の全体構成図である。本発明の実施の形態４に係る暗号トラヒック識別システムの全体構成図である。実施の形態１に係る暗号トラヒック識別装置において実施された平文及び暗号文２種類のパケットの到着間隔時間に基づく評価演算値の分布グラフである。実施の形態１に係る暗号トラヒック識別装置において実施された平文及び暗号文２種類のパケット長に基づく評価演算値の分布グラフである。

実施の形態１．
（暗号トラヒック識別装置の全体構成）
図１は、本発明の実施の形態１に係る暗号トラヒック識別装置の全体構成図である。
図１において、入力インターフェース部１１は、観測対象とするトラヒックを入力する。その入力インターフェース部１１は、入力されたトラヒックをこのトラヒックが有する送信元ＩＰアドレス及び送信先ＩＰアドレス等に基づいてフロー別に識別するフロー識別部１２に接続されている。ここで、フローとは、送信元アドレス及び送信先アドレスが同じであるパケットをひとまとめにしたデータを表す。また、パケットとは、トラヒック又はフローを構成する送受信データの構成単位である。フロー識別部１２は、フロー識別部１２で識別されたフローにおける特徴量データをそのフロー別に蓄積するデータ蓄積部１３に接続されている。このデータ蓄積部１３は、上記の特徴量データに基づいて評価演算を実施する選択的データ計算部１４に接続されている。この選択的データ計算部１４は、上記の評価演算値に基づいてトラヒックが暗号化されているか否か、又は、暗号化されている場合、その暗号形式は何であるかの閾値判定を実施する計算結果判定部１５に接続されている。そして、この計算結果判定部１５は、上記の判定結果を外部に出力する出力インターフェース部１６に接続されている。暗号トラヒック識別装置１は、以上のような、入力インターフェース部１１、フロー識別部１２、データ蓄積部１３、選択的データ計算部１４、計算結果判定部１５及び出力インターフェース部１６を含む構成となっている。なお、暗号トラヒック識別装置１を構成する上記の構成要素は、物理的に独立したユニットであってもよいし、暗号トラヒック識別装置１の制御装置（図示せず）が備える概念的な機能を表すものとしてもよいし、上記各構成要件１１〜１６が異なる装置としてそれぞれ接続されていてもよい。

（暗号トラヒック識別装置の暗号識別動作）
図２は、本発明の実施の形態１に係る暗号トラヒック識別装置の暗号識別動作を示すフローチャートである。
（Ｓ１１）
入力インターフェース部１１は、外部のＬＡＮ又はインターネット等のネットワークにおいて暗号識別の観測対象となる場所から、そのネットワーク上を通信しているトラヒックを取り出し入力する。例えば、入力インターフェース部１１は、タップ装置又はルーター若しくはスイッチングハブ等に設置されているミラーポートからネットワーク上を通信しているトラヒックを取り出し入力する。
（Ｓ１２）
入力インターフェース部１１は、入力したトラヒックをフロー識別部１２に送信する。
（Ｓ１３）
フロー識別部１２は、受信したトラヒックが内包する送信元ＩＰアドレス及び送信先ＩＰアドレス、並びに、送信元ポート番号及び送信先ポート番号に基づいてトラヒックをフロー別に識別する。
（Ｓ１４）
フロー識別部１２は、識別したフローをデータ蓄積部１３に送信する。
（Ｓ１５）
データ蓄積部１３は、受信したフローに基づいてそのトラヒックに係る特徴量データを取得しフロー別に蓄積する。このフロー別に特徴量データを蓄積する方法としては、物理的に分離した記憶媒体にそれぞれ格納する構成としてもよく、同一の記憶媒体に時系列に蓄積し、どのデータがどのフローに属するものか識別可能なように、識別情報を付加する構成としてもよく、その他、公知の手段によってフロー別にトラヒックに係る特徴量データを取得することができる構成とすればよい。本実施の形態においては、トラヒックに係る特徴量データは、そのトラヒックを構成するパケットの到着間隔時間であるものとする。
（Ｓ１６）
選択的データ計算部１４は、データ蓄積部１３において全てのフロー毎に蓄積された特徴量データの中から、暗号識別の観測対象となる特定のフローにアクセスし、そのフローにおける特徴量データのデータ列の中から、特定の特徴量データのデータ列を選択して評価演算を実施する。本実施の形態では、以下の方法で評価演算値を求める。即ち、選択的データ計算部１４は、上記のようにアクセスした特定の特徴量データであるパケットの到着間隔時間のデータ列を、その到着間隔時間が短い順に整列し、所定の部分（例えば、短い方からデータ列総数の７５％番目）に該当する到着間隔時間のデータを取得して評価演算値とする。
（Ｓ１７）
選択的データ計算部１４は、上記の方法によって求めた評価演算値を、計算結果判定部１５に送信する。
（Ｓ１８）
計算結果判定部１５は、受信した評価演算値に対して、所定の閾値に基づいて閾値判定を実施し、暗号識別の観測対象であるトラヒックが、暗号化された暗号文であるのか、暗号化されていない平文であるのかを判定し、さらに、暗号文である場合、その暗号形式は何であるのかを判定する。
（Ｓ１９）
計算結果判定部１５は、ステップＳ１８における暗号識別の判定結果を出力インターフェース部１６に送信する。
（Ｓ２０）
出力インターフェース部１６は、受信した暗号識別の判定結果を外部に出力する。

上記の動作は、常時繰り返し実施される構成としてもよく、ネットワークの管理者等が必要な時刻に必要な時間だけ実施する構成としてもよい。

（実施の形態１の効果）
以上のような構成及び動作によって、従来技術と比較して精度の高い暗号文と平文の暗号識別の判定が可能となる。さらに、暗号文である場合、その暗号形式の識別も可能となる。

なお、上記のステップＳ１５において、受信したフローにおいてトラヒックに係る特徴量データを取得しフロー別に蓄積する構成としたが、常にその特徴量データの全てを蓄積するのではなく、最初に、又は、一定時間間隔で平均値を計算して除外すべき特徴量データを求め、明らかに評価演算値とする所定の部分のデータから外れるデータについては、蓄積せずに除外し、最小値近傍と考えられるデータ及び最大値近傍と考えられるデータのみを記憶する構成としてもよい。この場合、処理の負荷を軽減することが可能となる。
また、本実施の形態においては、暗号トラヒック識別装置１は単数である構成としているが、暗号トラヒック識別装置１を複数設置し入力されるトラヒックを分散させる構成としてもよく、又は、トラヒックのすべてを入力するのではなく、トラヒックを所定周期でサンプリングする構成としてよい。この場合、暗号トラヒック識別装置１が、超高速回線で構成されるネットワークに接続され、そのネットワークから入力インターフェース部１１にトラヒックが入力されるようなネットワーク環境である場合等に、暗号トラヒック識別装置１の処理負荷を軽減することができる。
また、選択的データ計算部１４による評価演算としては、上記で示したものに限られるものではなく、例えば、上記のように到着間隔時間の短い順に整列したデータ列のうち、所定の範囲のデータ（例えば、短い方からデータ列総数の０％番目〜７５％番目のデータ）の平均値を演算し、その平均値を評価演算値とするものとしてもよい。この方法のようにデータの平均値をとることによって、上記のステップＳ１６で示した７５％番目に該当する到着間隔時間のデータが異常なデータ等となった場合に暗号識別の判定不良が発生することを回避することができる。
あるいは、選択的データ計算部１４は、下記の式（１）によって到着間隔時間指標値を算出し、この到着間隔時間指標値を評価演算値とすることもできる。

到着間隔時間指標値＝Σ｛（ｘ番目の到着間隔時間）²／（ａ＋（ｘ／Ｎ−０．７５）²）｝
・・・（１）
Ｎ：データ列の総数
ｘ：整列されたデータ列の先頭データからの順番数
ａ：所定の定数（正の定数。７５％番目の影響の強さを規定する。）

本発明者の知見によれば、上記の式（１）で算出される到着間隔時間指標値は、７５％番目に近いデータ程この到着間隔時間指標値の値を決定する際の影響度が大きくなるものとなり、上記と同様にステップＳ１６で示した７５％番目に該当する到着間隔時間のデータが異常なデータ等となった場合に暗号識別の判定不良が発生することを回避することができる共に、７５％番目のデータを用いる場合のような高い暗号識別の精度に近づけることができる。なお、上記の式（１）は７５％番目の値を基準にして演算したものであるが、本実施の形態で７５％近傍という場合には、同様の結果を示す前後１％程度の領域を含む。７５％番目が良好な値を示す結果を得たが、本実施の形態においては、７５％番目のデータに限られるものではなく、その他の順番数を基準としてもよい。全く別の値、例えば５０％プラスマイナス５％でも、同様に良い結果を得られる可能性もある。
また、データ蓄積部１３は、上記の説明においては、トラヒックに係る特徴量データとして、そのトラヒックを構成するパケットの到着間隔時間を取得するものとしたが、これに限られるものではなく、例えば、フローを構成するパケットのパケット長を特徴量データとして蓄積するものとしてもよい。この場合、選択的データ計算部１４は、データ蓄積部１３に蓄積されている特徴量データであるパケット長のデータ列にアクセスし、そのパケット長のデータ列の分散値を算出して、その分散値を評価演算値としてもよい。
そして、データ蓄積部１３は、例えば、受信したフローを構成するパケットにおいてＡＣＫパケットを除いたパケットのパケット長を特徴量データとして蓄積するものとしてもよい。この場合、選択的データ計算部１４は、データ蓄積部１３に蓄積されている特徴量データであるＡＣＫパケットを除いたパケットのパケット長のデータ列にアクセスし、そのパケット長のデータ列の平均値を算出して、その平均値を評価演算値としてもよい。

実施の形態２．
（暗号トラヒック識別装置の全体構成）
図３は、本発明の実施の形態２に係る暗号トラヒック識別装置の全体構成図である。前述の実施の形態１と相違する構成及び動作を中心に説明する。
図３で示されるように、本実施の形態に係る暗号トラヒック識別装置１は、実施の形態１に係る暗号トラヒック識別装置１に、最適化実行部１７が追加されて構成されている。この最適化実行部１７は、フロー識別部１２、データ蓄積部１３、選択的データ計算部１４及び計算結果判定部１５に接続されている。なお、この最適化実行部１７は、物理的に独立したユニットであってもよいし、暗号トラヒック識別装置１の制御装置（図示せず）が備える概念的な機能を表すものとしてもよい。

（最適化実行部１７の最適化動作）
最適化実行部１７は、データ蓄積部１３に蓄積されているフロー別の特徴量データにアクセスし、その特徴量データに基づいて、以下で説明するように、暗号トラヒック識別装置１を構成する各構成要素に対し動的にその動作を変動させる。

最適化実行部１７は、フロー識別部１２に対して、実施の形態１における図２で示されるステップＳ１３で示されるトラヒックのフロー識別方法の他、異なる方法によるフローの識別動作に切り替えさせ、暗号識別の判定に最適なフローの識別方法によって識別させる。

また、最適化実行部１７は、データ蓄積部１３に対して、フロー識別部１２から送信される識別されたフローから、記憶媒体に蓄積する暗号識別の判定に最適な特徴量データとしてパケットの到着間隔時間、又は、パケットのパケット長等を適宜選択させる。このとき、データ蓄積部１３は、フロー識別部１２によって実施の形態１に係る方法とは異なる方法でフローが識別された場合、そのフローに係る特徴量データを実施の形態１に係る方法で識別したフローに係る特徴量データを蓄積した記憶媒体上の領域とは異なる領域に蓄積する。なお、上記のように、記憶媒体上の異なる領域に蓄積する代わりに、蓄積する特徴量データに新たなフロー分類用の識別情報を付加して蓄積するものとしてもよい。

また、最適化実行部１７は、選択的データ計算部１４に対して、データ蓄積部１３にアクセスした特徴量データに基づいて評価演算する際に、使用する特徴量データ、又は、使用する特徴量データのデータ列の範囲を適宜切り替えさせ、暗号識別の判定に最適な演算方法によって評価演算値を演算させる。

そして、最適化実行部１７は、計算結果判定部１５に対して、選択的データ計算部１４によって演算された評価演算値に対して閾値判定を実施する際、その判定の閾値を適宜切り替えさせ、暗号識別の判定に最適な閾値によって判定をさせる。評価演算値は後述する実施例１の方法等によって算出することができ、最適化は実施例１では７５％番目としていたのを、より暗号化識別に適している値を用いる事を言う。「最適」とは、具体的には例えば、図６（Ｂ）において、グラフの各線（平文、ＨＴＴＰＳ、ＰＰＴＰ：Ｐｏｉｎｔ−ｔｏ−ＰｏｉｎｔＴｕｎｎｅｌｉｎｇＰｒｏｔｏｃｏｌ）の横軸上での最接近距離が最大となる値を用いる事で、誤判定率を低下させる事ができる。あるいは、最接近距離が一部の領域で多少下がっても、他の多くの場合に距離が広がり、全体として誤判定率が最小化するような値を言う。なお「最適」とは、暗号の識別力についての最高レベルを必ずしも指し示すものではなく、最適化実行部１７を用いた場合に、最適化実行部を用いない場合（本実施の形態においては実施の形態１）と比較して、より暗号の識別力が向上できるレベルのものを包含するものとする。

（実施の形態２の効果）
以上の構成及び動作のように、最適化実行部１７によって、暗号トラヒック識別装置１を構成する各構成要素に対し動的にその動作の変動を実施させることによって、ネットワーク環境等に依存せず、フロー識別、特徴量データ、その評価演算値、及び、その判定閾値について暗号識別の判定に最適なものを動的に選択し決定することができる。

実施の形態３．
（暗号トラヒック識別装置の全体構成）
図４は、本発明の実施の形態３に係る暗号トラヒック識別装置の全体構成図である。前述の実施の形態２と相違する構成及び動作を中心に説明する。
図４で示されるように、本実施の形態に係る暗号トラヒック識別装置１は、実施の形態２に係る暗号トラヒック識別装置１のフロー識別部１２の代わりに、フロー識別異常判定部１８が設置されている。なお、実施の形態３においては、フロー識別異常判定部１８は前述のフロー識別部１２の機能をも担うものである。

（フロー識別異常判定部１８の動作）
外部のＬＡＮ及びインターネット等のネットワークにおいて暗号識別の観測対象となる場所から、トラヒックを入力した入力インターフェース部１１は、フロー識別異常判定部１８にそのトラヒックを送信する。そのトラヒックを受信したフロー識別異常判定部１８は、実施の形態２におけるフロー識別部１２と同様にフロー別に識別するのと同時に、そのフローの異常判定を実施する。そして、フロー識別異常判定部１８は、そのフローが異常であると判定した場合、その異常原因に関する情報、例えば、その異常フローがどのネットワークから送出されたものであるのか、又は、そのネットワーク上のどのノードから送信されたものであるのか等の情報を出力インターフェース部１６に送信する。また、フロー識別異常判定部１８は、その異常フローをデータ蓄積部１３に送信する。その後、異常フローについては、実施の形態２と同様に暗号識別の判定が実施される。そして、出力インターフェース部１６は、受信した異常原因に関する情報を外部に出力する。

（実施の形態３の効果）
以上のような構成及び動作によって、異常なフローを出力しているネットワーク又はノードについての情報を警告として外部に出力することが可能となり、その警告を確認したネットワークの管理者等は、出力された異常原因に関する情報を、異常を解消するために利用することが可能となる。

なお、本実施の形態において、フロー識別異常判定部１８によって異常と判定されたフローは、その後段の選択的データ計算部１４及び計算結果判定部１５によって暗号識別の判定が実施される構成となっているが、これに限られるものではなく、フロー識別異常判定部１８は、異常フローに関しては暗号識別の判定が必要がない場合、その異常原因に関する情報を出力するのみとし、その後段における暗号識別の判定は実施しない動作としてもよい。
また、本実施の形態において、フロー識別異常判定部１８においては、正常なフロー及び異常なフロー双方について、暗号識別する構成としているが、これに限られるものではなく、異常なフローが識別された場合のみ、暗号識別の判定を実施する構成としてもよい。この場合、ネットワークの管理者等が常時監視していなくても、異常なフローが識別された段階で、自動的に暗号識別の判定が実施され、その結果を管理者等に連絡し対応することができ、暗号トラヒック識別装置１の省力化にも寄与する。
なお、上記のフロー識別異常判定部１８は、実施の形態２におけるフロー識別部１２の機能を担って設置されると説明したが、フロー識別部１２の機能を担うものではなく、別途、暗号トラヒック識別装置１の内部又は外部、かつ、入力インターフェース部１１の前段にフローの異常判定機能を備える構成として、フロー識別部１２と別にして設けてもよい。
また、本実施の形態においては、フロー識別異常判定部１８は、フローに異常があると判定した場合、その異常原因に関する情報を直接、出力インターフェース部１６に送信する構成となっているが、これに限られるものではなく、例えば、その異常原因に関する情報が、データ蓄積部１３、選択的データ計算部１４及び計算結果判定部１５を介して出力インターフェース部１６に送信される構成としてもよい。いずれにしても、フロー識別異常判定部１８が出力した異常原因に関する情報が、出力インターフェース部１６に送信される構成であればよい。

実施の形態４．
（暗号トラヒック識別システムの全体構成）
図５は、本発明の実施の形態４に係る暗号トラヒック識別システムの全体構成図である。実施の形態４は、前述の実施の形態２の暗号トラヒック装置を用いたシステムであり、実施の形態２の暗号トラヒック装置以外の構成及び動作を中心に説明する。
図５で示されるように、本実施の形態に係る暗号トラヒック識別システム２１は、実施の形態２に係る暗号トラヒック識別装置１及び外部に試験用のトラヒックを送出する試験信号送出装置２を含む構成となっている。なお、この試験信号送出装置２は、暗号トラヒック識別装置１の内部に組み込まれる構成としてもよい。ただし、この場合でも、暗号トラヒック識別装置１及び試験信号送出装置２を含むシステムとして、暗号トラヒック識別システム２１と呼ぶものとする。試験信号送出装置と暗号トラヒック識別装置は、ネットワーク的にある程度離れた距離にあることが望ましい。これにより、評価するトラヒックは、自分以外のネットワークから来るので、通過する途中の通信回線の影響を受けるのと同様に、最適値を得る為に流す試験信号も、通信回線の影響を受けた後の状態で受信させることができる。同一筐体に組み込まれる場合は、両者の接続は異なるプロバイダにしたり、複数のネットワーク的に離れた暗号トラヒック識別システムを用意して、両者間で試験信号を送受信するのが好適である。

（暗号トラヒック識別システムの動作）
まず、試験信号送出装置２は、ネットワーク３１に対して、試験用のトラヒックを送出する。次に、暗号トラヒック識別装置１は、ネットワーク３１を介して、その試験用トラヒックを受信し、その試験用トラヒックに対して、実施の形態２において説明したように、暗号トラヒック識別装置１における最適化実行部１７によって、暗号トラヒック識別装置１を構成する各構成要素に対し動的にその動作を変動させることによって、フロー識別、特徴量データ、その評価演算値、及び、その判定閾値について暗号識別の判定に最適なものを選択される。なお、上記で示した構成に対し、外部の試験信号送出装置２と本体である暗号トラヒック識別装置１との間に制御信号が送受信できる機能を実装させることによって、試験信号送出装置２が送出する信号が何であるのかを予め決定し、その送出信号が何であるかを暗号トラヒック識別装置１に送信しておくことによって、暗号形式毎に暗号識別の判定のための最適条件を決定し記憶しておくことができ、より好適である。

（実施の形態４の効果）
以上の構成及び動作によって、ネットワーク環境等毎の暗号識別のための最適条件を正確に決定することができる。

なお、本実施の形態における暗号トラヒック識別システム２１は、実施の形態２に係る暗号トラヒック識別装置１を構成要素として備えている旨を説明したが、実施の形態１又は実施の形態３に係る暗号トラヒック識別装置１を備えるものとしてもよい。特に実施の形態１に係る暗号トラヒック識別装置１を備えた場合、外部の試験信号送出装置２が、ネットワーク３１を介して、多種の暗号形式によって暗号化された試験用トラヒックを送出することによって、その暗号トラヒック識別装置１がそれらの試験用トラヒックに対して正確な暗号識別が可能かどうかを確認することができ、最適な暗号識別条件を設定することが可能となる。

以下、本発明の暗号トラヒック識別装置及び暗号トラヒック識別システムにおいて、評価演算値を求める方法について説明するが、本発明の評価演算値を求める方法は、下記に制限されるものではない。
実施例１．
図６は、実施の形態１に係る暗号トラヒック識別装置において実施された平文及び暗号文２種類のパケットの到着間隔時間に基づく評価演算値の分布グラフである。
本実施例においては、まず４Ｍバイトのデータを、平文、ＳＳＬによって暗号化されたデータを送受信するプロトコルであるＨＴＴＰＳ、及び、ＶＰＮ上において暗号文のデータ通信をするためのプロトコルであるＰＰＴＰの３つの方法で各々１００回転送する。１００回実施される各転送セッションで用いられたパケットの長さが仮に平均１０００バイトだった場合、１回の転送セッションでは、約４０００個のパケットが転送されたことになる。ただし、暗号化や通信プロトコルのオーバヘッドがあるので、実際には４０００個ちょうどではなく、４０００個よりもやや多い。

１〜１００回の転送セッション毎に約４０００個のパケットの到着間隔時間を計測し、その平均値を評価演算値として算出し、短い順に整列させて、
（１）平文によって転送した場合のパケットの到着間隔時間（μ秒）の平均値でｋ番目に短かった値をＦｔｘｔ（ｋ）
（２）ＨＴＴＰＳによって転送した場合のパケットの到着間隔時間（μ秒）の平均値でｋ番目に短かった値をＦｓｓｌ（ｋ）
（３）ＰＰＴＰによって転送した場合のパケットの到着間隔時間（μ秒）の平均値でｋ番目に短かった値をＦｐｐｔｐ（ｋ）
とし、到着間隔時間の平均値をＸ軸（横軸）、そして、ｋをＹ軸（縦軸）で示したものが図６（Ａ）のグラフである。

この図６（Ａ）で示されるように、パケットの到着間隔時間の平均値の分布に関して、平文の通信は、ＨＴＴＰＳによる暗号文通信及びＰＰＴＰによる暗号文通信よりも短い傾向は見られるが、平均値が重なっている部分があり、到着間隔時間の平均値が、特定の値であることによって、観測対象であるトラヒックが平文又は暗号文の通信であるとの識別はつきにくいことがわかる。

これに対し、図６（Ｂ）は、パケットの到着間隔時間の平均値の分布ではなく、以下の方法によって求めた算出値の分布である。転送するデータの条件は、図６（Ａ）における場合と同様である。
まず、観測対象とするトラヒックにおいて、送受信ＩＰアドレス及び送受信ポート番号に基づいてフロー別に分離する。そして、このフローを構成するパケットの到着間隔時間について短い順に整列し、その整列した到着間隔時間のデータ列のうち短い方から７５％番目のデータを評価演算値として使用する。仮に、１回の転送セッションを４０００パケットとした場合、その７５％番目は、短い方から約３０００番目のパケットの到着間隔時間を評価演算値とすることになる。前述のように転送セッションは１〜１００回なので、１００個分の評価演算値を取得し、さらにこれを、平文、ＨＴＴＰＳ及びＰＰＴＰによる暗号文の転送について実施し、その評価演算値をＸ軸（横軸）、そして、評価演算値のデータ列（１００個分）の順番数ｋをＹ軸（縦軸）としてグラフ化する。このようにして、パケットの到着間隔時間について短い順に整列したデータ列のうち短い方から７５％番目のデータについての分布を示したものが図６（Ｂ）である。ただし、図６（Ｂ）において、グラフを見やすくするための便宜上、平文、ＨＴＴＰＳによって転送する暗号文及びＰＰＴＰによって転送する暗号文の評価演算値の各々のデータ列を、さらにその値が短い順に整列して表示してある。

以上のように、パケットの到着間隔時間の平均値ではなく、その到着間隔時間が短い順に整列されたパケットの短い方から７５％番目の値を評価演算値としてグラフにすると、観測対象とするトラヒックが平文であるのか、暗号文であるのかを正確に識別でき、さらに暗号文である場合、その暗号形式（本実施例の場合、ＨＴＴＰＳに係る暗号文と、ＰＰＴＰに係る暗号文）が何であるのかを正確に識別することが可能である。

実施例２．
図７は、実施の形態１に係る暗号トラヒック識別装置において実施された平文及び暗号文２種類のパケット長に基づく評価演算値の分布グラフである。本実施例においても、転送するデータの条件は、実施例１と同様である。

最初に、図７（Ａ）で示される評価演算値の分布について説明する。
まず、１〜１００回の転送セッション毎に、仮に全パケット数が４０００個として、４０００個のパケットのパケット長を計測する。そして、そのパケット長の平均値を評価演算値として算出する。そして、この平均値のデータ列を短い順に整列させ、この評価演算値であるパケット長の平均値をＸ軸（横軸）、そして、評価演算値のデータ列（１００個分）の順番数ｋをＹ軸（縦軸）としてグラフ化する。このようにして、パケットのパケット長の平均値について分布を示したのが図７（Ａ）である。

この図７（Ａ）で示されるように、図６（Ａ）で示される分布と同様に、観測対象であるトラヒックが必ずしも平文又は暗号文の通信であるのか、明確に識別できる結果とはならなかった。

次に、図７（Ｂ）で示される評価演算値の分布について説明する。
まず、１〜１００回の転送セッション毎に同じく仮に全パケット数が４０００個として、４０００個のパケットのパケット長を計測する。そして、そのパケット長について平均値ではなく分散値を算出し、この分散値を評価演算値とする。そして、この分散値のデータ列を短い順に整列させ、この評価演算値であるパケット長の分散値をＸ軸（横軸）、そして、評価演算値のデータ列（１００個分）の順番数ｋをＹ軸（縦軸）としてグラフ化する。このようにして、パケットのパケット長の分散値について分布を示したのが図７（Ｂ）である。

この図７（Ｂ）で示されるように、パケットのパケット長の平均値ではなく、分散値を評価演算値としてグラフにして、図７（Ａ）と比較した場合、観測対象とするトラヒックが平文であるのか、暗号文であるのかをより明確に識別することができる傾向がある。

そして、図７（Ｃ）で示される評価演算値の分布について説明する。
まず、１〜１００回の転送セッション毎に同じく仮に全パケット数が４０００個として、そのパケットのうちＡＣＫパケットを除いたパケットについてのみパケット長を計測する。そして、そのＡＣＫパケットを除外したパケットのパケット長の平均値（以下、ＡＣＫ除外平均値という）を評価演算値として算出する。そして、このＡＣＫ除外平均値のデータ列を短い順に整列させ、この評価演算値であるＡＣＫ除外平均値をＸ軸（横軸）、そして、評価演算値のデータ列（１００個分）の順番数ｋをＹ軸（縦軸）としてグラフ化する。このようにして、ＡＣＫ除外平均値について分布を示したのが図７（Ｃ）である。

この図７（Ｃ）で示されるように、パケットのパケット長の平均値ではなく、ＡＣＫ除外平均値を評価演算値としてグラフにして、図７（Ａ）と比較した場合、図７（Ｂ）と同様に、観測対象とするトラヒックが平文であるのか、暗号文であるのかをより明確に識別することができる。

以上のように、本発明の評価演算値は、上記方法を採用して求めることにより、トラヒックが暗号文であるのか、平文であるのかを容易かつ高い精度で識別するために用いることができるが、評価演算値は、システムの構成によってパケット数等のパラメータを適宜調整して求めることができる。
したがって、上記評価演算値を求めるための各パラメータの設定等はシステムの構成、条件に従って種々変更することができ、特に制限されるものではない。

１暗号トラヒック識別装置、２試験信号送出装置、１１入力インターフェース部、１２フロー識別部、１３データ蓄積部、１４選択的データ計算部、１５計算結果判定部、１６出力インターフェース部、１７最適化実行部、１８フロー識別異常判定部、２１暗号トラヒック識別システム、３１ネットワーク。

Claims

トラヒックが入力される入力インターフェース部と、
前記入力されたトラヒックを少なくとも送信元アドレス及び送信先アドレスに基づいてフロー別に識別するフロー識別部と、
前記フロー別に前記トラヒックの特徴量データを蓄積するデータ蓄積部と、
前記特徴量データに基づいて評価演算を実施する選択的データ計算部と、
その評価演算値に基づいて前記トラヒックが暗号化されているか否か、又は、暗号化されている場合その暗号形式は何であるかの閾値判定を実施する計算結果判定部と、
その判定結果を出力する出力インターフェース部と、
を備え、
前記選択的データ計算部は、前記特徴量データのうち特定のデータを使用して評価演算を実施する
ことを特徴とする暗号トラヒック識別装置。
前記特徴量データは、前記トラヒックを構成するパケット毎の前記入力インターフェース部への到着間隔時間を元データとして使用するものである
ことを特徴とする請求項１記載の暗号トラヒック識別装置。
前記選択的データ計算部は、前記到着間隔時間のデータ列を短い順に整列し、その短い順に整列した前記到着間隔時間のデータ列のうち、特定の部分の到着間隔時間を前記評価演算値とし、又は、所定の範囲の前記到着間隔時間のデータ列の平均値を前記評価演算値として算出する
ことを特徴とする請求項２記載の暗号トラヒック識別装置。
前記選択的データ計算部は、前記短い順に整列した到着間隔時間のデータ列のうち、短い方から７５％番目近傍の前記到着間隔時間を前記評価演算値とし、又は、短い方から０％番目〜略７５％番目の範囲の前記到着間隔時間のデータ列の平均値を前記評価演算値として算出する
ことを特徴とする請求項３記載の暗号トラヒック識別装置。
前記選択的データ計算部は、前記到着間隔時間のデータ列を短い順に整列し、そのデータ列のデータ総数をＮとし、ａを定数とし、その短い順に整列したデータ列のうち、短い方から０％番目から所定のｎ％番目までの範囲において、短い方から数えてｘ番目のデータについて定められる到着間隔時間指標値を次の式によって前記評価演算値として算出する
ことを特徴とする請求項２記載の暗号トラヒック識別装置。
到着間隔時間指標値＝Σ｛（ｘ番目の到着間隔時間）² ／（ａ＋（ｘ／Ｎ−（ｎ／１００）²）｝
前記選択的データ計算部は、前記所定のｎ％番目を７５％番目とし、前記評価演算値を算出する
ことを特徴とする請求項５記載の暗号トラヒック識別装置。
前記特徴量データは、前記トラヒックを構成するパケットのパケット長を元データとして使用するものである
ことを特徴とする請求項１記載の暗号トラヒック識別装置。
前記選択的データ計算部は、前記パケット長のデータ列の分散値を前記評価演算値として算出する
ことを特徴とする請求項７記載の暗号トラヒック識別装置。
前記選択的データ計算部は、前記トラヒックを構成するパケットのうちＡＣＫパケットを除いたパケットのパケット長の平均値を前記評価演算値として算出する
ことを特徴とする請求項７記載の暗号トラヒック識別装置。
前記トラヒックが暗号化されているか否かを判定するための判定実施条件を動的に最適化する最適化実行部と、
を備え、
該最適化実行部は、暗号化された前記トラヒックの前記特徴量データと暗号化されていない前記トラヒックの前記特徴量データとの差が略最大になるように前記判定実施条件を最適化する
ことを特徴とする請求項１記載の暗号トラヒック識別装置。
前記トラヒックが暗号化されているか否かを判定するための判定実施条件を動的に最適化する最適化実行部と、
を備え、
該最適化実行部は、暗号化され前記トラヒックの前記特徴量データと暗号化されていない前記トラヒックの前記特徴量データとの重なり部分が略最小となるように前記判定実施条件を最適化する
ことを特徴とする請求項１記載の暗号トラヒック識別装置。
前記最適化実行部は、前記判定実施条件を最適化するために、前記フロー識別部に、複数の前記フローの識別方法のうちから適宜切り替えて前記フローの識別を実施させる
ことを特徴とする請求項１０又は請求項１１記載の暗号トラヒック識別装置。
前記最適化実行部は、前記判定実施条件を最適化するために、前記データ蓄積部に、蓄積する前記特徴量データとして、前記トラヒックを構成するパケット毎の前記入力インターフェース部への到着間隔時間、及び、前記トラヒックを構成するパケットのパケット長のうちから適宜切り替えて蓄積させる
ことを特徴とする請求項１０〜請求項１２のいずれかに記載の暗号トラヒック識別装置。
前記最適化実行部は、前記判定実施条件を最適化するための初期設定として、
前記データ蓄積部に、蓄積する前記特徴量データとして、前記到着間隔時間を設定させ、
前記選択的データ計算部に、前記到着間隔時間のデータ列のうち、所定の箇所の前記到着間隔時間を前記評価演算値とすることを設定させる
ことを特徴とする請求項１３記載の暗号トラヒック識別装置。
前記最適化実行部は、前記判定実施条件を最適化するために、前記選択的データ計算部に、前記特徴量データに基づいて評価演算する際、前記特徴量データのデータ列のうち、使用する前記特徴量データ、又は、使用する前記特徴量データのデータ列の範囲を適宜切り替えさせる
ことを特徴とする請求項１０〜請求項１４のいずれかに記載の暗号トラヒック識別装置。
前記最適化実行部は、前記判定実施条件を最適化するために、前記計算結果判定部に、前記選択的データ計算部による評価演算結果に対して前記トラヒックが暗号化されているか否か、又は、暗号化されている場合その暗号形式は何であるかを判定する閾値を適宜切り替えさせる
ことを特徴とする請求項１０〜請求項１５のいずれかに記載の暗号トラヒック識別装置。
前記フロー識別部は、前記トラヒックにおいて異常なフローを検出した場合に、前記異常フローの異常原因に関する情報を生成し、
前記出力インターフェース部は、前記異常原因に関する情報を出力する
ことを特徴とする請求項１〜請求項１６のいずれかに記載の暗号トラヒック識別装置。
前記入力インターフェース部の前段に配置されたトラヒック異常検知装置と、
を備え、
該トラヒック異常検知装置は、
前記トラヒックに異常なものを検出した場合に、前記入力インターフェース部に、前記異常なトラヒック及びその異常原因に関する情報を出力し、
前記出力インターフェース部は、前記異常原因に関する情報を出力する
ことを特徴とする請求項１〜請求項１６のいずれかに記載の暗号トラヒック識別装置。
請求項１〜請求項１８のいずれかに記載の暗号トラヒック識別装置と、
暗号化されている、又は、暗号化されていない試験用トラヒックを送出する試験信号送出装置と、
を備え、
前記試験信号送出装置は、前記暗号トラヒック識別装置内又はその外部に設置され、
前記暗号トラヒック識別装置は、前記試験信号送出装置から受信する前記試験用トラヒックに対して暗号化されているか否か、又は、暗号化されている場合その暗号形式は何であるかを判定する
ことを特徴とする暗号トラヒック識別システム。