JP2014060722A - 将来のネットワーク攻撃を検知及び予測するために、様々な指標と過去の攻撃事例を相関させ、攻撃に関する指標のプロファイルを作成するシステム及び方法 - Google Patents

Abstract

【課題】攻撃の影響を排除及び低減するための対策を示唆する装置等を構築する方法を提供すること。
【解決手段】起こり得る攻撃又は異常態様の指標を用いてトラフィック特性をエンコードするために新規なメカニズムを考案することにより、トラフィックの様々な態様を測定するための多様な指標のセットを利用する。指標のセットは、その後、緊急性の高いネットワーク攻撃を正確に検知及び予測するために指標のセットのコード化された値における時系列パターンを参照する判定ルールを自動的に学習するための方法及びシステムに基づいて教師あり学習により分析される。本システムのルールは、新たなデータ及び当該データ内の攻撃についてのフィードバック信号を分析することにより、システムがそのルールを定期的に更新すると、新たな攻撃に追従して自動的に進化する。
【選択図】図１

Description

本発明は、一般に将来のネットワーク攻撃を検知及び予測するために、様々な指標と過去の攻撃事例を相関させ、攻撃に関する指標のプロファイルを作成するシステム及び方法に関する。

攻撃の兆候及び時系列変化が多岐にわたるため、ネットワーク攻撃の正確な検知及び予測は、困難である。時系列変化及び兆候は、観測されたデータから特徴を抽出し、シグネチャを作成することが困難となる。そこで、現状発生している攻撃を識別し、緊急性の高い攻撃に関するアラートを提供する仕組みを構築することを目的とする。

ＤＤｏＳ検知は幅広く検討されているが、大部分の解決手段には、多くの誤検知及び見逃しが存在する。
ＤＤｏＳ攻撃検知用に最も広く検討されているアプローチは、不正検知ベースアプローチであり、このアプローチは、一般的に教師なし学習に基づいており、攻撃を予測又は検知するためにルール又はモデルを構築する時点での攻撃の情報を用いていない。不正検知ベースアプローチは、既存のアプローチのパフォーマンスを評価するために攻撃の情報を用いているが、アプローチ自体を改善することは行われていない。
近年、ＤＤｏＳ攻撃の時系列的な解析が行われているが、この研究は、時間軸のどの部分が攻撃に対応するかということを解析していない。この研究は、いくつかの時系列要素を捕捉するが、主な欠点は、誤検知（ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ）及び検出漏れ（ｆａｌｓｅ ｎｅｇａｔｉｖｅｓ）又は検知ミスが多いことである。
教師あり学習のアプローチは、複雑であるが感度の高いルールを構築するために、非線形時系列解析及び既知の攻撃の情報を用いて、誤検知（ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ）及び検知漏れ（ｆａｌｓｅ ｎｅｇａｔｉｖｅｓ）の数を低減し、検知待ち時間を低減する。また、教師あり学習のアプローチは、攻撃信号が相対的に弱い場合であっても緊急性の高い攻撃を予測することもできる。

Ｈ． Ｌｉｕ ａｎｄ Ｍ． Ｋｉｍ． Ｒｅａｌ−Ｔｉｍｅ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｓｔｅａｌｔｈｙ ＤＤｏＳ Ａｔｔａｃｋｓ Ｕｓｉｎｇ Ｔｉｍｅ−Ｓｅｒｉｅｓ Ｄｅｃｏｍｐｏｓｉｔｉｏｎ． Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ２０１０．

本発明は、また、多くのさらなる効果を提供し、これは、以下に説明するように明らかとなる。

本発明者らは、起こり得る攻撃又は異常態様の指標を用いてトラフィック特性をエンコードするために新規なメカニズムを考案することにより、トラフィックの様々な態様を測定するための多様な指標のセットを利用する。指標のセットは、その後、緊急性の高いネットワーク攻撃を正確に検知及び予測するために指標のセットのコード化された値における時系列パターンを参照する判定ルールを自動的に学習するための方法及びシステムに基づいて教師あり学習により分析される。本システムのルールは、新たなデータ及び当該データ内の攻撃についてのフィードバック信号を分析することにより、システムがそのルールを定期的に更新すると、新たな攻撃に追従して自動的に進化する。また、オペレータを補助するために、システムは、検知及び予測ルールを人間が読んで理解できる形式に表現して提供する。

このソリューションは、非常に効果的であり、大規模なＴｉｅｒ １ネットワークに適用できる。

本発明は、ネットワークモニタリング装置、ネットワーク攻撃検知及び予測装置、ゲートウェイに配置可能なフィルタリング装置、ルーター、ホームコンピュータ等、攻撃の警告を提供し、攻撃の影響を排除及び低減するための対策を示唆する装置等を構築するために用いられることができる。

任意のＩＳＰ及び／又はネットワーク装置のメーカーは本発明に関心を示すであろう。政府及び大規模組織もまた本発明に基づく製品を用いることに関心を示すであろう。

本開示のさらなる目的、特徴及び利点は、以下の図面及び詳細な説明を参照することにより理解されるであろう。

ネットワークの各宛先でのデータ収集の論理的ビューを示すチャートである。このプロセスは、ＲＴＦＦデータベースからの指標値の時系列に基づくスライディングウィンドウ、及び各ウィンドウの攻撃／非攻撃の対応するフィードバックを作成する。システムがＤＤｏＳ攻撃を検知及び予測する特定の場合のみを示している。ウィンドウサイズｔ及びタイムウィンドウをスライドするオーバーラップインターバルτは、デフォルト値がシステムにおいて変化することができる自由パラメータである。 相関分析のための概念的なビューを示すチャートである。

本開示の攻撃検知及び予測システムは、４つの主な構成要素を有する。１．指標演算：指標演算では、ノード又はノードのセットによって定められているサンプリングされたネットワークトラフィックをモニタし、指標の値を演算するためにそれを分析する。２．ベクトル生成：ベクトル生成では、指標の瞬時値を、指標の時系列を記述するベクトルに変換する。３．トレーニング：トレーニングでは、攻撃を検知及び予測するためのルールをコンピュータ的に学習するために、履歴時系列データ及び与えられた履歴データの既知の攻撃についての情報を用いる。４．テスト：テストでは、指標の時系列の現在の状況に基づいて攻撃を検知又は予測する。次に、４つの構成要素それぞれの詳細について説明する。

１．指標演算
本発明は、ネットワークの与えられた宛先又はノードのセットにおける攻撃を検出することを目的とする。そのために、６つの異なる指標を用いて対象の宛先に対するネットワークトラフィックの異なる特性をモニタする。各指標は、特定の特性がトラフィック内で観察されるかどうかを決定し、２つのバイナリ値（ＯＦＦなら「０」、ＯＮ又は攻撃を受けたら「１」）の一方を取る。指標は、それらのノードの各々に対して定められたトラフィックの属性を分析することにより算出される。なお、攻撃時のノードを検知することを対象としているため、ここでは、ノードに対して定められたトラフィックを分析することに注目している。以下の指標のセットを用いる。１．ボリュームベース：バイト、パケット、及びターゲットノードへのフローで測定されるトラフィック量。２．偽装ベース：偽装されたソースアドレスが観察される率。３．ソースＩＰダイバーシティベース：ユニークなソースアドレスが観察される率。４．ＩＰジオロケーション（ｇｅｏ−ｌｏｃａｔｉｏｎ）ベース：ユニークな地理的ソースが観察される率。５．ＳＹＮ比分析：非ＳＹＮ ＴＣＰパケットに対するＳＹＮの率。６．悪意のあるソースＩＰ：ソースとしてブラックリスト化されたＩＰアドレスを観察する率。

通信ネットワークは、トラフィック特性が時間的に変動し、時間と共に変化しうる動的かつ進化するシステムである。これは、新たなアプリケーションが生成され、これらのアプリケーションの幾つかが既存のものとは異なるトラフィック特性を有するためである。また、通常のユーザの動向もまた時間と共に進化し、トラフィックの分布の変化を招きうる。ユーザの動向における新たなアプリケーションの出現による合法的な変化と、攻撃の非合法的なトラフィック指標との区別は、困難である。これは、自動化された方式を用いて攻撃を検知する際に、高い率での攻撃の誤検出（ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ）を招く。指標の誤検出（ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ）又は誤ったトリガーを回避するための一つの方法は、静的な閾値に基づく指標のファイアリング（状態をＯＮに設定すること）を回避することである。本発明のアプローチでは、指標毎に動的な閾値を用い、動的な閾値は、頻繁に更新され、履歴閾値及びトラフィックの現在値のアフィン重み付けされた合成値（ａｆｆｉｎｅ ｗｅｉｇｈｔｅｄ ｃｏｍｂｉｎａｔｉｏｎ）として演算される。履歴閾値の重みは、通常、動的な閾値が劇的に変化しないことを強調するために現在値よりも大きくなり、履歴閾値もまた、新たなアプリケーションの導入によるロングタームトラフィック動向がゆっくりと変化するという事実により正当化される。指標が攻撃を受けたかどうかを決定するために動的な閾値を用いることは、システムが多くの場合に誤検出（ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ）することを抑制できる。動的な閾値は、トラフィック特性の段階的な変化を吸収することができ、例えば、新たなアプリケーションが導入されたとき、又はユーザ態様を含むときに、トラフィック特性の段階的な変化は、通常遅く、アフィン重み付けされた合成値のために、動的な閾値に容易に吸収される。さらに、動的な閾値もまた時間の関数であり、そのため、トラフィック特性の時間的及び定期的な変化に敏感である。

リアルタイムフローフィルタ（Ｒｅａｌ Ｔｉｍｅ Ｆｌｏｗ Ｆｉｌｔｅｒ （ＲＴＦＦ））と呼ばれる指標演算システムは、本明細書の別の部分で詳細に説明される。基本的に、ＲＴＦＦは、フローデータから指標のセットを演算し、上述された指標は、攻撃下にある宛先の、限定され、個別化された特性を測定することを試みる。リアルタイムフローフィルタは、自己調整型の、リアルタイムフィルタリング異常検知システムである。本明細書に記載されるシステムは、ＲＴＦＦの出力を分析する。上述した指標は、ＲＴＦＦの構成要素である。各指標は、分析及びトラフィックのトレンドに基づいてアラートを一又はそれ以上の宛先に作成する。指標によって分析及びトレンディングを行うことは、上記の指標により説明された、いくつかのトラフィック特性とみなす。

攻撃を検知及び予測するために、履歴データについて、攻撃されている宛先に関する情報を取得可能であると仮定する。このような情報は、多くのソースから導かれうる。

本開示のユニークな態様の一つは、トラフィックの異なる特性を合成することにより攻撃を検知することである。過去には、トラフィック量又は２つの特性（トラフィック量及びＳＹＮパケット比）のみに注目している技術があった。また、過去の技術では、上述したいくつかの方法において有益である指標のための動的な閾値を用いていなかった。過去の技術は、トラフィック量の時系列を分析していたが、攻撃への見通しを得るための複数又は様々な指標の時系列を分析していなかった。複数の指標の同時分析は、攻撃検知をより正確にするだけでなく、攻撃の予測も可能にする。例えば、トラフィック量が増加する前のＤＤｏＳ攻撃の場合に、ソースＩＰのダイバーシティ（ｄｉｖｅｒｓｉｔｙ）又はトラフィックが受信するＩＰジオロケーションのダイバーシティ（ｄｉｖｅｒｓｉｔｙ）は、増加する。攻撃の異なるタイプの前兆となりうるトラフィックに対する様々な態様への見通しを与えるための指標を活用するので、使用する情報は、よりリッチかつ階層化される。指標と攻撃との間の非線形関係をピックアップできる強固な学習方法の利用が連想されるリッチな情報は、本システムが攻撃を予測することを可能にする。

２．ベクトル生成
Ｌ個（＝この場合６個）の異なる指標が攻撃の分析、検知及び予測のために取得可能であると仮定する。以下の図は、攻撃の検知及び予測のためのデータ収集プロセスを説明するものである。

図１は、ネットワークの各宛先でのデータ収集の論理的ビューを示すチャートである。このプロセスは、ＲＴＦＦデータベースからの指標値の時系列に基づくスライディングウィンドウ、及び各ウィンドウの攻撃／非攻撃の対応するフィードバックを生成する。システムがＤＤｏＳ攻撃を検知及び予測する特定の場合のみを示している。ウィンドウサイズｔ及びタイムウィンドウをスライドするオーバーラップインターバルτは、デフォルト値がシステムにおいて変化することができる自由パラメータである。

データ収集の手順は、以下のようになる。
ａ．サイズｔのタイムウィンドウ及びタイムウィンドウをスライドさせるオーバーラップインターバルτを確定する。
ｂ．タイムウィンドウは、開始時間ｔ_ｂｅｇ及び終了時間ｔ_ｅｎｄにより特定される。
ｃ．各タイムウィンドウに対し、ｉ．ＲＴＦＦ（ｒｅａｌ ｔｉｍｅ ｆｌｏｗ ｆｉｌｔｅｒ）アラートデータベースから、各宛先ＩＰ（匿名であってもよい）及び各指標に関し、ｔ_ｂｅｇからｔ_ｅｎｄまでの間にアラートが挙がった回数を取り出す。指標のアラートデータベースは、指標がセット／攻撃を受けている、及びクリアされたことについてのみを記録し、指標が特定されていない場合には、現時点の状態は、過去で最も近いところの状態とする（攻撃を受けている／クリアされている）。これは、データベースのテーブルを少なくするために行われる。これにより、指標の値がデータベースにはっきりと記録されていない場合は現在の値を直近に記録された値とみなす。ｉｉ．そのタイムウィンドウ内での指標の閾値を記録する。ｉｉｉ．オペレータのアラートデータベースから、与えられたタイムウィンドウの宛先に対するＤＤｏＳアラートであるとされた情報を取り出す。ｉｖ．宛先、個々の宛先、サブセット、ネットワーク等の収集の複数のレベルの粒度に適用することができるが、現時点では、宛先毎の攻撃を検知及び予測することに着目する。よって、各宛先に対して、各指標が攻撃を受けた（アラートを挙げた）回数、それらの閾値及びオペレータのＤＤｏＳシステムからのアラートがあったかどうかを示すブーリアンフィールド（Ｂｏｏｌｅａｎ ｆｉｅｌｄ）を含む、サイズが固定され、かつタイムスタンプが付けられたベクトルを作成する。
ｄ．タイムウィンドウを次のタイムウィンドウ、つまり、期間［ｔ_ｅｎｄ−τ，ｔ_ｅｎｄ−τ＋ｔ）へずらす。
ｅ．対象となる全ての宛先の、分析のための期間内のタイムウィンドウのシーケンスに関するベクトルを収集する。
ｆ．分析の期間［０，Ｔ］内での複数の宛先から収集されるデータのベクトルは、相関分析のための中心位置で収集され、攻撃を検知及び予測するパターン及びルールを作成する。データの概念的なビューは、図２に示される。

攻撃検知のための教師あり学習
ａ）データ分析及び検知／予測のためのモデルを構築する間に、ＤＤｏＳ攻撃が起きている宛先に関する情報（各宛先への攻撃の期間を含む）を用いる。
ｂ）学習時のフィードバックの使用によって、教師あり学習が、より関連性のある、より正確なモデルを作成することができる。
ｃ）検知問題の式
ａ．考慮するための過去のタイムウィンドウのサイズ（ｈ）を経験的に決定する。
ｂ．ウィンドウｗ_ｉ、におけるＲＴＦＦアラートを挙げることについての履歴情報を組み入れる新たなベクトルＶ^ｗｉを作成する。例えば、Ｖ^ｗｉ＝［ｖ^ｗｉ−ｈ，ｖ^{ｗｉ−ｈ＋１}，・・・，ｖ^ｗｉ］、である。
ｃ．検知関数ｆ_{ｄｅｔｅｃｔ}をトレーニングするための以下の組み合わせを作成する。
ｉ．トレーニングデータを（（Ｖ^ｗ１，ｋ^ｗ１），（Ｖ^ｗ２，ｋ^ｗ２），・・・，（Ｖ^ｗｎ，ｋ^ｗｎ））とする。データ内に総数ｎ個のウィンドウがあると仮定する。ここで、Ｖ^ｗｉは、上記のｂ．で作成されるベクトルであり、ｋ^ｗｉは、ＤＤｏＳアタックがタイムウィンドウｗ_ｉの最後の宛先で観察されたかどうかを示す。
ｄ．検知関数ＳＶＭｓを学習するために教師あり学習（例えば、ＳＶＭ）を用いることは、高度で複雑な決定ルールを見い出すことができ、実際に決定ルールを最先端の学習アルゴリズムとする良好な理論的特性及び良好なパフォーマンスを有することができる。以上のように、ＳＶＭを用いた教師あり学習及び上記のｃ．で説明されたトレーニングデータの詳細を簡潔に説明した。

攻撃を予測するための教師あり学習
ａ）原則的に、予測は、検知とほぼ同様である。
ａ．予測と検知との差は、トレーニングデータの式にある。
ｂ．検知の場合には、現時点でのウィンドウでのＤＤｏＳアラートと突き合わせるアラートを出力することが目的である。
ｃ．予測の場合には、将来起こるウィンドウでのＤＤｏＳアラートと突き合わせるアラートを出力することが目的である（このような情報は収集されたデータで取得可能である）。
ｄ．そのため、予測と検知との差は、トレーニングデータの式にある。
ｂ）攻撃予測のためのトレーニングデータの式
ａ．予測したい将来におけるステップ数ｓを決定する。
ｂ．考慮するための過去のタイムウィンドウのサイズ（ｈ）を経験的に決定する。
ｃ．ウィンドウｗ_ｉ、におけるＲＴＦＦアラートを挙げることについての履歴情報を組み入れる新たなベクトルＶ^ｗｉを作成する。例えば、Ｖ^ｗｉ＝［ｖ^ｗｉ−ｈ，ｖ^{ｗｉ−ｈ＋１}，・・・，ｖ^ｗｉ］である。
ｄ．検知関数ｆ_ｐｒｅｄをトレーニングするための以下の組み合わせを作成する。
ｉ．トレーニングデータを（（Ｖ^ｗ１，ｋ^ｗ１＋ｓ），（Ｖ^ｗ２，ｋ^ｗ２＋ｓ），・・・，（Ｖ^ｗｎ，ｋ^ｗｎ＋ｓ））とする。データ内に総数ｎ＋ｓ個のウィンドウがあると仮定する。
ここでＶ^ｗｉは、上記のｃ．で作成されたベクトルであり、ｋ^ｗｉ＋ｓは、ＤＤｏＳアタックがタイムウィンドウｗ_ｉの最後の後、つまりウィンドウｗ_ｉ＋ｓの最後の宛先ｓのステップで観察されたかどうかを示す。
ｅ．検知関数ｆ_ｐｒｅｄを学習するために同様の教師あり学習（例えば、ＳＶＭ）を用いる。
ｆ．正確さを向上させるために、ＲＢＦカーネルによるＳＶＭを用いているが、ＳＶＭにより作成される検知及び予測ルールは、人間が読んで理解できる形式ではない。そのため、人間の専門家又はネットワークオペレータが理解できるルールを学習するために決定木アプローチを使用してもよい。

上述したベクトル作成方法では、攻撃を検知及び予測することを検討するために、２つの自由パラメータ、ウィンドウサイズ及び（時系列の次元を埋め込んでいる）ウィンドウの履歴が存在する。
システムは、これらパラメータの異なる値が検証された交差検定アプローチを用いて、それらを経験的に判断する。そして、最も良いパフォーマンスを挙げたものが選択されて用いられる。

ＳＶＭを用いた教師あり学習
上記で示したように、攻撃を検知及び予測するために同一の方法を用いる。検知と予測との違いは、トレーニングデータの式にある。検知については、ターゲットラベルは、ベクトルの最新のウィンドウの最後におけるネットワークの状態である。一方、予測については、ターゲットラベルは、将来のインターバルの固定された数における宛先（攻撃下又は非攻撃下）の状態である。ここでは、検知関数ｆ_{ｄｅｔｅｃｔ}及び予測関数ｆ_ｐｒｅｄを学習するための教師あり学習アプローチについて説明する。

決定ルールを学習するために、ＳＶＭ（Ｓｕｐｐｏｒｔ Ｖｅｃｔｏｒ Ｍａｃｈｉｎｅｓ）アルゴリズムを用いる。簡潔には、ＳＶＭは、入力としてのラベル付けされていないテストデータポイントを取得し、そのラベルを作成する決定ルールｙ＝ｆ（ｘ）を学習するためにトレーニングデータ｛（ｘ_ｉ，ｙ_ｉ）｝_ｉ＝１ ^ｌを用いる。
決定ルールは、数１を有す。

ここで、ｂは定数であり、Ｋ（ｘ，ｘ_ｉ）はテストデータポイントとトレーニングデータポイントｘ_ｉとのカーネル類似度である。α_ｉの係数は、以下の二次最適化を解くことにより求められる。

条件

Ｃは、上記の最適化問題においてユーザが特定したパラメータである。上記の二次最適化問題を解くために効率の良い手順がある。

教師あり学習（上述したようなＳＶＭ）では、トレーニング段階とテスト段階との２つの異なる段階が存在する。

３．トレーニング段階
トレーニング段階において、与えられたラベル付けされたデータは、α_ｉの係数の値及び二次プログラム（２）を解くことにより閾値ｂを求めるために用いられる。
これは、コンピュータ的に負荷の大きなステップであるが、オフラインで解くことができ、一回程度（ｏｎｃｅ ｏｒ ｉｎｆｒｅｑｕｅｎｔｌｙ）解く必要がある。検知及び予測のための学習における違いは、トレーニングデータの式のみである。システムは、複数の宛先から収集された、集められたトレーニングデータ、又は個々の宛先から収集されたデータを用いて予測関数ｆ_ｐｒｅｄ（又は検知関数ｆ_{ｄｅｔｅｃｔ}）を学習することができる。

４．テスト段階
テスト段階は、新たな観測ｘの関数（１）を評価するために、学習の結果（トレーニング段階で求められたα_ｉの係数及び閾値ｂ）を用いる。関数評価は、コンピュータ的に低廉であり、リアルタイムで行われうる。関数（１）の評価は、攻撃を検知又は予測するためのラベルを作成する。関数ｆ_ｐｒｅｄを評価することによりラベルが作成されたときに、システムは、攻撃を予測する。また、関数ｆ_{ｄｅｔｅｃｔ}を評価することによりラベルが作成されたときに、システムは、攻撃を検知する。

以上のことから、（ＤＤｏＳではない）他の攻撃を検知するために、当業者の誰であってもトレーニングデータのラベルを置き換えることになり、トレーニングベクトルを別に定式化することになるであろう。一旦、トレーニングデータが適切に定式化され、最適化問題（２）を解くために用いられると、システムは、新たなタイプの攻撃を検知するために関数を作成するであろう。本発明についての現在の認識では、ＤＤｏＳ攻撃のみを考慮しているが、本発明は、広汎であり、履歴情報が取得可能でさえあれば他の攻撃を検知及び予測するために用いることができる。

システムは、個々の宛先から収集された履歴トレーニングデータ、又は宛先のセットから収集されたデータから学習することができる。単一の宛先から収集されたデータから学習することの利点は、攻撃の検知及び予測がその宛先へのユニークな観測から生じることになり、そのため、得られる検知及び予測がこの宛先に対して非常に明確になるであろう。欠点は、システムが各ノードの個々の関数を学習することになり、そのため、コンピュータ的によりコストが掛かることになることである。しかし、単一の宛先からのトレーニングデータは、サイズ及び変動性（観測される攻撃の明示又は与えられた宛先で攻撃が観測されない場合）で制限が可能なので、得られる検知及び予測関数は、ネットワークで観測されるが、その宛先ではない攻撃を検出することができない。

ノードのセットにわたって集められたトレーニングデータから学習することの利点は、得られる検知及び予測関数が、任意のノードにおいて観測された任意の攻撃を検知できることである。これは、より良い一般化を生じる。一方、大量のトレーニングデータによって、トレーニング段階は、コンピュータ的によりコストが掛かり、また、システムは、学習が行われる中央ノードにおける複数の宛先からデータを収集することを必要とする。

２つのアプローチのハイブリッドが存在してもよい。この場合、システムが２つの検知及び予測関数を用いることができる。ひとつは、ノードへのローカルなトレーニングデータから生じ、他方は、複数のノードにわたって収集されたトレーニングデータから生じる。

本開示は、攻撃検知及び予測についての異なる考え方を有する。既存の技術は、パケット異常当たりで識別する観点から見ているが、本発明は、複数のパケット及び複数の異常のタイプにわたって収集している。また、既存の技術は、検知に着目していたが、異常検知のタイプを用いて予測することは十分に行われていなかった。

また、本発明は、機械学習及びネットワークセキュリティにおける見識を有する研究者の多くの専門分野にわたるグループによってなされたものである。これは、本発明者らが、先進的な分析をネットワークセキュリティにおける深い見識と組み合わせることを可能にした。

本発明者らは、大規模なネットワークにおいて攻撃を検出するために、パケット分析当たりではなく、大規模な統計的技術に着目する必要があるものであると理解している。この理解に基づき、本発明者らは、トラフィックパターンの大規模な偏差を測定するために、多様な指標（ソースダイバーシティ、ホストの地理的な位置、トラフィック量等）を設計した。本発明は、また、ネットワークの詳細を知るｔｉｅｒ １ ＩＳＰとの緊密な協力によってなされたものである。

攻撃の早期警告について説明する。
機械学習リサーチの一部として予測アルゴリズムを設計することの背景は、学習の理論的な観点からの問題を分析及び定式化することを可能にした。これは、指標が強くなく、攻撃信号が弱い場合に、攻撃を予測するために不可欠な特性をモデル化することを可能にした。
ｉ．過去に観測した攻撃のバリエーションであるゼロデイ攻撃を検知することが可能となった。
ｉｉ．徐々にトラフィック量及び他の特性を変化させることを含むステルス攻撃を検知できる。
ｉｉｉ．様々な指標を使用することにより、システムは、より安定かつ詳細な攻撃の検知を実現できる。指標は、（トラフィック）量、偽装されたＩＰｓ、ソースＩＰダイバーシティ、ＩＰジオロケーション、ＳＹＮ比及び悪意のあるソースＩＰｓのポテンシャル変化を測定する。
ｉｖ．（ｉ）観察されたトラフィック内の直近のトレンドに基づく指標から継続的かつ自動的に閾値を適用すること、及び（ｉｉ）ネットワーク攻撃を検知及び予測するためのルールを適用するために逐一学習することにより、新たな攻撃及びそれらの変形を早急に学習することを適用できる。
ｖ．緊急性の高い攻撃をネットワークに影響が及ぶ前に予測できる。
ｖｉ．（トレーニングデータの一部として改善が提供された場合に）改善を提供できる。
ｖｉｉ．攻撃を検知及び予測するためのシグネチャ時系列パターン及びルールを発見又は生成できる。
ｖｉｉｉ．指標が攻撃に対して支配的及び／又は決定的な役割となるかについての情報を提供できる。

本発明に係るいくつかの実施形態について示し、かつ説明したが、当業者にとって自明な多くの変形が可能であることについて同じことが言えることが明確に理解される。したがって、本発明は、示され、かつ説明された詳細な説明に限定されるものではなく、添付の特許請求の範囲の範囲内での全ての変更及び修正を意図するものである。

Claims (1)

1. 起こり得る攻撃又は異常態様の指標を用いてトラフィック特性をエンコードし、ネットワーク攻撃を正確に検知するために前記指標のセットのコード化された値における時系列パターンを参照する、方法。

Images