JP2018098635A - 通信予測装置、通信予測方法及び通信予測プログラム - Google Patents

Abstract

【課題】広範囲な通信の種類に対して、発生を予測できる通信予測装置、通信予測方法及び通信予測プログラムを提供すること。【解決手段】通信予測装置１は、ネットワーク内のフロー情報に基づいて、ホスト毎に攻撃の受信履歴を収集する収集部１１と、収集されたホスト毎の攻撃回数を集計し、攻撃回数がｎ回以上のホストのうち、攻撃回数がｎ＋１回以上のホストの占める割合を、ｎ＋１回目の攻撃発生確率として算出する算出部１２と、予測対象ホストが過去に攻撃を受信した回数に基づいて攻撃発生確率を判定し、予測値として出力する判定部１３と、を備える。【選択図】図１

Description

本発明は、将来の通信を予測する装置、方法及びプログラムに関する。

従来、不正通信を監視し、あるホストに対して将来、サイバー攻撃が発生するか否かを予測する方法として、攻撃を実施する前に攻撃者が行う準備行動、例えばポートスキャン又はマルウェアの導入等を検知し、この準備行動に基づいて、実攻撃の対象及び発生の有無を予測する方法が提案されている（例えば、非特許文献１参照）。

牧田大佑，吉岡克成，松本勉，中里純二，島村隼平，井上大介，ＤＮＳアンプ攻撃の事前対策へ向けたＤＮＳハニーポットとダークネットの相関分析，情報処理学会論文誌、５６巻、３号、ｐ９２１−９３１、２０１５

しかしながら、従来の予測方法は、準備行動を行う攻撃手法を対象としているため、準備行動を行わない、又は検知できない場合、攻撃の発生を予測できない。したがって、予測可能な攻撃の種類が限定されていた。

本発明は、広範囲な通信の種類に対して、発生を予測できる通信予測装置、通信予測方法及び通信予測プログラムを提供することを目的とする。

本発明に係る通信予測装置は、ネットワーク内のフロー情報に基づいて、ホスト毎に所定の特徴を有するパケット群の受信履歴を収集する収集部と、収集された前記ホスト毎の前記パケット群の受信回数を集計し、受信回数がｎ回以上のホストのうち、受信回数がｎ＋１回以上のホストの占める割合を、ｎ＋１回目の通信発生確率として算出する算出部と、予測対象ホストが過去に前記パケット群を受信した回数に基づいて前記通信発生確率を判定し、予測値として出力する判定部と、を備える。

前記算出部は、前記パケット群を、通信量の規模、ホストの種類、通信発生間隔、所定レンジ内の近隣ホストに対する通信発生の有無、パケットの種類、送信元の地域の少なくともいずれか毎にクラスタリングし、クラスタ毎に前記通信発生確率を算出してもよい。

前記判定部は、ホスト群を配下に持つルータにおける前記パケット群の発生確率を、前記ホスト群に含まれるホストそれぞれに対して判定した前記通信発生確率に基づいて算出してもよい。

本発明に係る通信予測方法は、ネットワーク内のフロー情報に基づいて、ホスト毎に所定の特徴を有するパケット群の受信履歴を収集する収集ステップと、収集された前記ホスト毎の前記パケット群の受信回数を集計し、受信回数がｎ回以上のホストのうち、受信回数がｎ＋１回以上のホストの占める割合を、ｎ＋１回目の通信発生確率として算出する算出ステップと、予測対象ホストが過去に前記パケット群を受信した回数に基づいて前記通信発生確率を判定し、予測値として出力する判定ステップと、をコンピュータが実行する。

本発明に係る通信予測プログラムは、ネットワーク内のフロー情報に基づいて、ホスト毎に所定の特徴を有するパケット群の受信履歴を収集する収集ステップと、収集された前記ホスト毎の前記パケット群の受信回数を集計し、受信回数がｎ回以上のホストのうち、受信回数がｎ＋１回以上のホストの占める割合を、ｎ＋１回目の通信発生確率として算出する算出ステップと、予測対象ホストが過去に前記パケット群を受信した回数に基づいて前記通信発生確率を判定し、予測値として出力する判定ステップと、をコンピュータに実行させる。

本発明によれば、広範囲な通信の種類に対して、発生を予測できる。

実施形態に係る通信予測装置の機能構成を示すブロック図である。 実施形態に係る攻撃回数を条件とするホスト集合の包含関係を示す模式図である。 実施形態に係るクラスタ毎の攻撃発生確率を例示する模式図である。 実施形態に係るクラスタ毎の攻撃発生確率データの生成処理を示すフローチャートである。 実施形態に係る予測対象ホストにおける攻撃発生確率の取得処理を示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係る通信予測装置１の機能構成を示すブロック図である。
通信予測装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）である。通信予測装置１は、予測対象ホストに対して所定の特徴を有するパケット群が送信される可能性を予測する。
ここで、所定の特徴を有するパケット群とは、例えば、同一のホストに対して大量に送信されるパケット群であり、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃により発生する大規模な通信量のパケット群がこれに該当する。本実施形態では、パケット群は、ネットワーク機器又はホストに影響を及ぼす可能性のある一定以上の通信量の規模を有する攻撃であり、通信予測装置１は、同一ホストが同様の攻撃を再び受ける可能性を予測するものとする。

通信予測装置１は、制御部１０及び記憶部２０の他、各種データの入出力デバイス又は通信デバイス等を備える。
制御部１０は、通信予測装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各種機能を実現している。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を通信予測装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させる通信予測プログラムと、当該プログラムにより実行される後述の処理によって得られた攻撃発生確率データを記憶する。

制御部１０は、収集部１１と、算出部１２と、判定部１３とを備える。
収集部１１は、観測対象のネットワークのフロー情報を、ネットワーク内の上位階層のルータ（コアルータ）から取得し、取得した所定期間（例えば、過去１年間）のフロー情報に基づいて、通信の宛先であるホスト毎に所定の特徴を有するパケット群の受信履歴を、攻撃情報として収集する。攻撃情報には、宛先ＩＰアドレス、攻撃発生時期及び攻撃規模等が含まれる。
なお、観測対象のネットワークは、予測対象ホストが存在するネットワークと異なってもよい。

算出部１２は、収集部１１により収集されたホスト毎のパケット群の受信回数、すなわち攻撃回数を集計し、攻撃回数がｎ回以上のホストのうち、攻撃回数がｎ＋１回以上のホストの占める割合を、ｎ＋１回目の攻撃発生確率（通信発生確率）として算出する。
このとき、算出部１２は、パケット群を、攻撃回数に加えて、以下のような複数の属性（ａ）〜（ｆ）のうち、少なくともいずれかの属性毎にクラスタリングし、クラスタ毎に次式のように攻撃発生確率を算出する。
過去の攻撃回数がｎ回のホストに対する攻撃発生確率
＝攻撃回数がｎ＋１回以上のホスト数／クラスタ（攻撃回数がｎ回以上）のホスト数

（ａ）通信量の規模
例えば、１００〜５００Ｍｂｐｓ、５００〜１Ｇｂｐｓ、１Ｇｂｐｓ以上のように、通信量の規模毎に攻撃の種類が分類される。

（ｂ）ホストの種類
例えば、宛先ホストが不特定多数のユーザからアクセスされるサービスを提供するサーバ（Ｗｅｂ、ＤＮＳ、ＮＴＰ等）か、このようなサービス提供を行わない個人の端末かで攻撃の種類が分類される。

（ｃ）攻撃発生間隔又は頻度
例えば、攻撃の発生間隔が１日未満、１週間未満等、あるいは別の表現として、発生頻度が１日に１回以上、１週間に１回以上等の違いにより、攻撃の種類が分類される。

（ｄ）所定レンジ内の近隣ホストに対する攻撃発生の有無
例えば、ＩＰアドレスの近い（例えば、第４オクテットのみが異なる）ホスト、あるいはネットワークのトポロジ上の位置が近いホストに対しても攻撃が発生しているか否かによって攻撃の種類が分類される。

（ｅ）パケットの種類
攻撃手法として、ＳＹＮフラッド、ＵＤＰ ｒｅｆｌｅｃｔｉｏｎ等、どのような手法が用いられているかによって攻撃の種類が分類される。

（ｆ）送信元の地域
送信元のＩＰアドレスが属する国等、どの地域から送信されたかによって攻撃の種類が分類される。

以上のような属性により、ネットワーク内のホストは、例えば、クラスタＡ「攻撃回数：１回以上＆規模：１００Ｍｂｐｓ＆種類：個人」、クラスタＢ「攻撃回数：２回以上＆規模：５００Ｍｂｐｓ＆種類：サーバ」等のように複数のクラスタに分類される。

判定部１３は、予測対象ホストに対する過去の攻撃情報を、算出部１２で生成されたクラスタのいずれかに分類することで、さらに攻撃を受ける攻撃発生確率を判定し、予測値として出力する。
ここで、攻撃情報は、通信ログから抽出される前述の属性の情報であり、判定部は、攻撃の回数を含むこれらの属性に基づいて、クラスタを判定する。
なお、攻撃情報は、外部から入力されてもよいし、判定部１３が通信ログから抽出してもよい。

また、判定部１３は、ホスト群を配下に持つ上位のルータにおける攻撃パケット群の発生確率を、ホスト群に含まれるホストそれぞれに対して判定した攻撃発生確率を統合して算出してもよい。

図２は、本実施形態に係る攻撃回数を条件とするホスト集合の包含関係を示す模式図である。
全ホストが属する攻撃が０回以上の集合は、攻撃が１回以上の集合を内包する。さらに、攻撃が１回以上の集合は、攻撃が２回以上の集合を内包する。
このように、攻撃の回数が増えるほど、回数が少ない集合に内包する形で集合が小さくなっていく。
通信予測装置１は、この内包される集合の大きさの割合を攻撃発生確率として算出する。

図３は、本実施形態に係るクラスタ毎の攻撃発生確率を例示する模式図である。
クラスタＡ０に分類されるホスト（攻撃回数が０回以上）が次に同種の攻撃を受ける確率は、クラスタＡ０に対するクラスタＡ１のホスト数の割合であり、図中では面積の大きさで表現されている。各クラスタにおける攻撃発生確率は、クラスタ毎に、すなわち攻撃回数及びその他の属性毎に異なってよい。

例えば、クラスタＡ０に対するクラスタＡ１（攻撃回数が１回以上）の割合と、クラスタＡ１に対するクラスタＡ２（攻撃回数が２回以上）の割合と、クラスタＡ２に対するクラスタＡ３（攻撃回数が３回以上）の割合とは、それぞれ異なっている。
また、攻撃回数が同一でも他の属性が互いに異なるクラスタＡ０とＢ０、Ａ１とＢ１、Ａ２とＢ２は、それぞれ攻撃発生確率が異なっている。

図４は、本実施形態に係るクラスタ毎の攻撃発生確率データの生成処理を示すフローチャートである。
ステップＳ１において、収集部１１は、観測対象のネットワークからホスト毎の攻撃情報を収集する。

ステップＳ２において、算出部１２は、ステップＳ１で収集した攻撃情報に基づいて、攻撃回数を含む属性によりホストをクラスタリングする。
ステップＳ３において、算出部１２は、ステップＳ２で生成されたクラスタ毎に、攻撃発生確率を算出し、クラスタの情報に対応付けて記憶部２０に格納する。

ステップＳ４において、算出部１２は、全てのクラスタについて攻撃発生確率を算出したか否かを判定する。この判定がＹＥＳの場合、処理は終了し、判定がＮＯの場合、処理はステップＳ３に移る。

図５は、本実施形態に係る予測対象ホストにおける攻撃発生確率の取得処理を示すフローチャートである。
ステップＳ１１において、判定部１３は、例えば、運用対象のネットワークの管理者等からの入力を受け付け、予測対象ホストを指定する。

ステップＳ１２において、判定部１３は、ステップＳ１１で指定した予測対象ホストに関する通信ログから、攻撃情報を取得する。
ステップＳ１３において、判定部１３は、ステップＳ１２で取得した攻撃情報に基づいて、予測対象ホストが記憶部２０に格納されているクラスタのいずれに該当するかを判定する。
ステップＳ１４において、判定部１３は、ステップＳ１３で判定されたクラスタの攻撃発生確率を取得し、予測値として出力する。

本実施形態によれば、通信予測装置１は、攻撃情報の履歴をホスト毎に集計することにより、ｎ回以上の攻撃を受けたホストのうち、ｎ＋１回以上の攻撃を受けたホストの割合を、ｎ回の攻撃を受けたホストがｎ＋１回目の攻撃を受ける確率として算出する。通信予測装置１は、予測対象ホストに対する攻撃の回数に基づいて、次に攻撃を受ける確率を取得する。
したがって、通信予測装置１は、攻撃前の事前行動の情報を利用することなく、過去に発生した攻撃の統計的事象を利用して、任意の予測対象ホストに対する将来の攻撃の発生を予測するので、広範囲な攻撃の種類に対して、発生を予測できる。

また、通信予測装置１は、通信量の規模、ホストの種類、通信発生間隔、所定レンジ内の近隣ホストに対する通信発生の有無、パケットの種類、送信元の地域の少なくともいずれか毎にホストをクラスタリングし、クラスタ毎に攻撃発生確率を算出する。
したがって、通信予測装置１は、攻撃の属性に応じて変動する攻撃発生確率を精度良く出力できる。

また、通信予測装置１は、複数のホスト群を配下に持つルータにおいて、攻撃に関わるパケット群の発生確率を、これらのホストそれぞれに対して判定した攻撃発生確率を統合して算出する。
したがって、通信予測装置１は、通信経路となるルータにおける通信量の増加等、攻撃の発生に応じた通信異常を予測できるので、ネットワーク設備の効率的な運用を助けることができる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。

通信予測装置１による通信予測方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 通信予測装置
１０ 制御部
１１ 収集部
１２ 算出部
１３ 判定部
２０ 記憶部

Claims (5)

1. ネットワーク内のフロー情報に基づいて、ホスト毎に所定の特徴を有するパケット群の受信履歴を収集する収集部と、
   収集された前記ホスト毎の前記パケット群の受信回数を集計し、受信回数がｎ回以上のホストのうち、受信回数がｎ＋１回以上のホストの占める割合を、ｎ＋１回目の通信発生確率として算出する算出部と、
   予測対象ホストが過去に前記パケット群を受信した回数に基づいて前記通信発生確率を判定し、予測値として出力する判定部と、を備える通信予測装置。
2. 前記算出部は、前記パケット群を、通信量の規模、ホストの種類、通信発生間隔、所定レンジ内の近隣ホストに対する通信発生の有無、パケットの種類、送信元の地域の少なくともいずれか毎にクラスタリングし、クラスタ毎に前記通信発生確率を算出する請求項１に記載の通信予測装置。
3. 前記判定部は、ホスト群を配下に持つルータにおける前記パケット群の発生確率を、前記ホスト群に含まれるホストそれぞれに対して判定した前記通信発生確率に基づいて算出する請求項１又は請求項２に記載の通信予測装置。
4. ネットワーク内のフロー情報に基づいて、ホスト毎に所定の特徴を有するパケット群の受信履歴を収集する収集ステップと、
   収集された前記ホスト毎の前記パケット群の受信回数を集計し、受信回数がｎ回以上のホストのうち、受信回数がｎ＋１回以上のホストの占める割合を、ｎ＋１回目の通信発生確率として算出する算出ステップと、
   予測対象ホストが過去に前記パケット群を受信した回数に基づいて前記通信発生確率を判定し、予測値として出力する判定ステップと、をコンピュータが実行する通信予測方法。
5. ネットワーク内のフロー情報に基づいて、ホスト毎に所定の特徴を有するパケット群の受信履歴を収集する収集ステップと、
   収集された前記ホスト毎の前記パケット群の受信回数を集計し、受信回数がｎ回以上のホストのうち、受信回数がｎ＋１回以上のホストの占める割合を、ｎ＋１回目の通信発生確率として算出する算出ステップと、
   予測対象ホストが過去に前記パケット群を受信した回数に基づいて前記通信発生確率を判定し、予測値として出力する判定ステップと、をコンピュータに実行させるための通信予測プログラム。

Images