JP4945344B2 - パケットフィルタリング方法およびパケットフィルタリングシステム - Google Patents

Description

本発明は、ワーム感染ホスト特定処理における最適値設定方法および最適値設定システムに係り、特に、フロー計測から得られたデータを用いて、ワームに感染したホストを特定し、規制する処理に関する。

近年インターネットでは、ワームの感染拡大が問題となっている。ワームに感染したホストは次に感染させる脆弱なホストを探すため、ランダムやシーケンシャルに生成したアドレスに対してスキャンのためのパケットを送付する。
中でも、Bandwidth limited型と呼ばれるワームに感染したホストは、使用可能なネットワークの伝送帯域とホストのＣＰＵ能力を最大限用いてスキャンを行うため、感染が爆発的に拡大する特徴がある。例えば、代表的なBandwidth limited型のワームであるSlammerの場合、感染ホストは平均で4000回ものスキャンを１秒間に行い、わずか１０分程度でネットワーク全体に感染が拡大したことが報告されている。
これまでの新種のワームの出現に対しては、ＯＳやアプリケーションソフトの脆弱性を修復するためのパッチや、感染プログラムを除去するためのワクチンプログラムを開発し、一般利用者に配布するとこで対策がとられてきた。
しかし、Bandwidth limited型といった感染レートの高いワームは、パッチやワクチンが開発されるまでにネットワークの大部分に感染が拡大するために、このような対策だけでは十分でない。
Bandwidth limited型のような感染レートの高いワームに対しては、ワームの出現を可能な限り早期に検知し、自動的にワーム感染ホストを特定し、感染ホストのパケット送出レート規制等によりワームの感染が拡大する速度を抑え、パッチやワクチンが開発されるまでの時間を稼ぐことが重要となる。

ワームの出現を検知する手法としては、トラヒック量の変化から検知するもの、無効アドレス空間にパケットを送出したホストの発生間隔の変化から検知するもの、スキャン数の増加傾向から検知するものなどが提案されている。
一方、ワーム感染ホストを特定する手法として、以前、本発明者らは、短時間に大量のフローを生成するホストをSuperspreaderとして特定する方法を提案した。以後、本方式をSuperspreader特定法と表記する。
本方式は、長さがφ秒の任意の測定期間Φ内に測定ポイントで観測されたフロー数ｍが明示的に定めた閾値ｍ^＊以上のホストをSuperspreaderと定義し、ｍ＝ｍ^＊のホストが特定される確率Η^＊を明示的に与える。本方式を用いることで、限られたメモリを最大限に活用してSuperspreaderを高精度に特定することが可能となる。
Superspreaderにはワーム感染ホストに加え、ＤＮＳサーバといった正常なホストで大量のフローを生成するホストも含まれる。ＤＮＳサーバといった正常なホストで大量のフローを生成するホストは、連続した複数の測定期間でSuperspreaderとなる傾向がある。そこで、本発明者らは、正常期間中には特定されたホストのＩＰアドレスをホワイトリスト（ＷＬ）に収容し、ワーム出現検知後は、特定されたホストをホワイトリスト（ＷＬ）と照合することで、ワーム感染ホストを絞り込む方法を提案した。以後、Superspreader特定法とホワイトリスト（ＷＬ）を用いた感染ホスト法絞込み法を組合せて用いる方法を、ワーム感染ホスト特定法と表記する。

なお、本願発明に関連する先行技術文献としては以下のものがある。
N.Kamiyama,T.Mori,and R.Kawahara,"Simple and Adaptive Identification of Superspreaders by Flow Sampling,"INFOCOM 2007 Minisymposium. 上山，森，川原，原田，吉野，"ホワイトリストを用いたワーム感染ホスト特定法，"信学技報IN,2007-6.

ワーム感染ホスト特定法をアクセスルータ等に実装することにより、ワーム感染ホストを高精度でリアルタイムに特定することが可能となる。特定されたホストに対してフローやパケットの送出レートを規制することにより、ワーム感染が拡大する速度を抑えることができる。そのため、Bandwidth limited型のワームに対してパッチやワクチンの開発に要する時間を稼ぐことが期待できる。
しかし、三つのパラメタφ，ｍ^＊，Η^＊をどのように設計するかが問題である。一般に、未知のワームのスキャンレートを事前に予測することはできず、また測定周期は実装コストや特定精度に影響を与えることから、これらパラメタを事前に適切に設定することは容易でない。
ところで、ワーム感染ホストのスキャンによって生じる異常トラヒックの総量を抑え、ワームの感染が拡大する速度を抑えるためには、アクティブな（未特定の）感染ホスト数を抑えることが重要である。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、パケットフィルタリング方法およびパケットフィルタリングシステムにおいて、新規に出現したワームに対するパッチやワクチンが開発されるまでの間、アクティブな感染ホスト数の全脆弱ホスト数に対する比率が事前に定めた上限値以下となるように、測定期間長φ、特定閾値η^＊、特定閾値における特定確率Η^＊を最適に設計することが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定し、当該特定したワーム感染ホストをワーム感染ホストリストに出力するワーム感染ホスト特定装置と、前記ワーム感染ホストリストに基づき、パケットのフィルタリングを実施するパケットフィルタ装置とを有するパケットフィルタリング方法であって、全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、前記ワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、前記ワーム感染ホスト特定装置におけるワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η ^＊ 、特定閾値における特定確率Η ^＊ の３つのパラメタの中で、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉ_ｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定する。
（２）（１）において、前記設定した測定期間長φに基づき、前記特定閾値η^＊に対する制約式から、前記特定閾値η^＊を設定する。
（３）（２）において、前記設定した測定期間長φ、および前記設定した特定閾値η^＊に基づき、前記特定確率Η^＊に対する制約式を満足する値の中で、最小の値を前記特定確率Η^＊として設定する。
（４）また、本発明は、前述のパケットフィルタリング方法を実施するためのパケットフィルタリングシステムである。

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、新規に出現したワームに対するパッチやワクチンが開発されるまでの間、アクティブな感染ホスト数の全脆弱ホスト数に対する比率が事前に定めた上限値以下となるように、測定期間長φ、特定閾値η^＊、特定閾値における特定確率Η^＊を最適に設計することが可能となる。

以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
［Superspreader特定法の概要］
始めに、Superspreader特定法の概要について説明する。
大量フロー生成ホストを特定するには、パケット単位ではなく、フローを単位にサンプリングを行い、ホスト毎に生成フロー数を集計することが有効である。Superspreader特定法では、サンプルフロー数が、特定判断閾値Ｙ以上の大量フロー生成ホストを、Superspreaderとして特定する。
フローを、発着ＩＰアドレス、発着ポート番号が共通のパケットの集合と定義する。そして、長さがφ（ｓ）の任意の測定期間Φを定め、各ホストに対して測定期間Φ内に着目リンクに到着したフロー数をｍとするとき、任意に定めた閾値ｍ^＊に対して、ｍ≧ｍ^＊のホストを大量フロー生成ホストと定義し、着目リンクにおいて、大量フロー生成ホストを測定期間Φ内で特定することを考える。

今、測定期間Φ内に着目リンクを流れたフロー数がｍのホストに着目する。
測定期間Φ内で着目ホストのｍ本のフローからｄ本のフローがサンプルされる確率ｆ_ｄは、フローサンプルレートｒを用いて、下記（１）式で表される。

よって、サンプルフロー数が、Ｙ以上のホストを特定するとき、このホストが特定される確率Ｈは、下記（２）式で得られる。
また、下記（２）式に、ｍ＝ｍ^＊を代入することによって得られる、下記（３）式を数値的に解くことによって、ｍ^＊とＨ^＊が与えられたときに、Ｙかｒの任意の一方を定めたときに対応するもう一方のパラメタを設定することができる。

［ワーム感染ホスト特定法の概要］
ネットワークの状態として、（１）正常状態、（２）ワーム出現状態、の二つを定義する。
ユーザ自身がワームの感染に気がつかない場合や、気がついてもパッチやワクチンを用いるなどの対処を取らない場合もあり、インターネットには、常時、様々な種類のワームが観測されており、その意味では常にワーム出現状態にあると言える。
ここでは、Slammerといった非常に感染レートが高く、短時間にネットワーク全体に蔓延する可能性の高いワームが新規に出現し、急激に感染ホストが増加している状態をワーム出現状態と定義する。そして、このような被害の大きいワームに対してパッチやワクチンを開発するまでの時間を稼ぐため、自動的にワーム感染ホストを特定し規制を行うことを最終的な目標とする。
前述した方法により、測定期間長φ、大量フロー生成ホストを定義する生成フロー数の閾値ｍ^＊、そしてｍ＝ｍ^＊のホストが特定される確率Ｈ^＊を与え、ネットワークの状態とは無関係に、常時、連続した各測定期間Φの各々において大量フロー生成ホストの特定処理を実施する。

新種のワーム検出後、ワームの解析によりパッチやワクチンが作成されワームに対する根本的な解決が可能になった段階で、再度、ネットワークは正常状態に移行する。
正常状態において特定された大量フロー生成ホストは全てホワイトリスト（ＷＬ）に収容される。
一方、ワーム出現状態の間は、ホワイトリスト（ＷＬ）の更新は行わず、特定された大量フロー生成ホストを直前の正常状態において作成されたホワイトリスト（ＷＬ）と比較し、ホワイトリスト（ＷＬ）に存在しない場合にのみワーム感染ホストと見なしてレート規制等を行う。
ワーム出現状態中に大量フロー生成ホストとして特定されたホストのうち正常なものは、直前の正常状態においても大量フロー生成ホストとして特定されている可能性が高い。一方、ワームに感染したホストは、感染以後、大量フロー生成ホストとなるため、ワームが検知された時点で既に感染しているホストを除きホワイトリスト（ＷＬ）には存在しない。
そのため、ホワイトリスト（ＷＬ）を用いることで、特定された大量フロー生成ホストから、効果的にワーム感染ホストを絞り込むことが可能となる。

［実施例］
図１は、本発明の実施例のワーム感染ホスト特定処理における最適値設定システムの概略構成を示すブロック図である。図１において、１０１は設定条件入力装置、１０２はパラメタ設計装置、１０３はワーム感染ホスト特定装置、１０４はワーム感染ホストリスト、１０５はパケットフィルタ装置である。
設定条件入力装置１０１により設定条件が入力され、パラメタ設計装置１０２によりパラメタが設計される。そして設計されたパラメタを用いてワーム感染ホスト特定装置１０３がワーム感染ホストを特定し、ワーム感染ホストリスト１０４に特定されたホストのＩＤが出力される。本リストに基づき、パケットフィルタ装置１０５がパケットのフィルタリングを実施する。

次に、本発明の実施の形態に係るワーム感染ホスト特定処理における最適値設定方法について、最適パラメタ設計、数値評価をそれぞれ説明する。
［最適パラメタ設計の概要］
新しいワームが活動を開始した後、ある時刻（この時刻をｔ＝０とする）に、このワームの出現が検知され、ワーム感染ホストの検出・規制処理が開始される。このワームに対するパッチやワクチンが開発され、根源的な対応が可能となるまでに要する時間をＴとする。
０≦ｔ≦Ｔにおいて、アクティブなワーム感染ホスト（スキャンによる異常トラヒックの生成源となる）数の上限が、このワームに対して脆弱な全ホスト数Ｎのε倍（εは０＜ε＜１の任意の実数）に抑えられるよう、ワーム感染ホストの特定・規制処理を行うことを目指す。すなわち、時刻ｔにおけるアクティブ感染ホスト数をＩ_ｔとすると、０≦ｔ≦Ｔの任意のｔに対して、Ｉ_ｔ≦εＮを制約条件に考える。
感染ホストのスキャンレートηは、ワームの種別に依存するが、スキャンレートηが低いワームは感染力が弱く、特定・規制処理を行わなくてもパッチやワクチンの開発を十分に行えるだけの時間的余裕がある。スキャンレートηが高いワームは感染力が強く、特定・規制処理が必要となる。

このような観点から、どのようなスキャンレートηを有するワームが出現した場合にも、０≦ｔ≦Ｔにおいて、Ｉ_ｔ≦εＮが満たされるよう、パラメタφ，ｍ^＊，Η^＊を設計することを考える（η＝ｍ／φであり、ｍ^＊に対応するη^＊も同時に設計される）。
特定閾値η^＊に対して、ｍ^＊＝φη^＊より定まる整数ｍ^＊を用いて特定処理が行われる。すなわち、特定閾値は１／φの粒度で丸め込まれるため、測定周期長φが大きなほど特定されるホストのスキャンレートηにおける粒度が細かくなり、ワーム感性ホストの特定・規制処理の精度が向上する。また、φ，ｍ^＊，Η^＊以外のパラメタは測定周期ごとに算出されるが、φが大きなほど、パラメタ更新に許容される計算時間の余裕が大きくなる。よって制約条件を満たすφの最大値をφに設定する。
また、システム全体で使用可能なメモリ量Ｂが一定であるため、ホワイトリスト（ＷＬ）のために要するメモリ量Ｂｗｌが小さなほど、Superspreader特定処理に使用できるメモリ量が増加し特定精度が向上する。
特定閾値η^＊が大きなほど、特定対象となるホスト数が減少するためメモリ量Ｂｗｌが減少する。さらに、特定閾値η^＊が大きなほど特定・規制対象となるホストが少数に限定されることから、正常ホストの誤特定による影響を抑えることができる。
以上のことから、特定閾値η^＊は大きなほど望ましい。−方で、特定閾値η^＊の増加は、見逃されるホスト数が増加することを意味するため、Ｉ_ｔの増加速度が高まる。よって、やはり制約条件を満たすη^＊の最大値をη^＊に設定する。
また、Η^＊が小さなほど、特定されるホスト数が減少するためメモリ量Ｂｗｌが減少するが、一方、やはり見逃されるホスト数が増加するためＩ_ｔの増加速度が高まる。よって制約条件を満たすΗ^＊の最小値をΗ^＊に設定する。

［仮定］
（１）着目するワームに感染したホストは、すべて、同一のスキャンレートηでスキャンを行う。ホストの処理能力を最大限、利用してスキャンを行うBandwidth limited型のワームのスキャンレートηが想定されるηの最大値となるが、ηの想定最大値をη_ｍａｘと表記し、η≦η_ｍａｘの任意のスキャンレートηを有するワームを対象とする。
（２）ネットワークの状態として、正常状態とワーム出現状態の二つを考える。ワーム感染ホスト特定法を、双方の状態において常時、適用する。任意のワーム検知方式によってワームの出現がネットワーク全体で検知された際に、正常状態からワーム出現状態に移行する。そして出現したワームに対するパッチやワクチンが開発された段階で、正常状態に復帰する。
（３）ワーム出現状態において特定された感染ホストに対しては、全パケットをフィルタリングする（quarantine）。ワーム検出時点（ｔ＝０）で既に感染しているＩ_０個のホストはホワイトリスト（ＷＬ）に収容されているため、以後、感染ホストとしての特定対象には含めない。

（４）時間を、長さがφの測定周期Фで離散化する。ある測定周期内で新たに感染したホストは、次の測定周期の開始点からスキャンを開始する。また、ある測定周期内で特定されたワーム感染ホストは、次の測定周期の開始点から規制される。
（５）ワームの出現が検知された後の最初の測定周期を測定周期０とし、その開始点における感染ホスト数をＩ_０とし、以後、制御周期ｋの開始時点における感染ホスト数をＪ_ｋ、さらにアクティブな感染ホスト（未特定でスキャンによる異常トラヒックを生成）数をＩ_ｋとする。Ｋ≡Ｔ／φと定義すると、０≦ｋ≦Ｋの任意のｋに対してＩ_ｋ＜εＮを満たすことを考える。
（６）ワーム感染ホストはランダムに生成したＩＰアドレスに対してスキャンを行う。該当ホストが実際に存在し、かつ着目ワームに対して脆弱であり、かつ未感染である場合にのみ、一つのスキャンに対して感染ホストが一つ増加する。一つのスキャンにおけるホストの感染確率をβとし、ＩＰ_Ｖ４を想定すると、β＝（Ｎ−Ｊ_ｋ）／２^３２となるが、感染初期ではＪ_ｋがＮと比較して十分に小さいので、β＝Ｎ／２^３２と近似する。

流体モデルを用いて、ワーム感染ホストによって生成されるスキャンの異常トラヒックをモデル化する。これは、伝染病の拡大といった感染が拡大する現象をモデル化する際によく用いられる手法であり、感染パターンに地理的依存性のない均一性が成立する場合にはよい近似を与える。必ずしも全てのワームがランダムに生成したアドレスに対してスキャンを行うとは限らないが、ランダムに行う場合には地理的依存性を無視することができ、ワーム感染ホストの拡大についても本モデルでモデル化が可能である。
ワーム感染ホストを特定・規制しない場合、ワーム感染拡大の初期段階における感染ホスト数Ｉ_ｋの離散時間モデルはＩ_ｋ＝（１＋βηφ）Ｉ_ｋ−１で与えられる。
スキャンレートがηのワーム感染ホストが一つの測定周期Φ内で特定される確率をΗ（η）とする。時刻ｋ＝０において特定されたＩ_０個のワーム感染ホストはホワイトリスト（ＷＬ）に登録されるため、感染ホスト特定処理期間中は特定されない。よって、Ｉ_ｋは、下記（４）式で表される。

この（４）式を解くと、Η（η）≠βηφのとき、Ｉ_ｋは、下記（５）式となり、Η（η）＝βηφのとき、Ｉ_ｋは、下記（６）式となる。

Superspreader特定方式では、η^＊＝ｍ^＊／φのホストが、確率Η^＊で特定されるよう、フローサンプルレートｒと特定判断閾値Ｙを設計する。Ｙは、１≦Ｙ≦ｍ^＊の範囲の整数値をとるが、実装メモリ量から特定精度が最適化するようＹが自動的に設計される。
以下、η≧η^＊と、η＜η^＊の場合にわけて考える。
［η≧η＊の場合］
（５）、（６）式より、Ｈ（η）が最小値をとるとき、ｋ≧０の任意のｋに対して、Ｉ_ｋは最大となる。Superspreader特定方式は、実装メモリ量とトラヒック量に応じて、η≧η^＊のホストの見逃し確率を最小化するように、Ｙとｒを動的に設定する。
Η（η）はＹに依存するが、η≧η^＊のときΗ（η）はＹの増加に伴い単調に増加するため、Ｙ＝１の場合に制約式を満たせば、任意のＹに対しても制約式を満たす。よって、Ｙ＝１の場合を考える。
Η（η）は、ｍを下記（７）として、下記（８）式で与えられる。

よって、Ｙ＝１のとき、Ｈ（η）＝１−（１−ｒ）^ｍとなるが、η＝η^＊のホストに対して、Ｈ＝Ｈ^＊となるようにパラメタ設計を行うため、１−ｒ＝（１−Ｈ^＊）^１／ｍ＊である。したがって、下記（９）式が得られる。

Η（η）＝βηφのとき、（６）式に（９）式を代入して、下記（１０）式が得られる。

よって、ηが最大値η_ｍａｘをとるとき、Ｉ_ｋは最大となるので、η＝η_ｍａｘの場合のみ考えればよい。
一方、Η（η）≠βηφのとき、（５）式に（９）式を代入して、下記（１１）式が得られる。
但し、ｚ≡βηφ＋（１−Η^＊）^η／η＊である。Η（η）≠βηφを想定しているので、ｚ≠１であるが、０≦ｚ＜１のとき、ｋの増加に伴いＩ_ｋは減少するため、ｋ＝０のときＩ_ｋは最大値Ｉ_０をとる。よって、Ｉ_０≦εＮであれば制約条件を満足する。

次に、ｚ＞１の場合について考える。ｆ（η）≡βηφ，ｇ（ｚ）≡（ｚ^ｋ−１）／（ｚ−１）とすると、ｆ（η）はη＝η_ｍａｘのとき最大値をとる。次に、ｇ（ｚ）について考える。明らかに、ｇ（ｚ）はｚが最大値をとるときに最大となる。

∂ｚ／∂ηは、（１２）式となるが、０＜Η^＊＜１なので、ηの増加に対して、∂ｚ／∂ηは単調に増加する。よって、ｚはηに対して下に凸であり、η^＊≦η≦η_ｍａｘの範囲において、ｚは、η＝η^＊もしくはη＝η_ｍａｘにおいて最大値を取りえる。
以上のことから、η＝η^＊とη＝η_ｍａｘの二つの場合を各々調べればよい。
［η＝η^＊における制約式］
Η^＊≠βη^＊φであり、ｚ＝βη^＊φ＋１−Η^＊＞１の場合を考えているので、（５）式より、Ｉ_ｋはｋの増加に伴い単調に増加するため、ｋ＝Ｋにおいて制約式を満たせばよい。 （５）式にη＝η^＊，Η（η）＝Η^＊，ｋ＝Ｋを代入して、下記（１３）式の制約式が得られる。

［η＝η_ｍａｘにおける制約式］
η＝η_ｍａｘのとき、ηはη^＊と比較して十分に大きいので、十分に小さい正の値δを用いて、Η（η）≧１−δと考えることができる。
但し、このとき、（９）式より、Η^＊は、下記（１４）式を満たす必要がある。

以後、Ｉ_ｋの上限を与えるΗ（η）＝１−δの場合を考える。βη_ｍａｘφ＋δ≠１のとき、（５）式に、η＝η_ｍａｘとΗ（η）＝１−δを代入して、下記（１５）式が得られる。

Ｉ_ｋは、ｋの増加に対して単調に増加するので、ｋ＝Ｋにおいて、Ｉ_Ｋ≦εＮを満たすことを考えればよい。よって、φに対する制約式が下記（１６）式で得られる。

一方、βη_ｍａｘφ＋δ＝１のとき、（６）式に、η＝η_ｍａｘと、Η（η）＝１−δを代入して、下記（１７）式が得られる。

やはり、Ｉ_ｋはｋの増加に対して単調に増加するので、ｋ＝ＫにおいてＩ_Ｋ≦εＮを満たすことを考えればよい。
Ｋ＝Ｔ／φ＝βη_ｍａｘＴ／（１−δ）に注意すると、下記（１８）式の制約式が得られる。

（１６）式を、φに関して数値的に解くことにより、与えられたδに対してφの許容最大値を得ることができる。（１８）式を満たすＩ_０の最大値をＩ^＊ _０とすると、β＝Ｎ／２^３２より、下記（１９）式が得られる。

（１５）式より、Ｉ_ｋはφの増加に対して単調に増加する。Ｉ_０＞Ｉ^＊ _０のとき、βη_ｍａｘφ＋δ≧１の範囲でφを設定すると、η^＊やΗ^＊の設定値とは無関係に、Ｉ_ｋが許容値εＮを超えるため、βη_ｍａｘφ＋δ＜１となるように、φを設定する必要がある。
βη_ｍａｘφ＋δ≧１のとき、感染レートが、η＝η_ｍａｘのワームによって、測定周期内で新たに増加する感染ホスト数が、感染ホストの特定・規制により減少する数よりも平均的に大きいが、そのような状況でもＩ_ｋ≦εＮを満たせるＩ_０の臨界値がＩ^＊ _０であると解釈することができる。
以上まとめると、φ^＊≡（１−δ）／（βη_ｍａｘ）と定義すると、Ｉ_０＞Ｉ^＊ _０のとき、（１６）式を満たすφの最大値をφ＜φ^＊の範囲で解き、Ｉ_０≦Ｉ^＊ _０のとき、（１６）式を満たすφの最大値をφ＞φ^＊の範囲で解くことによりφが設計できる。

［η＜η^＊の場合］
η＜η^＊のとき、Ｙの増加に伴い特定確率Η（η）は減少する。よって、Ｙが最大値ｍ^＊（ただしη^＊＝ｍ^＊／φ）のとき、Ｉ_ｋは最大となるため、Ｙ＝ｍ^＊の場合のみ考えれば十分である。
以下、［η≦（ｍ^＊−１）／φ］と、［（ｍ^＊−１）／φ＜η＜η^＊］の二つの場合に分けて考える。
［η≦（ｍ^＊−１）／φの場合］
Ｙ＝ｍ^＊のとき、Η（η）は、η＝η^＊において不連続な単位ステップ関数に近く、η≦（ｍ^＊−１）／φのとき、Η（η）＝０と近似できる。よって、（５）式より、下記（２０）式が得られる。

Ｉ_ｋは、ηの増加に伴い単調に増加するため、η＝（ｍ^＊−１）／φについてのみ考えればよい。また、Ｉ_ｋはｋの増加に対しても単調に増加するので、ｋ＝Ｋについてのみ考えればよい。
ｍ^＊は整数値のみをとることから、Ｉ_ｋ≦εＮと、（２０）式より、ｍ^＊の許容最大値が下記（２１）式で得られる。

［（ｍ^＊−１）／φ＜η＜η^＊の場合］
便宜上、０＜ρ＜１／φの範囲の値をとるパラメタρを導入すると、η＝（ｍ^＊−１）／φ＋ρと表すことができる。近似的に、ワーム感染ホストは一定の間隔１／ηでスキャンを行うと考えると、感染ホストは各測定期間Φ内に（ｍ^＊−１）回もしくはｍ^＊回のスキャンを行う。
ｍ^＊回のスキャンが実施される測定期間がｘ個の連続する測定周期ごとに出現すると考えると、下記（２２）式が成立する。

（２２）式を、ｘについて解くと、ｘ＝１／（φρ）が得られる。よって、着目ホストは、φρの割合の測定周期内で、ｍ^＊回のスキャンを、（１−φρ）の割合の測定周期内で（ｍ^＊−１）回のスキャンを行うと考えることができる。
着目ホストは、ｍ^＊回のスキャンを行った測定周期内で、確率Η^＊で特定され、（ｍ^＊−１）回のスキャンを行った測定周期内では全く特定されない。よって、長い時間で見たときの特定確率は、Η（η）＝φρΗ^＊となる。
（５）式に、η＝（ｍ^＊−１）／φ＋ρ、Η（η）＝φρΗ^＊を代入すると、下記（２３）式が得られる。

但し、Ｘ≡１−Η（η）＋βηφ＝１＋β（ｍ^＊−１）＋（β−Η^＊）φρである。
Ｘ＞１なので、Ｉ_ｋはｋの増加に伴い単調に増加する。よってｋ＝Ｋの場合のみを考える。ｋ＝Ｋのとき、下記（２４）式が得られ、（２４）式を、ρについて偏微分すると、下記（２５）式が得られる。

よって、β≧Η^＊のとき、０＜ρ＜１／φの範囲の任意のρに対して、∂Ｉ_Ｋ／∂ρ＞０となり、ρ→１／φのときＩ_Ｋは最大となる。
一方、β＜Η^＊のとき、∂Ｉ_Ｋ／∂ρは、ρの増加に対して単調に減少するが、∂Ｉ_Ｋ／∂ρ＝０を満たすρの解は、下記（２６）式となるため、０＜ρ＜１／φの範囲の任意のρに対しては、∂Ｉ_Ｋ／∂ρ＜０となる。よって、ρ→０のときＩ_Ｋは最大となる。
以上のことから、ρ＝０とρ＝１／φについて調べれば十分であるが、ρ＝０はη＝（ｍ^＊−１）／φに相当し既に調べた。またρ＝１／φはη＝η^＊に相当し、やはり既に調べた。

以上の考察から、η_ｍａｘ以下の任意のスキャンレートηを有するワームの出現が検出された時刻（ｋ＝０）の感染ホスト数がＩ_０であり、このワームに対するパッチやワクチンの生成に要する時間がＴであるとき、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉ_ｋ／Ｎ）を許容値ε以下に抑えるためには、以下の手順でφ，ｍ^＊，Η^＊の三パラメタを設計すればよい。
（１）φの設定
Ｉ_０＞Ｉ^＊ _０のとき、φ＜φ^＊の範囲で、Ｉ_０≦Ｉ^＊ _０のとき、φ＞φ^＊の範囲で、（１６）式を満たすφの最大値をφに設定
（２）ｍ^＊の設定
φの設定値を、（２１）式に代入して、ｍ^＊を設定（また、η^＊＝ｍ^＊／φに設定）
（３）Η^＊の設定
φとη^＊の設定値を、（１３）式と（１４）式に代入して得られる不等式を満たすΗ^＊の最小値をΗ^＊に設定

［パラメタ設計例］
以下、具体的なパラメタ設計例を示し、どのように三つのパラメタが設計されるかについて考察する。
Slammerのスキャンレートが約４０００／秒、脆弱な総ホスト数が約７５０００台であるとして、η_ｍａｘ＝４０００、Ｎ＝１０^５とした。また、パッチやワクチンの開発に要する時間をＴ＝８６４００秒（２４時間）とし、アクティブ感染ホスト数比率の許容値をε＝０.１とした。
三つのパラメタを設計するためには、η＝η_ｍａｘのホストの特定確率を定めるパラメタδを事前に与える必要がある。そこでまず、δが三つのパラメタの設計値に与える影響を調べる。
図２に、初期感染ホスト数Ｉ_０を１０もしくは１００とした場合の各々について、δを変化させたときの三つのパラメタの設計値を示す。ワームの感染レートが、η＝η_ｍａｘの場合に感染ホストの増加と規制による減少が釣合うφの値がφ^＊＝（１−δ）／（βη_ｍａｘ）であるが、φの設定値はδの全領域でφ^＊に近い。
そのため、δが１に近づくとφは急減するが、δが０．１程度より小さい場合にはほとんど一定となる。また、δの全領域で、δがη^＊に与える影響は小さい。
一方、Η^＊は、（１４）の制約式によりδの減少に伴い減少するが、δの全領域で小さな値をとるためSuperspreader特定処理にδが与える影響は小さい。
φは大きな方が望ましいためδを０.１程度より小さく設定するのが望ましいが、δ＜０.１の領域ではδの影響は無視できるといえる。そこで以後はδ＝０.０１に設定する。

このことから、できるだけ早期にワームの出現が検知でき、Ｉ_０を小さく抑えられるほど、規制対象とすべきワームの感染レートを大きくでき、正常ホストを誤って規制対象とするリスクを抑えることができる。
ところで、Ｉ_０がεＮに近い場合、ｍ^＊＝１となるが、それ以上、ｍ^＊を小さくすることができず、一方でφが急減するため、η^＊＝ｍ^＊／φであることからη^＊は急増する。またＮが大きなほどβが増加するため、ワームの感染速度が増大し、ｍ^＊とη^＊は減少する。
Η^＊を定める２つの制約式のうち（１３）式は、η＝η^＊のワームに対する制約条件から導出されたが、η＝η^＊−１／φのワームに対してはΗ（η）＝０として制約式を導出しているため、この制約式から定まるΗ^＊の下限値もゼロに近くなる。よって、Η^＊はほとんど（１４）式の第２の制約式で決まり、η^＊と同じ傾向を示す。

図５に、Ｙ＝１もしくはＹ＝７と強制的にＹを設定しワーム感染ホスト特定方式を適用した場合の、アクティブ感染ホスト数Ｉ_ｋの時系列を示す（With I&Q）。ただし、η＝３.５（左図）とη＝１００（右図）とした。比較のため、特定・規制処理を行わない場合（Without I&Q）についても示す。
提案パラメタ設定法を用いることで、Ｙやηの値にかかわらずＩ_ｋを低い値に抑え、０≦ｋ≦Ｋの任意のｋに対してＩ_ｋ≦εＮが満たされている。
また、図６に、特定されたホストも含めた総感染ホスト数Ｊ_ｋの時系列を同様に示す。感染ホストの多くを規制する結果、新たに感染するホスト数を抑えることができ、総感染ホスト数も大幅に抑えられることが確認できる。
以上説明したように、本発明によれば、フロー計測から得られたデータを用いて、ワームに感染したホストを特定し、規制することにより、ワームの感染拡大を抑えるという効果がある。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本
発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

本発明の実施例のワーム感染ホスト特定処理における最適値設定システムの概略構成を示すブロック図である。 本発明の実施例のワーム感染ホスト特定処理における最適値設定方法において、パラメタδが与える影響を示す特性図である。 本発明の実施例のワーム感染ホスト特定処理における最適値設定方法のパラメタ設計値の一例を示す図である。 本発明の実施例のワーム感染ホスト特定処理における最適値設定方法の特定曲線と感染ホスト数の時系列を示す図である。 本発明の実施例のワーム感染ホスト特定処理における最適値設定方法のアクティブ感染ホスト数の時系列を示す図である。 本発明の実施例のワーム感染ホスト特定処理における最適値設定方法の感染ホスト数の時系列を示す図である。

符号の説明

１０１ 設定条件入力装置
１０２ パラメタ設計装置
１０３ ワーム感染ホスト特定装置
１０４ ワーム感染ホストリスト
１０５ パケットフィルタ装置

Claims (6)

1. フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定し、当該特定したワーム感染ホストをワーム感染ホストリストに出力するワーム感染ホスト特定装置と、
   前記ワーム感染ホストリストに基づき、パケットのフィルタリングを実施するパケットフィルタ装置とを有するパケットフィルタリング方法であって、
   全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、前記ワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、
   前記ワーム感染ホスト特定装置におけるワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η ^＊ 、特定閾値における特定確率Η ^＊ の３つのパラメタの中で、
   ０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉ_ｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定することを特徴とするパケットフィルタリング方法。
2. 前記設定した測定期間長φに基づき、前記特定閾値η^＊に対する制約式から、前記特定閾値η^＊を設定することを特徴とする請求項１に記載のパケットフィルタリング方法。
3. 前記設定した測定期間長φ、および前記設定した特定閾値η^＊に基づき、前記特定確率Η^＊に対する制約式を満足する値の中で、最小の値を前記特定確率Η^＊として設定することを特徴とする請求項２に記載のパケットフィルタリング方法。
4. フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定し、当該特定したワーム感染ホストをワーム感染ホストリストに出力するワーム感染ホスト特定装置と、
   前記ワーム感染ホストリストに基づき、パケットのフィルタリングを実施するパケットフィルタ装置とを有するパケットフィルタリングシステムであって、
   前記ワーム感染ホスト特定装置におけるワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η^＊、特定閾値における特定確率Η^＊の３つのパラメタを設定するパラメタ設計装置を有し、
   全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、このワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、前記パラメタ設計装置は、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉ_ｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定することを特徴とするパケットフィルタリングシステム。
5. 前記パラメタ設計装置は、前記設定した測定期間長φに基づき、前記特定閾値η^＊に対する制約式から、前記特定閾値η^＊を設定することを特徴とする請求項４に記載のパケットフィルタリングシステム。
6. 前記パラメタ設計装置は、前記設定した測定期間長φ、および前記設定した特定閾値η^＊に基づき、前記特定確率Η^＊に対する制約式を満足する値の中で、最小の値を前記特定確率Η^＊として設定することを特徴とする請求項５に記載のパケットフィルタリングシステム。

Images