JP5242775B2 - 低速および／または分散型のスキャニングマルウェアに感染した企業ネットワークホストを識別するための方法およびシステム - Google Patents

Description

本発明は、一般に、ネットワーク化された通信の分野に関し、より詳細には、企業ネットワークにおける低速および／または分散型のスキャニングマルウェアに感染したホストを検出するための方法およびシステムに関する。

企業ネットワークは、コンピュータリソースが共有され、互いに接続される様々なビジネス、教育機関、政府機関、およびその他の組織において見られる。これらのネットワークは、所有者の知識および許可なしにネットワーク処理デバイスのリソースを使用するワームなどのマルウェアに感染しやすい。そのようなマルウェアは、感染したホストコンピュータが、そのネットワークに接続された他の企業ホストに、ときとして、スキャニングパケットと呼ばれるネットワークパケットを送信する自己複製のプロセスを介して、企業における様々なネットワークホストに広がる可能性がある。シグネチャベースの技術が、トラフィック異常方法とともに、修復アクションのためにマルウェアに感染したホストを識別するのに役立つように開発されている。シグネチャベースの方法は、ワームが検出および修復アクションを回避するようにシグネチャを変更することが非常に容易であるので、一般に、効果的でなく、さらにゼロデイ攻撃から保護しない。ときとして、ステルスワームと呼ばれる低速のスキャニングマルウェアは、所与の期間内にいくつかのスキャニングパケットだけしか送信しないことで動作し、高性能のステルスワームは、トラフィック異常分析による検出を回避するように実際のネットワークトラフィックに基づいて、スキャニングパケットの伝送レートを調整する。ストームマルウェアなどの高性能のステルスワームは、企業内で高度なスキャニング技術、および分散型のスキャニングを使用して、検出されることを回避する。

このタイプの低速の分散型のスキャニングマルウェアは、企業における２つ以上のホスト上に複製されると、感染したホストの間で企業ネットワークアドレス空間を分割し、各ホストが、ネットワークの異なるサブセットをスキャニングパケットで標的にする。このようにして、それぞれの感染したホストは、少数の隣接ホストだけしかスキャンしない可能性があり、その結果、既存の技術による検出がさらに回避される。したがって、低速のスキャニングマルウェア、および分散型および／または低速のスキャニングマルウェアは、新たな課題をもたらし、従来のマルウェア検出技術は、これらの悪意のあるプログラムに感染した企業ネットワークホストを識別することに関して概ね、効果的でない。

以下は、本発明の基本的な理解を容易にする本発明の１つまたは複数の態様の概要であり、この概要は、本発明の広範な概観ではなく、本発明のいくつかの要素を特定することも、本発明の範囲を線引きすることも意図してはいない。むしろ、この概要の主要な目的は、本発明のいくつかの概念を、後段で提示されるより詳細な説明に先立って簡略化された形態で提示することである。本開示の様々な態様は、企業ネットワークにおける低速および／または分散型のスキャニングマルウェアを識別することに特に有用性があり、ただし、後段で説明される概念は、ネットワーク内の様々な形態の悪意のあるソフトウェアを検出するため、または識別するために他の状況で使用されることも可能である。企業ネットワークは、しばしば、企業ファイアウォールの背後に位置しているが、低速のスキャニングマルウェアは、フラッシュＵＳＢメモリデバイス、電子メール添付ファイル、またはその他の手段などによって、ネットワーク上の１つまたは複数のホストに導入される可能性がある。感染したホストまたは複数のホストが、その後、マルウェアによって使用されて、他のネットワークホストを感染させるように自己複製を開始することが可能であり、本開示の対抗策がない場合、ネットワークにおける他のローカルホストを感染させようと試みるスキャニングパケットを送信する可能性がある。本明細書で開示されるシステムおよび方法は、企業ネットワークにおけるパケットトラフィックを監視して、マルウェアが、低速および／または分散型のスキャニング技術を使用する可能性があるにもかかわらず、マルウェアスキャニングパケットのいずれの特定のシグネチャ態様にも関係なく、感染したローカルホストを識別する、または検出するように、有利に実施されることが可能である。

本開示の１つまたは複数の態様によれば、低速および／または分散型のスキャニングマルウェアに感染していることが疑われる企業ネットワークホストを識別するための方法が、提供される。この方法は、現行測定期間内にそれぞれの所与のホストがパケットを送信または受信した企業ホストの現行測定期間リストを構築し、ならびに２つ以上の測定期間リストに基づいて統計を蓄積することを含む。これらの統計から、監視される１つまたは複数のホストに関するカウント値が導き出され、各カウント値は、それぞれの所与の監視されるホストがパケットを送信または受信した他のホストの数を示す。この方法は、このカウント値が閾値を超えた場合、監視される１つまたは複数のホストを、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別することを含む。このようにして、この方法は、異常に、または予想外に多数の他のホストと通信する企業ネットワークホストに低速の、スキャンする分散型のマルウェア感染が選択的に帰することができる。

現行測定期間リストは、いくつかの実施形態において、様々な仕方で、例えば、それぞれの所与のホストに関して、その所与のホストが現行測定期間内にパケットを送信した他のホストを示すファンアウトリストを作成することによって、またはそれぞれの所与のホストに関して、それぞれの所与のホストが現行測定期間内に受信したパケットの送信元の他のホストを示すファンインリストを作成することによって、構築されることが可能である。ローカルネットワークの実質的に完全なカバレッジが存在する場合、これら２つの技術のいずれかが使用されることが可能である。部分的なカバレッジ状況の場合、ファンアウトリスト５２ａをカウントすることが、範囲に含まれる感染したホストを検出することになるので、有利である。さらに、この方法の様々な実施形態は、有利には、電子メールサーバ、ウェブプロキシ、ＮＴＰサーバなどの役割をするホストなどの１つまたは複数の企業ホストを、監視されるホストから選択的に除外することを規定することが、これらのホストは、企業ネットワーク内の多数の隣接ホストにパケットを送信すること、およびそのような隣接ホストからパケットを受信することが通常に予期されるので、可能である。この方法は、監視されるホストに関するカウント値の平均に少なくとも部分的に基づいて、閾値を計算することをさらに含むことが可能である。通常、ファンインおよびファンアウトを常に把握しておくことは、計算およびストレージを多く使用する（スイッチ上のリソースの点で）可能性があるが、説明される実施形態は、有利には、アドレス空間が、それぞれが単一のビットを要求する数千に過ぎない、サブネット内のＩＰアドレスを追跡する。また、このアプローチは、処理を単純化し、ネットワーク要素は、単にサブネットマスクを使用して、関心対象のビットを抽出することが可能である。

本開示の他の態様は、現行測定期間内にそれぞれの所与のホストがパケットを送信または受信した企業ホストの現行測定期間リストを構築し、ならびに２つ以上の測定期間リストに基づいて統計を蓄積することを含む、低速および／または分散型のスキャニングマルウェアに感染していることが疑われる企業ネットワークホストを識別するための方法を提供する。この方法は、監視される１つまたは複数のホストに関する蓄積された統計から、それぞれの所与の監視されるホストがパケットを送信または受信した他のホストの数の変化をそれぞれが示すカウント変化値を導き出すこと、およびカウント変化値が変化閾値を超えた、監視される１つまたは複数のホストを、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別することをさらに含む。

本開示のさらなる態様によれば、低速および／または分散型のスキャニングマルウェアに感染していることが疑われる企業ネットワークホストを識別するためのシステムが、提供される。このシステムは、企業ネットワークに動作可能に結合され、現行測定期間内にそれぞれの所与のホストがパケットを送信または受信した企業ホストの現行測定期間リストを構築するように動作するネットワーク要素、ならびにこのネットワーク要素からの２つ以上の測定期間リストに基づいて統計を蓄積させるように動作するマルウェア検出構成要素を含む。マルウェア検出構成要素は、監視される１つまたは複数のホストに関する蓄積された統計からカウント値を導き出す分析構成要素を含み、各カウント値は、それぞれの所与の監視されるホストがパケットを送信または受信した他のホストの数を示す。この分析構成要素は、カウント値が閾値を超えた、監視される１つまたは複数のホストを、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別するようにさらに動作する。一実施形態において、ネットワーク要素は、企業スイッチであることが可能であり、マルウェア検出構成要素は、このネットワーク要素に動作可能に結合された企業管理ステーションにおいて実施されることが可能である。いくつかの実施形態におけるネットワーク要素は、現行測定期間リストをファンアウトリストまたはファンインリストとして作成するように動作し、さらに分析構成要素は、監視されるホストに関するカウント値の平均に少なくとも部分的に基づいて、閾値を計算することが可能である。さらに、様々な実施形態において、分析構成要素は、企業内の多数の他のホストを相手にネットワークパケットを交換することが通常に予期される電子メールサーバ、ウェブプロキシ、ＮＴＰサーバなどの役割をするホストなどの１つまたは複数の企業ホストを、監視されるホストから選択的に除外する。

以下の説明および図面は、本発明の原理が実行されることが可能な、いくつかの例示的な仕方を示す、本発明のいくつかの例示的な実施形態を詳細に示す。本発明の様々な目的、利点、および新規の特徴が、図面と併せて考慮される場合、本発明の以下の詳細な説明から明白となろう。

本開示の１つまたは複数の態様による、企業ネットワークが、いくつかのホストコンピューティングデバイスを互いに接続しており、さらに企業スイッチと、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるホストを識別するマルウェア検出システム構成要素を有して構成された、関連する企業管理ステーションとを含んでいる例示的な企業を示す概略システムレベル図である。 本開示による例示的なマルウェア検出システム構成要素のさらなる詳細を示す概略図である。 本開示のさらなる態様による企業ネットワークパケットの測定、および現行測定期間リストの構築を示す流れ図である。 本開示による例示的な現行測定期間リストを示す概略図である。 本開示のさらなる態様による、統計を蓄積すること、ならびにその統計から導き出されたカウント値と、監視されるホストに関するカウント値の平均に基づいて計算された閾値とを使用して、疑われる企業ホストを選択的に識別することを示す流れ図である。 本開示の他の態様による、監視されるホストに関するカウント変化値を使用して、疑われる企業ホストを識別することを示す流れ図である。 ２つのネットワークホストが低速および／または分散型のスキャニングマルウェアに感染している状況における、監視されるホスト、および除外されたホストに関するファンアウト測定期間リストから蓄積されたカウント値を含む、図１の企業ホストに関する蓄積された統計の例示的なセットを示す概略図である。 図６のカウント値を、監視されるホストに関するカウント値の平均に基づいて計算された閾値と一緒に示すグラフである。 監視されるホスト、および除外されるホストに関するファンイン測定期間リストから蓄積されたカウント値を含む蓄積された統計の別の例示的なセットを示す概略図である。 図８のカウント値を、監視されるホストカウント値平均に基づいて計算された閾値と一緒に示すグラフである。 第３のホストが感染し、分散型のスキャニングに加わった状況における、監視されるホスト、および除外されたホストに関するファンアウト測定期間リストから蓄積されたカウント値の更新されたセットを示すグラフである。

本開示の様々な態様のいくつかの実施形態または実施例が、同様の参照符号が同様の要素を指すのに使用される、図面に関連して以下に例示され、説明される。ビジネス、教育機関、政府機関、あるいは以上の下位区分または組合せであることが可能であり、企業ネットワーク１０、２０を含む例示的な企業２が図１に示される。例示的な実施形態において、企業ネットワークは、ルータ１４を介して動作可能に結合された一次ネットワーク部分１０とサブネット２０を含み、さらに関連する企業管理ステーション２６を有するエッジスイッチ１６を含む。１つの適切なエッジスイッチは、Ａｌｃａｔｅｌ−Ｌｕｃｅｎｔ ＯｍｎｉＳｗｉｔｃｈ Ｓｅｒｉｅｓエッジスイッチである。ネットワーク１０、２０は、スイッチ１６、または他の構成要素を介して、インターネット４などの１つまたは複数の外部ネットワークに動作可能に結合されることが可能であり、さらに任意の数の一次部分およびサブネット部分を含むことが可能である。さらに、企業ネットワーク１０、２０は、互いに様々な信号、メッセージ、パケットなどを交換するために１つまたは複数の有線接続および／または無線接続を介して互いに通信するように結合された、任意の数の動作可能に互いに接続されたコンピューティングデバイスを含み、本開示の様々な態様を不明瞭にしないように、いくつかのデバイスおよび相互接続だけが示されている。これらは、ネットワークホストコンピューティングデバイスまたはノードＮとして示され、１０個のそのようなノードＮ０−Ｎ９が図１に示されるが、本開示は、任意の整数のノードまたはホストを有する企業ネットワークにおいて実施されることが可能である。図１に示される企業例は、電子メールサーバＮ０、ウェブプロキシＮ１、およびＮＴＰサーバＮ２を含む企業サーバとして機能する様々なノードを含む。さらに、この事例ではユーザコンピュータである、様々な汎用ホストＮ３−Ｎ９が、ネットワーク１０、２０に結合され、これらのホストＮ３−Ｎ９のうち２つ、Ｎ４およびＮ７が図面において円で囲まれて、これらの２つのホストが、企業２における他のホストを感染させようと試みるように低速および／または分散型のスキャニングを使用するマルウェアに感染している例示的なシナリオを示す。本開示によれば、企業スイッチ１６および／または管理ステーション２６は、低速および／または分散型のスキャニングマルウェアに感染していることが疑われる企業ネットワークホストＮを識別するマルウェア検出構成要素３０、３０ａを備える。

やはり図２を参照すると、可能な１つの実施形態において、企業スイッチ１６が、ファンアウトリスト５２ａおよび／またはファンインリスト５２ｂを含むことが可能な現行測定期間リスト５０を構築し、さらに企業管理ステーション２６におけるマルウェア検出構成要素３０が、疑われるホストＮのリスト８０を作成する蓄積された統計５４の分析を可能にする。他の実施形態において、マルウェア検出構成要素３０ａが、企業スイッチ１６の中に含められることも可能であり（図１に示されるとおり）、あるいはマルウェア検出システムが、企業２の任意のネットワーク要素において実施される、または企業ネットワーク１０、２０に動作可能に結合された２つ以上の要素において分散されて実施されることも可能である。

図２の例におけるスイッチ１６および管理ステーション２６は、低速および／または分散型のスキャニングマルウェアに感染していることが疑われる企業ネットワークホストＮ４およびＮ７を識別するための例示的なシステムを構成する構成要素を含む。さらに、マルウェアシステム構成要素は、一体型であるか、分散されて実施されるかにかかわらず、本明細書で説明される様々な機能が、ネットワーク１０、２０を有する企業２において実行されることが可能な、任意の適切なハードウェア、ソフトウェア、ファームウェア、ロジック、または他の形態として実施されることが可能である。さらに、マルウェア検出／識別システム構成要素は、様々なメッセージ、パケット、信号、データなどが、任意の適切なメッセージングプロトコルに準拠して送受信される、有線であれ、無線であれ、有線と無線の組合せであれ、企業２における任意の形態、タイプ、およびトポロジのネットワークにおいて実施されることが可能であり、このネットワークは、様々なネットワーク化された構成要素へのメッセージ、そのような構成要素からのメッセージ、またはそのような構成要素間のメッセージが、パケットにセグメント化される、または分割されることが可能であり、さらに１つまたは複数の層が、別の層からのペイロード部分の周囲に或る制御情報を追加して、カプセル化されたパケットまたはメッセージを形成することができる任意の適切な多層スキーム（例えば、ＯＳＩ基本参照モデル、またはこのモデルから派生したモデルもしくは変種）に従って運用されることが可能である。これに関して、本明細書で使用されるパケットは、或る所与の層または複数の層の中でネットワーク１０、２０を介して送信されるすべての形態のフレーム、データパケットなどを包含することを意図している。

図１および図２の実施形態における例示的なマルウェア識別システムは、現行測定期間内にそれぞれの所与のホストＮがパケットを送信または受信した企業ホストＮの現行測定期間リスト５０を構築するように動作するネットワーク１０、２０上のスイッチネットワーク要素１６を含む。可能な１つの実施形態において、リスト５０は、それぞれの所与のホストＮに関して、その所与のホストＮが現行測定期間内にパケットを送信した他のホストＮを示すファンアウトリスト５２ａとして構築される。別の可能な実施形態は、それぞれの所与のホストＮに関して、それぞれの所与のホストＮが現行測定期間内に受信したパケットの送信元の他のホストＮを示すファンインリスト５２ｂを作成することを含む。さらに、例示される実施形態において、エッジスイッチ１６は、理想的には、スイッチ１６が、ネットワーク１０、２０上のホストＮの間で転送される各パケットを追跡することができるので、一例において、約１０分などの、所与の測定期間内にこれらのリスト５０の１つまたは複数を作成することに適している。また、システムは、スイッチ１６からの２つ以上の測定期間リスト５０に基づいて統計５４を蓄積するマルウェア検出構成要素３０も含む。例えば、スイッチ１６は、各測定間隔または各測定期間の後、企業管理ステーション２６の構成要素３０を現行測定期間リスト５０で更新することが可能であり、これらの測定期間は、一様でなくてもよく、測定期間の長さは、本開示の範囲内で変更されることが可能である。

やはり図３および図４を参照すると、図３は、企業ネットワーク１０、２０におけるパケットの測定、および現行測定期間リストの構築を示す流れ図１００を示し、図４は、本開示による、図１の企業スイッチ１６によって構築された例示的な現行測定期間リスト１５０を示す。図３に示されるとおり、スイッチ１６は、１０２で、現行測定期間にわたって各ホストに関してリストを構築し、その後、検出構成要素３０の統計５４を現行測定期間リスト１５０で更新する。リスト１５０は、その後、１０６でクリアされ、次の測定期間が１０８で始まり、このプロセスが繰り返されることが可能である。

図４に示されるとおり、例示的な現行測定期間リスト１５０は、企業２における各受信側ノードＮ０−Ｎ９に関して、その受信側ノードが現行測定期間内に各列の一番上に示される近隣ホストからパケットを受信しなかった場合、「０」を示すリスト（行）を示し、代替として、受信側ホストノードが、列に示されるホストから１つまたは複数のパケットを受信している場合、「１」を示す。この実施形態において、リスト１５０の各行は、受信側ホストが現行測定期間内に受信したパケットの送信元の他のホストＮを示すファンインリスト５２ｂを提供する。また、例示的なリスト１５０の列は、それぞれの所与のホストＮに関して、その所与のホストＮが現行測定期間内にパケットを送信した他のホストＮを示すファンアウトリスト５２ａを構成する。図４は、感染したホストＮ４およびＮ７が企業２において分散型のスキャニングを実行している状況を示し、図４で円に囲まれた「１」１５１によって示されるとおり、ホストＮ４が、ノードＮ０−Ｎ３およびＮ５にスキャニングパケットを送信し、これらのノードＮ０−Ｎ３およびＮ５から応答パケットを受信している一方で、ノード７は、ノードＮ６、Ｎ８、およびＮ９にスキャニングパケットを送信し、これらのノードＮ６、Ｎ８、およびＮ９から応答パケットを受信している。さらに、図４に示されるとおり、企業２における複数のホストＮは、マルウェア構成要素３０において「ホワイトリスト」７０に含められる、電子メールサーバ、ウェブプロキシ、またはＮＴＰサーバの役割をするホストＮ０−Ｎ２と、この例では、「監視されるホスト」Ｎ３−Ｎ９である残りのホストノードに分けられることが可能である。

次に図２および図５Ａ−図７を参照すると、例示的な検出構成要素３０が、スイッチ１６からの現行測定期間リスト５０に基づいて統計５４を蓄積する分析構成要素６０を含む。これらの統計５４を蓄積することは、所与の行に関して現行測定期間リスト１５０からの「１」を足し、この結果を、監視される複数のホストＮのそれぞれに関する累積カウント値に足すことなどの、１つまたは複数の数学操作を含むことが可能である。図６および図７は、分析構成要素６０が、監視される１つまたは複数のホストＮ３−Ｎ９に関する蓄積された統計５４からカウント値２５１ａを導き出し、各カウント値２５１ａが、それぞれの所与の監視されるホストＮ３−Ｎ９が、測定期間の２つ以上に相当する或る期間にわたってパケットを送信した他のホストＮの数を示している、スイッチ１６からのファンアウトデータ５２ａに基づく蓄積された統計２５０ａの例を示す。蓄積された統計は、代替として、Ｋが１より大きい正の整数である、最新の整数Ｋ個の測定期間の移動和を実行することなどによって、最新のいくつかの測定期間に基づくことも可能である。変化のレートを計算すること、積分、平均、フィルタリングなどの、他の数学操作が統計５４を蓄積することにかかわることも可能である。

蓄積された統計５４に基づいて、分析構成要素６０は、監視される１つまたは複数のホストＮ３−Ｎ９を、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別するように動作する。これに関して構成要素６０は、そのように感染していることが疑われるホストＮを示すリスト８０（図２）を構築することができる。一例において、分析構成要素６０は、容疑者Ｎ４およびＮ７を、カウント値２５１ａが閾値ＴＨを超えた企業ホストとして識別する。図７のグラフ２６０が、予想外に高いカウント値が見られるホストノードを識別し、したがって、低速および／または分散型のスキャニングマルウェアを複製するようにスキャニングをおそらく行っているホストＮ４およびＮ７を識別するように、監視されるホストＮ３−Ｎ９のカウント値の平均にオフセットを足した値に閾値ＴＨが設定される、図６のファンアウトカウント値２５１ａに基づく例を与える。これに関して、閾値ＴＨおよび分析は、監視されるいくつかのホストＮ３−Ｎ９に関してだけ選択的に行われ、それによって、例えば、図２のホワイトリスト７０の中でリストアップされるノードを除外することによって、容疑者リストから１つまたは複数の企業ホストＮ１−Ｎ３を除外することが可能である。図６および図７の説明される例において、ホストＮ４およびＮ７が、予想されるより高いカウント値２５１ａ（図７の閾値ＴＨを超える）を示し、このため、マルウェアに感染していることが疑われて、図２の疑われるホストリスト８０の中にリストアップされる。

本開示の様々な態様は、ソフトウェアの点で、またはアルゴリズムの点で、および／または当業者が自らの作業の内容を伝えるコンピュータメモリ内のデータビットに対する操作の記号表現の点で例示され、説明される。このため、説明される構成要素３０、６０などのアルゴリズム、スクリプト、計算、およびその他の操作は、所望される結果をもたらすプログラミングされたソフトウェアコードまたは他のプログラミングもしくは構成を介する、コンピュータによって実施されるステップとして実施されることが可能であり、そのようなステップは、コンピュータメモリ内の格納されたメモリの状態などの物理的な量の操作または変換を含む。特に、いくつかの実施形態は、ネットワーク１０、２０に送信された、またはネットワーク１０、２０から受信されたデータおよびパケットを操作する、電子メモリの中に格納された、プログラミングされたコンピュータ実行可能命令に従って動作するソフトウェア構成要素を含むことが可能であり、そのようなデータも同様に、少なくとも或る期間にわたって電子メモリの中に格納されることが可能であり、本明細書で説明されるパケットおよびデータは、限定なしに、格納され、転送され、組み合わされ、比較され、さらにそれ以外で操作されることが可能である光信号、電気信号、または磁気信号を含む任意の適切な形態であることが可能であり、さらにこれらの信号は、ビット、値、要素、シンボル、文字、項、数などの様々な用語で呼ばれることも可能である。

これに関して、特に明記しない限り、または説明から明白であるとおり、「処理すること」または「算出すること」または「計算すること」または「決定すること」または「表示すること」などの用語は、コンピュータシステムのレジスタおよびメモリの中の物理的な、電子的量として表されるデータを操作して、コンピュータシステムメモリもしくはコンピュータシステムレジスタ、あるいは他のそのような情報格納デバイス、情報伝送デバイス、または情報表示デバイスの中の物理的な量として同様に表される他のデータに変換するコンピュータシステム、または類似する電子コンピューティングデバイスのアクションおよびプロセスを指す。さらに、本開示の様々なソフトウェアによって実施される態様は、通常、何らかの形態のプログラム記憶媒体上に符号化される、または何らかのタイプの伝送媒体を介して実施される。このプログラム記憶媒体は、磁気型（例えば、フロッピー（登録商標）ディスクもしくはハードディスク）または光学型（例えば、コンパクトディスク読取り専用メモリ、つまり、「ＣＤ ＲＯＭ」）であることが可能であり、さらに読取り専用型であっても、ランダムアクセス型であってもよい。同様に、伝送媒体は、より対線、同軸ケーブル、光ファイバ、または当技術分野で知られている他の何らかの適切な伝送媒体であることが可能である。本開示は、いずれの所与の実施形態の、これらの態様によっても限定されない。

この実施形態における分析構成要素６０は、概ね、図５Ａに例示される方法２００を説明する流れ図に従って動作する。例示的な方法２００、およびその他の方法は、一連の動作またはイベントの形態で以下に例示され、説明されるものの、本開示の様々な方法は、そのような動作またはイベントの例示される順序によって限定されないことが認識されよう。これに関して、以降、特に明記される場合を除き、一部の動作またはイベントは、本開示に従って本明細書で例示され、説明されるのとは異なる順序で、および／または他の動作またはイベントと同時に行われることも可能である。例示されるすべてのステップが、本開示によるプロセスまたは方法を実施するのに要求されるわけではなく、さらにそのような動作の１つまたは複数は、組み合わされてもよいことにさらに留意されたい。本開示の例示される方法、およびその他の方法は、本明細書で例示され、説明されるマルウェア検出態様をもたらすために、ハードウェアで、ソフトウェアで、またはハードウェアとソフトウェアの組合せで実施されることが可能である。

図５Ａの２０２で、構成要素６０は、オプションとして、企業における多数のホストノードＮと通常に通信することが予期される企業サーバ（例えば、図１の例における電子メールサーバＮ０、ウェブプロキシＮ１、および／またはＮＴＰサーバＮ２）を識別する例外リストまたは除外リスト（例えば、前出の図２におけるホワイトリスト７０）を作成してもよい。２０４で、分析構成要素６０は、現行測定期間リスト（例えば、図４のリスト１５０）を統計（図６の統計２５０ａ）に組み込み、次に２１０で、疑われるマルウェアホストを選択的に識別する。２１２で、分析構成要素６０は、オプションとして、監視されるホストのセットからホワイトリスト７０（図１）上のホストＮ０−Ｎ２を除外してもよい。

２１４で、構成要素６０は、所与の監視されるホストがパケットを送信または受信した他のホストの数を示す、監視される１つまたは複数のホストＮ３−Ｎ９に関する蓄積された統計２５０ａからのカウント値２５１ａを導き出し、さらに、オプションとして、２１６で、監視されるホストＮ３−Ｎ９に関するカウント値２５１ａの平均に少なくとも部分的に基づいて閾値ＴＨを計算する。このため、図６および図７のファンアウト例では、閾値ＴＨは、図６における監視されるホストＮ３−Ｎ９のカウント値２５１ａの平均（５．４３）にオフセット（図７における約０．５）を足した値として算出される。他の実施形態において、オフセットは、０であることが可能である。閾値が、好ましくは、本当に感染したホストをその他のホストから区別しながら、偽陽性の可能性を減らすように、他の式を介して計算され、ただし、ホワイトリスト７０の使用が、トラフィックパターンが多数の隣接ホストを含むことが知られているホストを排除することに役立つ、さらなる実施形態が可能である。さらに他の実施形態において、所定の閾値ＴＨが使用されることが可能である。２１８で、分析構成要素６０が、カウント値２５１ａが閾値ＴＨを超えた、監視されるホストＮの１つまたは複数を、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別し、さらにこれらのホストＮを疑われるホストリスト７０（図１）に追加する。図６および図７の説明される例では、ホストＮ４およびＮ７が、そのようにして、容疑者として識別される（例えば、Ｎ４およびＮ７に関するカウント値９および１２がそれぞれ、閾値ＴＨを超える）。

次に図８および図９を参照すると、蓄積された統計２５０ｂがファンインデータ５２ｂに基づいて集計され、さらに分析構成要素６０が、監視されるホストＮ３−Ｎ９のそれぞれに関して、その所与の監視されるホストＮが受信したパケットの送信元の他のホストＮを示すカウント値２５１ｂ（図８）を導き出す別の例が示される。図９のグラフ２８０で見られるとおり、この実施形態における分析構成要素６０は、図５Ａの２１８で、カウント値２５１ｂが閾値ＴＨを超えた、監視される１つまたは複数のホストＮ４およびＮ７を、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別する。

図１０は、感染したホストＮ４またはＮ７のいずれかが、マルウェアを複製して、ホストＮ９を感染させることに成功した、更新された状況（ファンアウトデータを使用する）を示す。図１０のグラフ２９０に見られるとおり、この更新された統計は、ホストＮ９に関するカウント値が、現時点で、閾値ＴＨを超えていることを示し、その結果、分析構成要素６０が、ホストＮ４、Ｎ７、およびＮ９におけるマルウェアは、これらのホストＮ４、Ｎ７、およびＮ９の間で事実上、実質的に一様にスキャニングを効果的に分割しているものの、これらの企業ホストのそれぞれに関するカウント値が閾値ＴＨを超えているので、ホストＮ４、Ｎ７、およびＮ９を、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして識別する。

図５Ｂは、パケットトラフィックの変化を精査して、企業２における感染している可能性があるホストが識別される、別の可能な実施形態を示す。この例における分析構成要素６０は、この場合も、オプションとして、２０２で例外リストまたはホワイトリストを作成し、２０４で、企業ホストに関する蓄積された統計に現行測定期間リストを組み込む。次に２１２で、企業サーバの１つまたは複数が、オプションとして、監視されるホストのセットから除外される。この実施形態において、分析構成要素６０は、２２０で、カウント変化値を導き出し、ただし、各カウント変化値は、それぞれの所与の監視されるホストＮがパケットを送信または受信した他のホストＮの数の変化を示す（この実施形態は、前述した実施形態の場合と同様に、ファンインデータまたはファンアウトデータを使用することができる）。２２２で、次に分析構成要素６０は、カウント変化値が変化閾値ΔＴＨを超えた、監視される１つまたは複数のホストＮを、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別する。

本発明は、１つまたは複数の例示的な実施例または実施形態に関連して例示され、説明されてきたものの、本明細書、および添付の図面を読み、理解すると、当業者には均等の代替形態および変形形態が思い浮かべられよう。特に、前述した構成要素（アセンブリ、デバイス、システム、回路など）によって実行される様々な機能に関して、そのような構成要素を説明するのに使用される用語（「手段」への言及を含め）は、特に明記しない限り、本発明の本明細書で説明される例示的な実施形態における機能を実行する、開示される構造と構造上、均等でないとしても、説明される構成要素の指定された機能を実行する（すなわち、機能上、均等である）任意の構成要素に対応するものとされる。さらに、本発明の特定の特徴は、いくつかの実施形態のうち１つだけの実施形態に関連して説明されている可能性があるものの、そのような特徴は、任意の所与の用途、または特定の用途に関して所望され、有利であり得るとおり、その他の実施形態の他の１つまたは複数の特徴と組み合わされてもよい。また、「含んでいる」、「含む」、「有している」、「有する」、「伴う」という用語、または以上の変種が、詳細な説明において、および／または特許請求の範囲において使用される限りで、そのような用語は、「備える」という用語と同様に包含的であるものとされる。

Claims (10)

1. 低速および／または分散型のスキャニングマルウェアに感染していることが疑われる企業ネットワークホストを識別する方法であって、
   ある測定期間内にそれぞれの所与のホストがパケットを送信または受信した企業ホストの測定期間リストを構築し、
   測定期間リストからカウント値を導き出し、各カウント値が、測定期間内にそれぞれの所与の監視されるホストがパケットを送信または受信した他のホストの数を示すこと、
   ２つ以上の測定期間リストに基づいてそれぞれの所与の監視されるホストのカウント値を蓄積して累積カウント値を得ること、および
   累積カウント値が閾値を超えた、監視される１つまたは複数のホストを、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別することを含む、方法。
2. 測定期間リストを構築することが、それぞれの所与のホストに関して、その所与のホストが測定期間内にパケットを送信した他のホストを示すファンアウトリストを作成することを含む、請求項１に記載の方法。
3. 測定期間リストを構築することが、それぞれの所与のホストに関して、それぞれの所与のホストが測定期間内に受信したパケットの送信元の他のホストを示すファンインリストを作成することを含む、請求項１に記載の方法。
4. 監視されるホストに関するカウント値の平均に少なくとも部分的に基づいて、閾値を計算することをさらに含む、請求項１に記載の方法。
5. 監視されるホストから１つまたは複数の企業ホストを選択的に除外することをさらに含む、請求項１に記載の方法。
6. 監視されるホストから１つまたは複数の企業ホストを選択的に除外することが、電子メールサーバ、ウェブプロキシ、またはＮＴＰサーバの役割をする１つまたは複数のホストを除外することを含む、請求項５に記載の方法。
7. 低速および／または分散型のスキャニングマルウェアに感染していることが疑われる企業ネットワークホストを識別するためのシステムであって、
   企業ネットワークに動作可能に結合され、ある測定期間内にそれぞれの所与のホストがパケットを送信または受信した企業ホストの測定期間リストを構築するように動作するネットワーク要素と、
   ネットワーク要素からの測定期間リストからカウント値を導き出し、各カウント値が測定期間内にそれぞれの所与の監視されるホストがパケットを送信または受信した他のホストの数を示し、２つ以上の測定期間リストに基づいてそれぞれの所与の監視されるホストのカウント値を蓄積して累積カウント値を得るように動作するマルウェア検出構成要素とを備え、
   マルウェア検出構成要素が、累積カウント値が閾値を超えた、監視される１つまたは複数のホストを、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別するように動作する分析構成要素を備える、システム。
8. ネットワーク要素が企業スイッチである、請求項７に記載のシステム。
9. マルウェア検出構成要素が、ネットワーク要素に動作可能に結合された企業管理ステーションにおいて実施される、請求項７に記載のシステム。
10. 低速および／または分散型のスキャニングマルウェアに感染していることが疑われる企業ネットワークホストを識別する方法であって、
    ある測定期間内にそれぞれの所与のホストがパケットを送信または受信した企業ホストの測定期間リストを構築し、
    測定期間リストからカウント値を導き出し、各カウント値が測定期間内にそれぞれの所与の監視されるホストがパケットを送信または受信した他のホストの数を示すこと、
    ２つ以上の測定期間リストに基づいてそれぞれの所与の監視されるホストのカウント値を比較してカウント変化値を得ること、および
    カウント変化値が変化閾値を超えた、監視される１つまたは複数のホストを、低速および／または分散型のスキャニングマルウェアに感染していることが疑われるとして選択的に識別することを含む、方法。

Images