JP6740379B2 - ボットマスター発見システムおよび方法 - Google Patents

Description

本開示は、一般にサイバー脅威の検知、特にサイバー脅威のボットマスターの発見に関する。

連携して機能する複数のコンピューターシステムで構成されるボットネットが知られている。ボットネットは、合法の目的のために存在することもあるが、不正な目的のために用いられることが多く、ボットネットの各コンピューター資源が悪質なコードに感染している可能性がある。ボットマスターは、ボットネットの一部である他の複数のコンピューターシステムを統制するコンピューターである。攻撃された複数のコンピューターシステム群およびボットマスターを発見できることが望ましい。

図１は、高次の攻撃者グループの例を示す図である。 図２は、ボットマスター発見プロセスを示す図である。 図３は、ボットマスター発見システムおよび装置の実施態様を示す図である。 図４は、ボットマスター発見システムおよび装置のボットマスター発見構成要素のさらなる詳細を示す図である。 図５は、ボットマスター発見プロセスの別の実施態様を示す図である。 図６Ａは、ボットマスター発見プロセスの一部であるドメイン‐ＩＰクラスタリングプロセスのさらなる詳細を示す図である。 図６Ｂは、ボットマスター発見プロセスの一部であるドメイン‐ＩＰクラスタリングプロセスのさらなる詳細を示す図である。 図７Ａは、ボットマスター発見プロセスの一部であるフロー整合分析プロセスのさらなる詳細を示す図である。 図７Ｂは、ボットマスター発見プロセスの一部であるフロー整合分析プロセスのさらなる詳細を示す図である。 図８Ａは、ボットマスター発見プロセスの一部であるボットマスター検知プロセスのさらなる詳細を示す図である。 図８Ｂは、ボットマスター発見プロセスの一部であるボットマスター検知プロセスのさらなる詳細を示す図である。 図９は、検知されたボットマスターを示す概念実証（Proof Of Concept：ＰＯＣ）ユーザーインターフェイスを示す図である。

本開示は、実施態様のボットマスター発見システムおよび方法に特に適用可能であり、この状況において本開示について説明する。ただし、本システムおよび方法は本開示の範囲内において他の方法で実施可能であるため、より広範な有用性を有すると理解されるであろう。

図１は、以下に述べるように、本システムおよび方法が発見しうる高次の攻撃者グループ１００の例を示す図である。攻撃者グループ１００は、攻撃者グループの不正行為を実行するために、１つ以上の被害者コンピューター１０８を統制しうる１つ以上のコマンドアンドコントロール（Command and Control：Ｃ＆Ｃ）コンピューター１０６が受信しうる通常のインターネットプロトコル（Internet Protocol：ＩＰ）トラフィック１０２を受信してもよい。各被害者コンピューター１０８は、コンピューターシステムのユーザー／所有者に知られずに、攻撃者グループが統制しているコンピューターシステムである。攻撃者グループは、１つ以上のＣ＆Ｃ１０６に結合されうる１つ以上の関連づけられたＣ＆Ｃコンピューターシステム１１０を有してもよい。１つ以上のＣ＆Ｃ１０６および１つ以上の関連づけられたＣ＆Ｃ１１０は、被害者コンピューター１０８を統制する／感染させるように機能してもよい。

さらに、攻撃者グループ１００は、各Ｃ＆Ｃ１０６，１１０に結合されたマスターコンピューター１０４（ボットマスターと呼ばれることもある）をさらに備えてもよく、マスターコンピューター１０４はＣ＆Ｃ１０６，１１０のそれぞれを統制する。以下に述べる本システムおよび方法は、以下に述べるように、さまざまなエンティティーデータソースを使用してＣ＆Ｃ１０６，１１０のそれぞれおよびマスターコンピューター１０４を発見するために用いてもよい。

図２は、１つ以上のホストコンピューター２０６、ＩＰアドレスを持つ１つ以上のコマンドアンドコントロールコンピューター（Command and Control computers with IP addresses：Ｃ２ ＩＰ）２０８、および１つ以上のドメイン／ＵＲＬ（Uniform Resource Locator）２１０を備えうるネットワークから１つ以上のボットコンピューター２０２およびボットマスター２０４を示す、ボットマスター発見プロセス２００を示す図である。各ボット２０２は、不正なコードをダウンロードしたユーザーでありうるが、以下に述べるネットフローデータが示唆するように、ボットマスターではない。これに対して、ボットマスター２０４は、ボット２０２とは異なる、ネットフローに基づいた挙動を行うことがあり、ボットマスターでありうる。

図２に示すように、ホスト２０６はそれぞれ、ボット２０２またはボットマスター２０４のホストとして機能してもよい。ホスト２０６はそれぞれ、少なくとも１つのＣ２コンピューター２０８によって統制され、各Ｃ２コンピューターは独自のＩＰアドレスを持つ。Ｃ２コンピューター２０８はそれぞれ、図示するように、１つ以上のドメイン／ＵＲＬ２１０を有してもよい。さまざまなコンピューターシステム間の前述の構造および関係に基づいて、本システムおよび方法は、Ｃ＆Ｃおよびボットマスター２０４を特定するために、要素間のネットフローを部分的に利用する。本システムを用いて、図２に示すように、本システムは、以下に述べるネットフロー特徴を用いて、ＩＰ／ドメインクラスターによりボットマスター２０４および関連づけられたＣ２ ＩＰ ２０８を発見してもよい。本システムは、さらに詳しく以下に述べるように、ネットフローを通じて、Ｃ２クラスターの通信パターンおよびボットマスターの候補を抽出してもよい。また、本システムは、ブラックリストデータおよびパッシブドメインネームサービス（Domain Name Service：ＤＮＳ）データにより、悪質なプロキシーＩＰ／ＵＲＬ（ドメイン／ＩＰフラックス）を集めてもよい。

本システムおよび方法において、本システムおよび方法の目的は、攻撃者グループおよびボットマスターを発見することである。システムへの入力データは、ブラックリストデータ、パッシブＤＮＳデータ、およびネットフローデータであってもよい。本システムおよび方法は、ドメイン‐ＩＰクラスターを集め、Ｃ２クラスターパターンおよびすべてのクラスターに接続されたホストを抽出し、ボットマスターを抽出してもよい。

図３は、ボットマスター発見システムおよび装置３００の実施態様を示す図である。本実施態様において、ボットマスター発見構成要素３０８は、サービスとしてのソフトウェア（Software as a Service：ＳａａＳ）であってもよく、ユーザーは、通信経路３０６を通じてボットマスター発見構成要素３０８に結合し、ボットマスター発見構成要素３０８とデータをやりとりするために、１つ以上のコンピューター装置３０２を用いてもよい。あるいは、ボットマスター発見構成要素３０８は、ネットワークセキュリティシステムに組み込まれたり、ネットワークセキュリティシステムの一部であったり、独立型のコンピューターシステムに実装されたりしてもよい。ボットマスター発見構成要素３０８は、システムの記憶装置３１０にすでに格納されたデータ、コンピューター装置３０２を用いてユーザーが送信したデータ、またはボットマスター発見構成要素３０８からリモートで格納されたデータを用いて、ボットマスター発見プロセスを実行してもよく、ユーザーに基づいたボットマスター発見結果データを返してもよい。一部の実施形態において、ボットマスター発見構成要素３０８は、通信経路３０６を通じて１つ以上のエンティティーデータソース３０４からデータを受信してもよい。

各コンピューター装置３０２は、スタティックランダムアクセスメモリー（Static Random Access Memory：ＳＲＡＭ）やダイナミックランダムアクセスメモリー（Dynamic Random Access Memory：ＤＲＡＭ）などのメモリー、フラッシュメモリーやハードディスクドライブなどの永続記憶装置、ディスプレイ、およびコンピューター装置がボットマスター発見構成要素３０８に結合し、ボットマスター発見構成要素３０８とデータをやりとりすることを可能にする通信回路（有線または無線）を備えた、プロセッサーベースの装置であってもよい。例えば、各コンピューター装置３０２は、Ａｐｐｌｅ社のｉＰｈｏｎｅ（登録商標）やアンドロイドオペレーティングシステム（Operating System：ＯＳ）ベースのデバイスなどのスマートフォンデバイス、携帯電話、パーソナルコンピューター（Personal Computer：ＰＣ）、ラップトップ型コンピューター、タブレット型コンピューター、端末装置などであってもよい。一部の実施形態において、コンピューター装置は、ボットマスター発見構成要素３０８との通信を容易にしうるモバイルアプリケーションまたはブラウザーアプリケーションを備えてもよい。

通信経路３０６は、有線通信経路、無線通信経路、または有線通信経路と無線通信経路との組み合わせであってもよい。例えば、通信経路３０６は、インターネット、イーサネット（登録商標）、デジタルデータネットワーク、セルラーデジタルデータネットワーク、ＷｉＦｉ（Wireless Fidelity）ネットワーク、ローカルエリアネットワーク（Local Area Network：ＬＡＮ）、ワイドエリアネットワーク（Wide Area Network：ＷＡＮ）などであってもよい。通信経路３０６は、ボットマスター発見構成要素３０８、各コンピューター装置３０２、およびエンティティーデータソース３０４とのデータのやりとりを容易にするために、既知のプロトコルまたはこれから開発されるプロトコルを用いてもよい。例えば、通信経路は、コンピューター装置３０２がＨＴＭＬ（HyperText Markup Language）形式のウェブページを使用してデータをやりとりするためにブラウザーアプリケーションを用いる場合に、既知のＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）およびハイパーテキスト転送プロトコル（HyperText Transfer Protocol：ＨＴＴＰ）／ＨＴＴＰＳ（HyperText Transfer Protocol Secure）プロトコルを用いてもよい。

１つ以上のエンティティーデータソース３０４は、ボットマスター発見構成要素３０８のローカルもしくはボットマスター発見構成要素３０８のリモートにあるか、またはこれらの組み合わせであってもよい。一般に、１つ以上のエンティティーデータソース３０４は、ＩＰアドレス、ネットフローデータ、ドメイン名など、特定のコンピューターネットワークについてのデータ（総称して「ボットマスター発見データ」）を格納してもよく、ボットマスター発見構成要素３０８は、以下に述べるように、ボットマスター発見プロセスを実行するために、そのデータを利用してもよい。

ボットマスター発見構成要素３０８は、ハードウェアまたはソフトウェアに実装してもよい。ボットマスター発見構成要素３０８をソフトウェアに実装する場合、ボットマスター発見構成要素３０８は、サーバーコンピューターやブレードサーバーなど、ボットマスター発見構成要素３０８のホストとして機能するコンピューティング資源の１つ以上のプロセッサーが実行しうる複数行のコンピューターコード／命令であってもよく、そのため、プロセッサーは、以下に述べるように、ボットマスター発見構成要素３０８の動作を行うように構成される。ボットマスター発見構成要素３０８をハードウェアに実装する場合、ボットマスター発見構成要素３０８は、以下に述べるように、ボットマスター発見構成要素３０８の動作を行うように操作される、集積回路、ゲートアレイ、マイクロコントローラー、マイクロプロセッサーなどのハードウェア装置であってもよい。

記憶装置３１０は、ボットマスター発見構成要素３０８をソフトウェアに実装する場合のコンピューターコードまたは命令、ボットマスター発見プロセスのエンティティーデータの一部または全部、分析対象の攻撃者グループについてのその他のデータ、ユーザーデータなど、ボットマスター発見構成要素３０８のさまざまなデータを格納してもよい。

図４は、ボットマスター発見システムおよび装置のボットマスター発見構成要素３０８のさらなる詳細を示す図である。前述のボットマスター発見構成要素３０８の下位構成要素は、前述のように、ハードウェアまたはソフトウェアに実装してもよい。ボットマスター発見構成要素３０８は、以下に述べるようにドメイン‐ＩＰクラスターを集めうるクラスタリング構成要素３０８Ａ、以下に述べるようにネットフローデータを用いてＣ２クラスターパターンおよびすべてのクラスターに接続されたホストを抽出しうるフロー整合構成要素３０８Ｂ、および以下に述べるようにクラスタリングおよびフロー整合分析に基づいてボットマスターを抽出するボットマスター検知構成要素３０８Ｃを備えてもよい。

図５は、ボットマスター発見プロセス５００の別の実施態様を示す図である。プロセス５００は、図３〜４のシステムを用いて実施してもよいが、以下に述べるプロセスを実行できる他のシステムおよび装置を用いて実施してもよい。本方法の実施態様において、エンティティーデータソース３０４は、より具体的には、Ｃ２ブラックリストデータ３０４Ａ（例を図６Ｂに示す）、ＤＮＳデータ３０４Ｂ（例を図６Ｂに示す）、ＤＮＳキャッシュデータ３０４Ｃ（例を図６Ｂに示す）、およびネットフローデータ３０４Ｄ（例を図６Ｂに示す）を備えてもよい。

本方法は、Ｃ２クラスターインテリジェンスデータ記憶装置３１０Ａに格納されうる（例えば、図３の記憶装置３１０に格納されうる）１つ以上のＣ２ドメイン‐ＩＰクラスターを生成するドメイン‐ＩＰクラスタリングプロセス５０２を実行してもよい。ドメイン‐ＩＰクラスタリングプロセス５０２は、ブラックリストデータ３０４Ａ、ＤＮＳデータ３０４Ｂ、およびＤＮＳキャッシュデータ３０４Ｃ（パッシブＤＮＳデータ）に基づいて実行されてもよい。ブラックリストデータは、既知の悪質なシステムを含んでもよく、既知の悪質なシステムの少なくとも１つのドメインおよびＩＰアドレスを含んでもよい。１つ以上のＣ２ドメイン‐ＩＰクラスターはそれぞれ、次の代表的なデータを含んでもよい。
・クラスターサイズ（ドメイン当たりのＩＰアドレス数）
・１つ以上のクラスターメンバー（各クラスターメンバーはＩＰ、ドメインにより識別される）
・クラスタータイプ（ＩＰフラックス、ドメインフラックス、ハイブリッド）。ドメインフラックスとは、少数のＩＰアドレスに対して多数のドメインを持つクラスターを意味し、ＩＰフラックスとは、少数のドメインに対して多数のＩＰアドレスを持つクラスターを意味し、ハイブリッドとは、前述の混合を意味する。
・コアＣ２メンバー（ＩＰアドレスおよびドメインにより識別される）

ドメイン‐ＩＰクラスタリングプロセス５０２のさらなる詳細は、以下に述べる図６Ａ〜図６Ｂに示す。ある実施形態において、本プロセス５０２は、図４のクラスタリング構成要素３０８Ａによって実行されてもよい。

図５に戻り、本方法は、Ｃ２クラスターインテリジェンスデータ記憶装置３１０Ａに格納されうる（例えば、図３の記憶装置３１０に格納されうる）１つ以上のＣ２ネットワーク活動および通信パターンを生成するフロー整合分析プロセス５０４を実行してもよい。フロー整合分析プロセス５０４は、Ｃ２ドメイン‐ＩＰクラスターデータおよびネットフローデータ３０４Ｄに基づいて実行されてもよい。

１つ以上のＣ２ネットワーク活動および通信パターンはそれぞれ、次の代表的なデータを含んでもよい。
・クラスター活動：感染したホスト数に基づいた時系列
・クラスター通信パターン：スター型、マルチサーバー、階層型、またはハイブリッド。これらのパターンはそれぞれ、同じ名前のネットワーク通信パターンと同じである。

フロー整合分析プロセス５０４のさらなる詳細は、以下に述べる図７Ａ〜図７Ｂに示す。ある実施形態において、本プロセス５０４は、図４のフロー整合構成要素３０８Ｂによって実行されてもよい。

図５に戻り、本方法は、Ｃ２クラスターインテリジェンスデータ記憶装置３１０Ａに格納されうる（例えば、図３の記憶装置３１０に格納されうる）Ｃ２ボットマスターの１つ以上のデータを生成するボットマスター検知プロセス５０６を実行してもよい。ボットマスター検知プロセス５０６は任意のプロセスであり、特定の実施形態における本方法の実施態様で実行されてもされなくてもよい。ボットマスター検知プロセス５０６は、Ｃ２ドメイン‐ＩＰクラスターデータ、ならびにＣ２ネットワーク活動および通信パターンに基づいて実行されてもよい。ボットマスターの各データは、ネットフローデータに基づいて、より深く関与しているホストと定義されるクラスターボットマスターＩＰであってもよい。

ボットマスター検知プロセス５０６のさらなる詳細は、以下に述べる図８Ａ〜図８Ｂに示す。ある実施形態において、本プロセス５０６は、図４のボットマスター検知構成要素３０８Ｃによって実行されてもよい。

図６Ａ〜図６Ｂは、ボットマスター発見プロセスの一部であるドメイン‐ＩＰクラスタリングプロセス５０２のさらなる詳細を示す図である。本開示の簡略化のために、非常に少ないデータのセットを用いて、本方法のプロセスを説明する。ただし、当然のことながら、本方法は非常に大量のデータを用いて実行してもよく、それは本開示の範囲内であると言える。本プロセスにおいて、ブラックリストの集まりが取得される（６０２）。その例を図６Ｂに示す。ブラックリストの集まりは、図６Ｂに示すように、既知の悪質なシステムおよびサイトのリストである。ブラックリストの集まりは、悪質なシステムおよびドメインそれぞれ（図６Ｂの例におけるドメイン１、ドメイン２）についてＩＰアドレス（図６Ｂの例におけるＩＰ１、ＩＰ２）を含む。

一部の実施形態において、ブラックリストの集まりのサイズは無制限であってもよい。一部の実施形態において、ブラックリストの集まりサイズは、ＩＰアドレスの最大サイズ、ドメインの最大サイズ、またはドメインとＩＰアドレスの合計の最大サイズに制限されてもよい。あるいは、ブラックリストの集まりは、算出時間制限に基づいて制限されてもよい。これにより、本システムおよび方法が制限に達すると、クラスタリングを停止し、すでに算出された結果を格納することができる。

本方法は、ある特定のＩＰアドレスがある特定のドメインに対応づけられているブラックリストの集まりに基づいて、ＤＮＳルックアップ（６０４）を実行してもよい。ＤＮＳでは、複数のＩＰアドレスおよびドメインがＩＰアドレスのペアに関連づけられているからである。図６Ｂに示すように、ＤＮＳルックアップは、結果として、ドメイン１がＩＰ３に結びつけられ、ドメイン２がＩＰ４に結びつけられてもよい。

本方法は次に、ブラックリストおよびＤＮＳルックアップからのデータを用いて、パッシブＤＮＳ（ＰＤＮＳ）検索（６０６）を実行してもよい。図６Ｂに示すように、代表的なデータに基づいたパッシブＤＮＳ検索は、ＩＰアドレスとドメイン名とのさまざまな関連づけであってもよい（図６Ｂに示すように、ＩＰ１＜ドメイン３、ＩＰ２＜ドメイン３、…、ドメイン２＞ＩＰ４など）。本方法は次に、ドメイン‐ＩＰクラスターデータ６１０を生成するドメイン‐ＩＰクラスタリング６０８を実行してもよい。図６Ｂに示すように、ドメイン‐ＩＰクラスターデータは、ドメイン／ＩＰペアの１つ以上のクラスターであってもよい。例えば、図６Ｂの代表的なデータに基づいて、クラスターは、［［ＩＰ１、ＩＰ２、ＩＰ３］、［ドメイン１、ドメイン３］］および［［ＩＰ４]、ドメイン２］］であってもよい。このクラスターを、パッシブＤＮＳの結果データに基づいて図６Ｂに図示している。

図７Ａ〜図７Ｂは、ボットマスター発見プロセスの一部であるフロー整合分析プロセス５０４のさらなる詳細を示す図である。本開示の簡略化のために、非常に少ないデータのセットを用いて、本方法のプロセスを説明する。ただし、当然のことながら、本方法は非常に大量のデータを用いて実行してもよく、それは本開示の範囲内であると言える。本プロセスにおいて、宛先ＩＰによるフロー整合プロセス（７０２）は、未加工のネットフローデータ３０４Ｄおよびドメイン‐ＩＰクラスターデータ６１０を用いて実行されてもよい。図７Ｂに示すように、図６Ａに示すプロセスによって生成されたＩＰクラスターデータは、図７Ｂに示すように宛先アドレスによってフロー整合を生成するために、ネットフローデータ（ＩＰ１０、ＩＰ１、ＩＰ１１、ＩＰ５など）と組み合わされてもよい。フロー整合は、整合したフローのフロー特徴を割り出してもよい。結果として得られる宛先アドレスによるフロー整合は、送信元ＩＰフロー選択プロセス（７０４）およびフロー属性分析プロセス（７０６）に入力されてもよい。これらのプロセスの結果例を図７Ｂに示している。送信元ＩＰフロー選択プロセス（７０４）の結果は選択されたフロー７０８であり、フロー属性分析プロセス（７０６）の結果はクラスター属性（７１０）であり、その例を図７Ｂに示している。

図８Ａ〜図８Ｂは、ボットマスター発見プロセスの一部であるボットマスター検知プロセス５０６のさらなる詳細を示す図である。本開示の簡略化のために、非常に少ないデータのセットを用いて、本方法のプロセスを説明する。ただし、当然のことながら、本方法は非常に大量のデータを用いて実行してもよく、それは本開示の範囲内であると言える。本方法において、選択されたフロー７０８は、図８Ｂの例で示すような、フローから特徴の１つを抽出する特徴抽出プロセス（８０２）へ入力されてもよい。本方法は次に、送信元ＩＰフロークラスタリング（８０４）を実行してもよく、その例をクラスタリング結果として図８Ｂに示している。例として、ＩＰ１０、ＩＰ１２、ＩＰ１３、ＩＰ１４、およびＩＰ１５は、同じ悪質なドメイン‐ＩＰクラスターに接続されたホストである。例示のクラスタリング結果において、ＩＰ１０およびＩＰ１２は同様のフロー特徴を持つグループを表すサブクラスター０にあり、ＩＰ１４およびＩＰ１５はサブクラスター１にあるが、ＩＰ１３はどのサブクラスターにも存在せず外れ値であることに留意されたい。したがって、クラスタリング結果は、他のＩＰアドレスから外れたＩＰアドレス（外れ値と呼ばれる）を検知する外れ値検知プロセス８０６に入力されてもよい。図８Ｂに示す例において、ＩＰ１３は外れ値であるため、ボットマスターであると特定され、ボットマスターデータベース３１０Ａに格納される。図９は、検知されたボットマスターを示すＰＯＣユーザーインターフェイスを示す図である。

図８Ａおよび図８Ｂにおいて、フロー特徴は、時間当たりのフロー数、フロー当たりのパケット数、パケット当たりのバイト数、および所望の期間にホストが接続した、特異な数の悪質なＩＰアドレスのそれぞれの平均および標準偏差であってもよい。

前述の内容は、説明のために、具体的な実施形態を参照して記載している。しかし、前述の説明は、包括的であること、または本開示を開示した厳密な形式に限定することを意図するものではない。前述の教示を鑑みて、多くの変更および変形が可能である。本開示の原則とその実際の適用を最良に説明し、これによって、他の当業者が、考えられる特定の利用に適したさまざまな変形を加えて本開示およびさまざまな実施形態を最良に利用することができるように、実施形態を選択し、記載した。

本明細書に開示したシステムおよび方法は、１つ以上の構成要素、システム、サーバー、機器、その他の下位構成要素を介して実施したり、かかる要素間で分散させたりしてもよい。システムとして実施する場合、かかるシステムは、とりわけ、汎用コンピューターに見られる、ソフトウェアモジュール、汎用の中央処理装置（Central Processing Unit：ＣＰＵ）、ランダムアクセスメモリー（Random Access Memory：ＲＡＭ）などの構成要素を備えたり、含んだりしてもよい。サーバーに新技術が存在する実施態様において、かかるサーバーは、汎用コンピューターに見られるような、ＣＰＵ、ＲＡＭなどの構成要素を備えたり、含んだりしてもよい。

加えて、本明細書のシステムおよび方法は、前述のもの以外の、異質な、またはまったく異なるソフトウェア、ハードウェア、またはファームウェア構成要素を備えた実施態様によって実現してもよい。例えば、かかる他の構成要素（例えば、ソフトウェア、処理構成要素など）や、本発明に関連する、または本発明を具体化するコンピューター可読媒体に関して、本明細書の新技術の態様は、数多くの汎用または特殊用途のコンピューターシステムまたは構成と合致して実施してもよい。本明細書の新技術との利用に適したコンピューターシステム、環境、または構成のさまざまな例としては、ルーティング／接続構成要素、携帯またはラップトップ型装置、マルチプロセッサーシステム、マイクロプロセッサーベースシステム、セットトップボックス、家庭用電子機器、ネットワークＰＣ、その他の既存のコンピュータープラットフォーム、前述のシステムまたは装置の１つ以上を備える分散コンピューティング環境など、ＰＣ、サーバー、もしくはサーバーコンピューター装置内の、またはこれらに具体化されたソフトウェアやその他の構成要素が挙げられる（ただし、これらに限定されない）。

一部の例において、本システムおよび方法の態様は、例えば、かかる構成要素または回路機構に関連して実行される、プログラムモジュールを含む、論理や論理命令によって実現または実行してもよい。一般に、プログラムモジュールには、本明細書の特定のタスクを実行する、または特定の命令を実施するルーチン、プログラム、オブジェクト、構成要素、データ構造などが含まれる。本発明はまた、回路機構が通信バス、回路機構、もしくは回線を介して接続される、分散ソフトウェア、コンピューター、または回路環境において実施してもよい。分散環境において、統制／命令は、記憶装置を含む、ローカルおよびリモートのコンピューター記憶媒体から行われてもよい。

本明細書のソフトウェア、回路機構、および構成要素は、１種類以上のコンピューター可読媒体を備えたり、利用したりしてもよい。コンピューター可読媒体は、かかる回路やコンピューター構成要素に存在する、これらに関連づけられる、またはこれらがアクセスできる、利用可能などのような媒体であってもよい。限定ではなく例として、コンピューター可読媒体は、コンピューター記憶媒体および通信媒体を含んでもよい。コンピューター記憶媒体は、コンピューター可読命令、データ構造、プログラムモジュール、またはその他のデータといった情報の格納のための、あらゆる方法または技術において実装される、揮発性および不揮発性、取り外し可能および取り外し不可能な媒体を含んでもよい。コンピューター記憶媒体としては、ＲＡＭ、読み出し専用メモリー（Read-Only Memory：ＲＯＭ）、電気的消去可能書き込み可能読み出し専用メモリー（Electronically Erasable and Programmable Read-Only Memory：ＥＥＰＲＯＭ）、フラッシュメモリー、もしくはその他のメモリー技術、コンパクトディスク読み出し専用メモリー（Compact-Disk Read-Only Memory：ＣＤ−ＲＯＭ）、デジタル多用途ディスク（Digital Versatile Disk：ＤＶＤ）、もしくはその他の光学的記憶装置、磁気テープ、磁気ディスク記憶装置、もしくはその他の磁気記憶装置、または所望の情報を格納するために用いることができ、コンピューター構成要素がアクセスできるその他のあらゆる媒体が挙げられる（ただし、これらに限定されない）。通信媒体は、コンピューター可読命令、データ構造、プログラムモジュール、またはその他の構成要素を含んでもよい。さらに、通信媒体としては、有線ネットワークや直接有線接続などの有線媒体が挙げられる。ただし、本明細書に記載のいかなる種類の媒体も、一時的な媒体を含まない。前述のすべてのものの組み合わせも、コンピューター可読媒体の範囲内に含まれる。

本明細書において、構成要素、モジュール、装置などの用語は、さまざまな方法で実装されうる、あらゆる種類の論理的または機能的ソフトウェア要素、回路、ブロック、またはプロセスを指してもよい。例えば、さまざまな回路やブロックの機能を互いに組み合わせて、任意の数のモジュールを成すことができる。各モジュールは、本明細書の新技術の機能を実施するためにＣＰＵが読み取る有形のメモリー（例えば、ＲＡＭ、ＲＯＭ、ＣＤ−ＲＯＭメモリー、ハードディスクドライブなど）に格納されるソフトウェアプログラムとして実装されてもよい。あるいは、モジュールは、送信搬送波により汎用コンピューターまたは処理／グラフィックスハードウェアに送信されるプログラミング命令を含むことができる。モジュールはまた、本明細書の新技術に含まれる機能を実施するハードウェア論理回路機構として実装することもできる。最後に、モジュールは、専用命令（ＳＩＭＤ（Single Instruction/Multiple Data）命令）、現場でプログラム可能なロジックアレイ（Field Programmable Logic Array）、または所望のレベルの性能およびコストを提供するこれらの組み合わせを用いて実装することもできる。

本明細書に開示のとおり、本開示と合致する特徴は、コンピューターハードウェア、ソフトウェア、またはファームウェアによって実施されてもよい。例えば、本明細書に開示したシステムおよび方法は、例えば、データベース、デジタル電子回路機構、ファームウェア、ソフトウェア、またはこれらの組み合わせをも備えたコンピューターなどのデータプロセッサーを含む、さまざまな形式で具体化されてもよい。さらに、開示した実施態様の一部は、特定のハードウェア構成要素について記載するが、本明細書の新技術と合致するシステムおよび方法は、ハードウェア、ソフトウェア、またはファームウェアのあらゆる組み合わせによって実施されてもよい。加えて、前述の特徴、ならびに本明細書の新技術と合致するその他の態様および原則は、さまざまな環境で実施されてもよい。かかる環境および関連するアプリケーションは、本発明によるさまざまなルーチン、プロセス、または動作を行うために、特別に構成されてもよいし、必要な機能を提供するために、選択的に作動される、またはコードによって再設定される汎用コンピューターまたはコンピュータープラットフォームを含んでもよい。本明細書に開示したプロセスは、特定のコンピューター、ネットワーク、アーキテクチャー、環境、またはその他の装置に、本質的に関連しているわけではなく、ハードウェア、ソフトウェア、またはファームウェアの適切な組み合わせによって実施されてもよい。例えば、さまざまな汎用機械を、本発明の教示に従って書かれたプログラムとともに用いてもよいし、必要な方法および技術を実行するための専用の装置またはシステムを構成するほうが便利である場合もあるだろう。

本明細書に記載した方法およびシステムの態様（論理など）は、現場でプログラム可能なゲートアレイ（Field Programmable Gate Array：ＦＰＧＡ）、プログラム可能アレイ論理（Programmable Array Logic：ＰＡＬ）素子、電気的にプログラム可能な論理記憶素子、および標準セル装置、ならびに特定用途向け集積回路（Application Specific Integrated Circuit：ＡＳＩＣ）など、プログラム可能論理素子（Programmable Logic Device：ＰＬＤ）を含む、さまざまな回路機構にプログラミングした機能として実施してもよい。態様を実施するその他の可能性としては、記憶素子、メモリー付きマイクロコントローラー（ＥＥＰＲＯＭなど）、組み込みマイクロプロセッサー、ファームウェア、ソフトウェアなどが挙げられる。さらに、態様は、ソフトウェアベースの回線エミュレーション、個別論理（順序および組み合わせ）、カスタム素子、ファジー（ニューラル）論理、量子素子、および前述の素子の種類のあらゆるハイブリッドを有するマイクロプロセッサーにおいて具体化されてもよい。基本となる素子技術は、例えば、相補性金属酸化膜半導体（Complementary Metal-Oxide Semiconductor：ＣＭＯＳ）などの金属酸化膜半導体電界効果トランジスター（Metal-Oxide Semiconductor Field-Effect Transistor：ＭＯＳＦＥＴ）技術、エミッター結合論理（Emitter-Coupled Logic：ＥＣＬ）などのバイポーラー技術、高分子技術（例えば、シリコン共役高分子および金属共役高分子‐金属構造）、アナログとデジタルの混合など、さまざまな構成要素の種類で提供されてもよい。

本明細書に開示したさまざまな論理や機能は、挙動、レジスタ転送、論理構成要素、その他の特性の点で、ハードウェアやファームウェアの任意の数の組み合わせを用いて、またはさまざまな機械可読またはコンピューター可読媒体において具体化されたデータや命令として可能にしてもよいことに留意されたい。かかるフォーマット済みデータや命令が具体化されうるコンピューター可読媒体としては、さまざまな形式（例えば、光学、磁気、または半導体記憶媒体）の不揮発性記憶媒体が挙げられる（ただし、これらに限定されない、また、一時的な媒体は含まない）。文脈上、明らかに他の意味に解釈すべき場合を除いて、本明細書全体において、「備える」、「含む」などの言葉は、排他的すなわち網羅的な意味ではなく、包括的な意味、すなわち、「含むが、これらに限定されない」という意味で解釈されるものとする。単数または複数を用いた言葉はそれぞれ、複数または単数も含む。加えて、「本明細書の」、「本明細書に基づき」、「前述の」、「以下に」という言葉および同様の意味を持つ言葉は、本出願全体を指し、本出願の特定の部分を指すのではない。列挙された２つ以上の要素に関して「または」という言葉が使用される場合、この言葉は、列挙された要素のいずれか、列挙された要素のすべて、および列挙された要素のあらゆる組み合わせの３つの解釈すべてを含む。

本発明の現在好ましい実施態様を本明細書に記載したが、本発明の趣旨および範囲から逸脱することなく、本明細書に提示および記載したさまざまな実施態様を変更および変形してもよいことは、本発明が属する技術分野の当業者にとって明らかであろう。したがって、本発明は、適用される法規範で定められた範囲内にのみ制限されることが意図される。

前述のシステムおよび方法は、サイバー脅威の保護および検知の別の技術分野を改良する。より具体的には、本システムおよび方法は、典型的なサイバー脅威の保護検知システムおよび方法によってこれまで行われていなかった攻撃グループのボットマスターの発見／特定が可能である。詳細には、本システムおよび方法は、ブラックリストデータ、ＤＮＳデータ、パッシブＤＮＳデータおよびキャッシュデータ、ならびにネットフローデータを用い、攻撃グループのボットマスターを発見／特定するために、このようなデータを分析する。さらに、本システムおよび方法は、既知の悪質なエンティティーの複数のクラスターを生成する。前記既知の悪質なエンティティーは、１つ以上の既知の悪質なＩＰアドレス、１つ以上の既知の悪質なドメイン、ならびに１つの既知の悪質なドメインおよび１つの既知の悪質なＩＰアドレスである。本システムおよび方法は、複数のホストフローを特定するために、複数の送信元ＩＰアドレスと複数の宛先ＩＰアドレスとの間で、既知の悪質なエンティティーの各クラスターにおける各ＩＰアドレスのフロー整合を実行する。各ホストフローは、既知の悪質なエンティティーの１つのクラスターにおける特定のＩＰアドレスに整合する送信元ＩＰアドレスまたは宛先ＩＰアドレスを有する。本システムおよび方法はまた、ボットとボットマスターとのフロー特徴の違いを分析することで、既知の悪質なエンティティーの各クラスターに対応する前記複数のホストフローから、既知の悪質なエンティティーの各クラスターのボットマスターを検知する。このように、請求項に係るシステムおよび方法は、別の技術分野を改良する。

本システムおよび方法はまた、インターネットおよびコンピューターネットワークの出現以前に存在しなかった課題を解決する。具体的には、サイバー脅威は、インターネットおよびコンピューターネットワークの出現以前には存在しなかったため、本システムおよび方法は、単に古い思想をコンピューターで実施するものではない。したがって、請求項に係る解決策は、古い課題に対する解決策ではなく、単に既知の手動による解決策をコンピューターで実施するものでもない。

さらに、本システムおよび方法は、機械（プロセッサー）で実施されるが、機械は、単に汎用コンピューターの機能を実行するものではない。より具体的には、本機械は、請求項に係る、既知の悪質なエンティティーの複数のクラスターを生成する工程を実行する。前記既知の悪質なエンティティーは、１つ以上の既知の悪質なＩＰアドレス、１つ以上の既知の悪質なドメイン、ならびに１つの既知の悪質なドメインおよび１つの既知の悪質なＩＰアドレスである。この工程は、単なる汎用コンピューターの機能ではない。同様に、本機械は、複数のホストフローを特定するために、複数の送信元ＩＰアドレスと複数の宛先ＩＰアドレスとの間で、既知の悪質なエンティティーの各クラスターにおける各ＩＰアドレスのフロー整合を実行する。各ホストフローは、既知の悪質なエンティティーの１つのクラスターにおける特定のＩＰアドレスに整合する送信元ＩＰアドレスまたは宛先ＩＰアドレスを有する。この工程もまた、汎用コンピューターの機能ではない。加えて、本機械は、ボットとボットマスターとのフロー特徴の違いを分析することで、既知の悪質なエンティティーの各クラスターに対応する前記複数のホストフローから、既知の悪質なエンティティーの各クラスターのボットマスターを検知する工程を実行する。これもまた、汎用コンピューターの機能ではない。

本システムおよび方法はまた、単に抽象的な思想を技術環境に一般的に結びつけるだけではない、意味のある要素を追加する。より具体的には、本システムおよび方法は、既知の悪質なエンティティーの複数のクラスターを生成する工程を記載する。前記既知の悪質なエンティティーは、１つ以上の既知の悪質なＩＰアドレス、１つ以上の既知の悪質なドメイン、ならびに１つの既知の悪質なドメインおよび１つの既知の悪質なＩＰアドレスである。この工程は、単に抽象的な思想を技術環境に一般的に結びつけるだけではない。さらに、特許請求の範囲は、複数のホストフローを特定するために、複数の送信元ＩＰアドレスと複数の宛先ＩＰアドレスとの間で、既知の悪質なエンティティーの各クラスターにおける各ＩＰアドレスのフロー整合を実行する工程を記載する。各ホストフローは、既知の悪質なエンティティーの１つのクラスターにおける特定のＩＰアドレスに整合する送信元ＩＰアドレスまたは宛先ＩＰアドレスを有する。この工程は、単に抽象的な思想を技術環境に一般的に結びつけるだけではない。さらに、特許請求の範囲は、ボットとボットマスターとのフロー特徴の違いを分析することで、既知の悪質なエンティティーの各クラスターに対応する前記複数のホストフローから、既知の悪質なエンティティーの各クラスターのボットマスターを検知する工程を記載する。この工程は、単に抽象的な思想を技術環境に一般的に結びつけるだけではない。

前述の内容は本開示の特定の実施形態を参照しているが、添付した特許請求の範囲にその範囲を定める本開示の原則および趣旨から逸脱することなく、本実施形態に変更を加えてもよいと当業者によって理解されるであろう。

Claims (5)

1. プロセッサーと、
   メモリーと
   を備える装置と、
   複数のサーバーと、
   複数のホストと、を備えるボットマスター発見システムであって、
   前記プロセッサーは、複数行のコンピューターコードを実行し、前記複数行のコンピューターコードの実行により、前記プロセッサーは、複数の既知の悪質なドメインを持つネットワーク上で次のプロセスを実行するように構成され、前記複数のサーバーはそれぞれ、各サーバーが１つ以上の複数のドメインに関連づけられた既知の悪質なインターネットプロトコル（Internet Protocol：ＩＰ）アドレスを持ち、前記複数のホストは、前記複数のサーバーの１つ以上に関連づけられ、ホストは、感染したホストで、サイバー犯罪目的の資源の一部として関与するボットと、サイバー犯罪目的のボットを含むボットマスターのいずれか一方であり、前記プロセスは、
   既知の悪質なエンティティーの複数のクラスターを生成する工程と、
   複数のホストフローを特定するために、複数の送信元ＩＰアドレスと複数の宛先ＩＰアドレスとの間で、前記生成する工程にて生成された、前記既知の悪質なエンティティーの各クラスターにおける各ＩＰアドレスのフロー整合を実行する工程と、
   ボットとボットマスターとのフロー特徴の違いを分析することで、既知の悪質なエンティティーの各クラスターに対応する前記複数のホストフローから、既知の悪質なエンティティーの各クラスターの前記ボットマスターを検知する工程と
   をさらに含み、
   前記既知の悪質なエンティティーは、１つ以上の既知の悪質なＩＰアドレス、１つ以上の前記既知の悪質なドメイン、ならびに１つの既知の悪質なドメインおよび１つの既知の悪質なＩＰアドレスであり、
   各ホストフローは、既知の悪質なエンティティーの１つのクラスターにおける特定のＩＰアドレスに整合する送信元ＩＰアドレスまたは宛先ＩＰアドレスを有し、
   前記フロー整合を実行する工程は、同様のフロー特徴を持つボットであるホストを集め、他の同様のボットとは異なるフロー特徴を持つ少数ホストを検知するために、フロー特徴を割り出すように構成され、未加工のネットフローデータおよびドメイン−ＩＰクラスターデータを用いて、生成された前記ドメイン−ＩＰクラスターデータを、前記ネットフローデータと組み合わせ、宛先ＩＰによるフロー整合を実行するものであり、
   前記ボットマスターを検知する工程は、時間当たりのフロー数、フロー当たりのパケット数、パケット当たりのバイト数、および所望の期間にホストが接続した、特異な数の悪質なＩＰアドレスのそれぞれの平均と標準偏差を算出して、フロー特徴を割り出すように構成され、送信元ＩＰフローのフロー特徴をクラスタリングし、他のＩＰアドレスから外れたＩＰアドレスをボットマスターであると特定するものである、ボットマスター発見システム。
2. 前記プロセッサーは、既知の悪質なエンティティーの複数のクラスターを生成するように構成され、前記プロセッサーはさらに、複数の既知の悪質なＩＰアドレスおよび複数の既知の悪質なドメインを持つブラックリスト、ならびに特定のドメインを特定のＩＰアドレスに対応づけるドメインネームサービスのデータセットを用いて、前記既知の悪質なエンティティーの複数のクラスターを集めるように構成される、請求項１に記載のボットマスター発見システム。
3. 前記プロセッサーに接続された１つ以上の記憶装置をさらに備え、前記１つ以上の記憶装置は、複数の既知の悪質なＩＰアドレスおよび複数の既知の悪質なドメインを持つブラックリスト、特定のドメインを特定のＩＰアドレスに対応づけるドメインネームサービスのデータセット、ならびにデジタルデータの通信に用いられる、宛先／送信元ＩＰアドレスに結びつけられた送信元／宛先ＩＰアドレスを含むネットフローのデータセットを格納する、請求項１に記載のボットマスター発見システム。
4. 複数の既知の悪質なドメインを持つネットワーク上において、
   既知の悪質なエンティティーの複数のクラスターを生成する工程と、
   複数のホストフローを特定するために、複数の送信元ＩＰアドレスと複数の宛先ＩＰアドレスとの間で、前記生成する工程にて生成された、前記既知の悪質なエンティティーの各クラスターにおける各ＩＰアドレスのフロー整合を実行する工程と、
   ボットとボットマスターとのフロー特徴の違いを分析することで、既知の悪質なエンティティーの各クラスターに対応する前記複数のホストフローから、既知の悪質なエンティティーの各クラスターの前記ボットマスターを検知する工程と
   を含み、
   複数のサーバーはそれぞれ、各サーバーが複数のドメインの１つ以上に関連づけられた既知の悪質なインターネットプロトコル（Internet Protocol：ＩＰ）アドレスを持ち、複数のホストは、１つ以上の前記複数のサーバーに関連づけられ、ホストは、感染したホストで、サイバー犯罪目的の資源の一部として関与するボットと、サイバー犯罪目的のボットを含むボットマスターのいずれか一方であり、
   前記既知の悪質なエンティティーは、１つ以上の既知の悪質なＩＰアドレス、１つ以上の前記既知の悪質なドメイン、ならびに１つの既知の悪質なドメインおよび１つの既知の悪質なＩＰアドレスであり、
   各ホストフローは、既知の悪質なエンティティーの１つのクラスターにおいて特定のＩＰアドレスに整合する送信元ＩＰアドレスまたは宛先ＩＰアドレスを有し、
   前記フロー整合を実行する工程は、同様のフロー特徴を持つボットであるホストを集め、他の同様のボットとは異なるフロー特徴を持つ少数ホストを検知するために、フロー特徴を割り出すように構成され、未加工のネットフローデータおよびドメイン−ＩＰクラスターデータを用いて、生成された前記ドメイン−ＩＰクラスターデータを、前記ネットフローデータと組み合わせ、宛先ＩＰによるフロー整合を実行するものであり、
   前記ボットマスターを検知する工程は、時間当たりのフロー数、フロー当たりのパケット数、パケット当たりのバイト数、および所望の期間にホストが接続した、特異な数の悪質なＩＰアドレスのそれぞれの平均と標準偏差を算出して、フロー特徴を割り出すように構成され、送信元ＩＰフローのフロー特徴をクラスタリングし、他のＩＰアドレスから外れたＩＰアドレスをボットマスターであると特定するものである、方法。
5. 前記複数のクラスターを生成する工程は、複数の既知の悪質なＩＰアドレスおよび複数の既知の悪質なドメインを持つブラックリスト、ならびに特定のドメインを特定のＩＰアドレスに対応づけるドメインネームサービスのデータセットを用いて、前記既知の悪質なエンティティーの複数のクラスターを集める工程をさらに含む、請求項４に記載の方法。

Images