WO2019240054A1 - 通信装置、パケット処理方法及びプログラム - Google Patents

通信装置、パケット処理方法及びプログラム Download PDF

Info

Publication number
WO2019240054A1
WO2019240054A1 PCT/JP2019/022811 JP2019022811W WO2019240054A1 WO 2019240054 A1 WO2019240054 A1 WO 2019240054A1 JP 2019022811 W JP2019022811 W JP 2019022811W WO 2019240054 A1 WO2019240054 A1 WO 2019240054A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
image
network
communication
data
Prior art date
Application number
PCT/JP2019/022811
Other languages
English (en)
French (fr)
Inventor
遼 中村
勇司 関谷
岡田　和也
Original Assignee
国立大学法人 東京大学
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 国立大学法人 東京大学 filed Critical 国立大学法人 東京大学
Publication of WO2019240054A1 publication Critical patent/WO2019240054A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • the present invention relates to a technique for detecting unauthorized communication by collecting packets communicated over a network.
  • Cyber attacks targeting individuals and organizations have become a problem for network services.
  • Cyber attacks include, for example, DoS attacks (Denial of Service) and DDoS attacks in which a malicious attacker sends a large number of packets to the network to increase the load on the network and thereby disrupt the service of the network service provider. (Distributed Denial of Service) is known.
  • the present invention has been made in view of the above circumstances, and an object thereof is to provide a technique for detecting unauthorized communication of various patterns.
  • a typical example of the invention disclosed in the present application is a communication device that can collect packets communicated via a network.
  • the packet has control information including a plurality of data necessary for communication by the network.
  • the communication device includes an image conversion unit that converts the packet into an image based on feature information including at least a part of the plurality of data, and a classification unit that classifies the packet based on the converted image. And comprising.
  • packets can be classified based on an image obtained by converting the packets. For example, by comparing an image obtained by converting a received packet with an image obtained by converting a packet at the time of a cyber attack, it is possible to classify whether the packet has characteristics of a cyber attack and to detect unauthorized communication. it can.
  • FIG. 1 It is a figure which shows an example of the image which converted the packet transmitted from the benign host of embodiment of this invention. It is a figure explaining the neural network which determines the probability that the transmission origin of a packet is a benign host or a malignant host in embodiment of this invention. It is a figure explaining the result of having applied the classification method of an embodiment of the present invention to a data set. It is a figure explaining the result of having applied the classification method of the embodiment of the present invention to a data set different from FIG. It is a figure which shows the modification of the network system of embodiment of this invention.
  • a means for protecting a DDoS attack that is a cyber attack will be described.
  • an attack program is sent to a computer connected to a network, and a large number of requests are issued (attacked) to a computer such as a Web server to be attacked by the attack program. Further, by sending an attack program to a plurality of computers and attacking at the same time, the load on the attack target computer is increased or the traffic on the network to which the attack target computer is connected is increased.
  • the collected packet is analyzed to determine whether the transmission source computer (host) is performing a cyber attack or performing normal communication.
  • the packet transmitted from the computer (malicious host) that performs the cyber attack is blocked, while the packet transmitted from the computer (benign host) that performs normal communication is allowed to pass. If the malicious host is connected to the internal network, disconnect it from the network, and if the malicious host is connected to the external network, deny access at the entrance of the internal network, You can report to the administrator of the network to which is connected.
  • FIG. 1 is a diagram for explaining an outline of a malicious host detection method according to an embodiment of the present invention.
  • TCP / IP communication is the target of this method, and a malicious host is specified by an IP address.
  • IP address is specified by the present invention.
  • the present invention can also be applied to communication using other protocols, and a malicious host may be specified by a MAC address or the like.
  • packets transmitted and received in the network are collected.
  • the packet collection may be performed by a communication device that relays between other networks, or may be performed by transmitting a copy of the packet to the packet collection device via the packet mirror device.
  • an image based on the collected packet is generated (imaging), and the packet is converted into an image. Further, in order to clarify the characteristics, a predetermined number of packets are collectively imaged. A specific method of imaging will be described later.
  • imaging is performed by collecting a certain number of packets that are common to the transmission source. Note that the period for determining whether or not to image a packet and the threshold value for the number of packets may be determined based on the destination computer and the type and performance of the network. Further, a packet whose number of packets transmitted within a predetermined period is equal to or less than a threshold value may be discarded.
  • a neural network classifies (determines) whether the image has the characteristics of a malignant host or an image having the characteristics of a benign host. That is, detection of a malicious host is performed by classifying the packet transmission source as a malicious host or a benign host (determining whether or not the host is a malicious host).
  • the neural network that classifies the packet source as a malicious host or a benign host adjusts the parameters in advance by machine learning, but the judgment result may be reflected in the learning data in real time, or the collected packet or image May be accumulated and periodically reflected in the learning data.
  • an IP address corresponding to an image determined as a malicious host is notified to a network administrator or the like.
  • the determination result does not have to explicitly indicate whether the host is a malignant host or a benign host. For example, 85% of the possibility of being a malignant host and 15% of the possibility of being a benign host may be presented. At this time, the administrator may be notified when the possibility of being a malicious host is a predetermined probability or more (for example, 80%).
  • FIG. 2 is a diagram illustrating an example of a network configuration according to the embodiment of this invention.
  • communication is performed between the upstream network (first network) 10 and the downstream network (second network) 20, and packets are transmitted and received.
  • a communication device that interconnects the upstream network 10 and the downstream network 20 is disposed, and a packet mirror device 30 that forwards a copy of a packet transmitted and received between the networks is disposed.
  • the router and the packet mirror device 30 do not need to be separate devices, and the router may provide the function of the packet mirror device 30.
  • the packet copied by the packet mirror device 30 is transferred to the packet processing device (communication device) 100.
  • the packet processing device 100 analyzes the packet transferred from the packet mirror device 30 and determines whether or not the transmission source of the packet is a malicious host by the malicious host detection method in this embodiment.
  • the attack target server 11 is connected to the upstream network 10, and the attack side terminal 21 connected to the downstream network 20 transmits a large number of packets to the attack target server 11.
  • the packet mirror device 30 transfers the packet as it is to the upstream network 10 even if it is a packet transmitted from a malicious host (attack side terminal 21).
  • the packet processing device 100 determines that the packet transmission source (attacking terminal 21) is a malicious host (classified as a malicious host), the packet processing device 100 sends a detection result (alarm) to the management computer 12 connected to the upstream network 10. Notice. When the detection result (alarm) is notified, the management computer 12 notifies the administrator by displaying a warning message. The packet transmitted from the malicious host is blocked manually by the administrator, but may be automatically blocked by the router. In this embodiment, whether or not the host is a malignant host is not alternatively presented, but the possibility of being a malignant host is determined. Therefore, the determination result is obtained when the possibility of a malignant host is recognized.
  • the packet transfer may be blocked when the value is equal to or greater than a predetermined threshold, and otherwise, the management computer 12 may be notified while continuing the packet transfer.
  • the management computer 12 functions as a terminal for managing the network, such as setting the router, the packet mirror device 30, and the packet processing device 100.
  • a server other than the network related (for example, the attack target server 11) may be managed.
  • the example of the network configuration in the present embodiment has been described above. Next, a method for determining whether or not the packet transmission source is a malicious host will be described. First, the hardware and software configurations of the packet processing apparatus 100 to which the malicious host detection method is applied will be described, and then a specific method will be described.
  • FIG. 3 is a diagram illustrating an example of a hardware configuration of the packet processing device 100 according to the embodiment of this invention.
  • the packet processing apparatus 100 includes a communication interface (IF) 101, a processor (CPU) 110, a memory 120, and a storage device 160, and each component is connected by a bus.
  • IF communication interface
  • CPU processor
  • memory 120 memory
  • storage device 160 storage device
  • the communication interface (IF) 101 receives a packet transferred by the packet mirror device 30 and receives a command input from the management computer 12.
  • the processor (CPU) 110 provides various functions by executing various programs stored in the memory 120. For example, the processor (CPU) 110 provides a function of determining whether or not a packet transmission source is a malicious host.
  • the memory 120 stores various programs executed by the processor 110, and temporarily stores data necessary for executing the programs.
  • the storage device 160 accumulates information on packets received via the communication interface (IF) 101 and stores packet processing results by a program.
  • the memory 120 stores a detection unit 130 that determines whether or not the transmission source of the packet is a malicious host, and a learning unit 140 that generates learning data for determining the malicious host.
  • the detection unit 130 and the learning unit 140 are configured by a program and data for executing the program.
  • the storage device 160 provides a packet data storage unit 161, an image storage unit 162, and a learning data storage unit 163. Each configuration will be described below.
  • the detection unit 130 determines whether the transmission source of the packet transferred from the packet mirror device 30 is a malicious host.
  • the detection unit 130 includes a packet acquisition unit 131, a packet image conversion unit 132, and a classification unit 133.
  • the packet acquisition unit 131 temporarily stores the packet transferred from the packet mirror device 30 via the communication IF 101, and stores the packet in the packet data storage unit 161 based on the content of the received packet.
  • the packet image conversion unit 132 acquires the packet data to be created from the packet data storage unit 161 and converts it into an image. A specific procedure for converting an image will be described later with reference to FIGS.
  • the packet image conversion unit 132 stores the image converted from the packet data in the image storage unit 162.
  • the converted image may be directly delivered to the classification unit 133, or the classification unit 133 may acquire necessary data from the image storage unit 162.
  • the classification unit 133 inputs the image converted by the packet image conversion unit 132 to the neural network, and classifies the packet that is the conversion source of the image based on the learning data stored in the learning data storage unit 163. Specifically, the packet source is classified as a benign host or a malignant host.
  • the learning unit 140 performs learning in the neural network in order to improve the determination (classification) accuracy by the classification unit 133.
  • the learning data collection unit 141 collects data and images stored in the packet data storage unit 161 and the image storage unit 162, and information such as a result of whether or not the transmission source of the packet is actually a malicious host.
  • the neural network learning unit 142 performs neural network learning such as determining parameters with improved accuracy based on the collected learning data and the learning data stored in the learning data storage unit 163. Further, the learning result such as the determined parameter is reflected in the learning data storage unit 163.
  • FIG. 4 is a diagram illustrating a processing procedure by each component in the packet processing device 100 according to the embodiment of this invention.
  • a learning phase (learning unit 140) for performing learning of a neural network for determining a malicious host will be described.
  • the purpose of the learning phase is to adjust parameters for improving the accuracy of determination by the neural network.
  • accuracy can be improved by learning with appropriate learning data.
  • the learning timing of the neural network is set when a learning execution instruction is issued from the management computer 12, but this is not restrictive, and learning may be performed when the learning start condition is satisfied. Good. As the learning start condition, the learning may be performed every elapse of a predetermined period, or may be performed when a certain amount of learning data is accumulated. Further, when the attack pattern by the malicious host becomes new and the determination accuracy deteriorates, learning may be performed using learning data based on the new attack pattern.
  • the learning data collection unit 141 collects learning data from the packet data storage unit 161 and the image storage unit 162 when receiving a learning instruction from the management computer 12. At this time, learning data may be selected and used in order to improve the determination accuracy. A general method is used for selecting learning data. The learning data may be acquired from the outside. For example, it is expected that the classification accuracy is further improved by using learning data based on packets collected in other networks.
  • the neural network learning unit 142 performs neural network learning based on the learning data collected by the learning data collection unit 141.
  • the learning data before reflecting the learning result is acquired from the learning data storage unit 163, and after the learning is performed, the learning data reflecting the learning result is stored in the learning data storage unit 163.
  • the learning data is parameters and data necessary for classifying a packet transmission source as a benign host or a malignant host by a neural network.
  • the neural network learning unit 142 When the learning data reflecting the learning result is stored in the learning data storage unit 163, the neural network learning unit 142 notifies the management computer 12 of learning completion. If learning is automatically performed because the learning start condition is satisfied instead of the learning instruction from the management computer 12, a learning execution log may be recorded in a log file or the like.
  • the packet acquisition unit 131 receives the packet transferred from the packet mirror device 30 and stores information included in the packet in the packet data storage unit 161.
  • the information stored in the packet data storage unit 161 may be stored in the order of reception. However, as will be described later, packets are imaged for packets having the same source IP address, and therefore stored in the order of IP addresses. You may do it. Further, it is not necessary to store all items included in the packet, and only data necessary for classifying whether the packet transmission source is a malicious host or a benign host may be stored. Furthermore, information that is not included in the packet may be stored in the packet data storage unit 161. For example, the reception date and time (time stamp) of the packet may be stored as packet data.
  • the packet image conversion unit 132 converts the information stored in the packet data storage unit 161 into an image. Since the packet data to be subjected to image conversion has the same source IP address, the target data is acquired from the packet data storage unit 161. In this embodiment, since a predetermined number of packet data is converted into one image, image conversion is not performed when a predetermined number of unconverted packet data is not stored. This is because if the number of packets is less than the predetermined number, the load on the destination computer or the network is not large, and it is not necessary to determine whether or not there is a malicious host.
  • packet data converted into an image may be deleted so as not to be duplicated. At this time, if there is a possibility of using it as learning data, it may be moved to a different area from the data to be converted, or a flag indicating whether or not the data has already been converted is added and set You may make it do.
  • the deletion of packet data may be manually performed periodically, or may be automatically performed on data that has been passed for a certain period or data that has been used as learning data.
  • the packet image conversion unit 132 converts the packet data into an image
  • the packet image conversion unit 132 stores the converted image in the image storage unit 162.
  • the converted image is used as learning data as necessary, and an image is acquired from the image storage unit 162 when the learning data collection unit 141 is executed.
  • the learning data collection unit 141 may acquire the packet data from the packet data storage unit 161 and convert the packet data into an image so that the image storage unit 162 is not provided.
  • the packet image conversion unit 132 converts the packet data into an image, and then delivers the converted image to the classification unit 133.
  • the classification unit 133 may acquire the converted image from the image storage unit 162.
  • the classification unit 133 classifies the packet transmission source as a benign host or a malignant host using a neural network. Specifically, as described above, the image converted by the packet image conversion unit 132 is input to the neural network, and the packet that is the image conversion source based on the learning data stored in the learning data storage unit 163 is input. Determine whether the source is a malicious host. In the present embodiment, the determination result is not selectively output based on whether or not the transmission source of the packet is a malicious host, but the probability of being a malicious host and the probability of being a benign host are output. The determination result may be notified to the management computer 12, or may be output by providing a display unit in the packet processing apparatus 100.
  • the above is a procedure for determining whether or not the transmission source of the packet is a malicious host after receiving the transferred packet.
  • specific means for converting information (control information) included in the packet into an image will be described.
  • image conversion the configuration of a packet to be subjected to image conversion will be described.
  • communication by TCP / IP is performed, and packet imaging is performed mainly based on information set in each field of the TCP header of the TCP packet.
  • FIG. 5 is a diagram illustrating the configuration of a TCP packet according to the embodiment of the present invention.
  • the packet configuration shown in FIG. 5 is a general configuration, and each field will be described briefly.
  • “source port number” is the value of the source port number
  • “destination port number” is the destination port. Number value.
  • the “sequence number” is a value indicating the order of the transmitted data, and the data transmitted after being divided can be restored at the transmission destination.
  • the packet type control flag
  • the “confirmation response number” is composed of “sequence number received from the other party” and “data size”.
  • Data offset is a value indicating the length of the TCP header.
  • “Reservation” is a field prepared for future expansion, and all bits “0” are set.
  • the “control flag” is composed of six bits “URG”, “ACK”, “PSH”, “RST”, “SYN”, “FIN”, and sets a value of “1” to these bits. By doing so, the type of packet is specified.
  • Urgent means that data to be urgently processed is included.
  • ACK Acknowledgement
  • PSH Push
  • RST Reset
  • SYN Synchronize
  • the “window size” is used to notify the transmitting side of the amount of data that the receiving side can receive at one time, and the transmitting side must transmit beyond this amount of data. I can't.
  • the “checksum” is set to a value used for performing an error check on the TCP header and data portion.
  • the “emergency pointer” is used only when the URG value of the control flag is “1”, and information indicating the start position of emergency data is set.
  • the “option” is used to improve performance in TCP communication.
  • “Padding” is set to adjust the value of “0” of empty data in order to make the length of the TCP header an integer of 32 bits.
  • a packet includes a large number of parameter candidates that can be image conversion targets (features). For example, an IP address, a port number, a protocol number, a traffic amount, and the number of packets.
  • image conversion targets features
  • the distribution of the byte length per packet, the flow duration, the packet transmission interval, and the like can be considered.
  • the types of applications, protocols, and malwares are limited in order to reduce these parameter candidates, the versatility may be reduced.
  • a SYN packet transmitted at the start of communication (a TCP packet in which “1” is set in the control flag “SYN”) is the target of image conversion. It is presumed that devices connected to the Internet will always send a SYN packet at the start of communication, and if a packet is sent continuously due to a DDoS attack etc., it is presumed that a SYN packet different from the usual will be sent. Because it is done.
  • the SYN packet Since the SYN packet is transmitted to request establishment of a TCP connection, no data or the like is set. Therefore, a field that is highly likely to be different for each transmitted packet is set as a target field for image conversion. Specifically, the port number (transmission source, destination) sequence number, window size, and the time of receiving the packet (time stamp) are added to form five types of fields.
  • the packet data storage unit 161 holds the information of all packets transmitted and received in the network, a huge capacity is required.
  • the determination target is limited to the SYN packet, and the field to be imaged is further determined. By specifying, the capacity for storing packet data can be reduced. A procedure for imaging the behavior of a SYN packet transmitted from a specific transmission source will be described below.
  • FIG. 6 is a diagram for explaining image conversion for one packet in the embodiment of the present invention.
  • five types of fields including time (time stamp, Timestamp), source port number (Src Port), destination port number (Dst Port), sequence number (Seq), and window size (Win) are received.
  • time time stamp, Timestamp
  • source port number Src Port
  • destination port number Dst Port
  • sequence number Seq
  • Window window size
  • Is an object to be imaged and is handled as a 5 ⁇ 1 array having values corresponding to these fields as elements. These elements are selected as those that can be characteristic in classifying the packet transmission source, and may be other elements.
  • a 5 ⁇ 1 array corresponding to one packet is used as feature information.
  • the field to be imaged is 1 pixel
  • one packet is an image of 1 ⁇ 5 pixels as shown in FIG.
  • the color scheme of each pixel is determined based on the value of each element, and in this embodiment is a gray scale.
  • the DDoS attack is established by transmitting a large number of packets in a short period of time, a large number of packets having the same address as the transmission source are transmitted. At this time, a single packet is not necessarily characterized. Therefore, it is conceivable that it is possible to determine whether or not the packet is transmitted from a malicious host by examining the continuously transmitted packets collectively. For example, since it is difficult to manually output a large number of packets, there is a high possibility that the malicious host is executing a program that continuously transmits a large number of packets. In this case, it is conceivable that the packet output timings are equally spaced or the packet contents are the same.
  • FIG. 7 is a diagram for explaining a procedure for image conversion of a predetermined number of packets in the embodiment of the present invention.
  • the predetermined number is set to 100, and 100 continuously received packets are converted into one image.
  • the predetermined number may be a different value, but if it is changed, there is a possibility that learning with a neural network may be required again.
  • 100 packets of data are arranged in chronological order to generate a 100 ⁇ 5 array.
  • the generated 100 ⁇ 5 array is used as integrated feature information.
  • the value of each element of the array corresponding to the packet is normalized between 0 and 1 for each field (column). For example, for a time stamp, the arrival time of the first arriving packet is set to 0, and the arrival time of the last arriving packet is set to 1. Even when the numerical value does not necessarily make sense, such as a port number, it is only necessary that a specific numerical value corresponds to a specific port number.
  • the color scheme of each pixel is gray scale as described above, and in this embodiment, when the normalized value is 0, it is black, and when it is 1, it is white.
  • an image is generated by generating a 100 ⁇ 5 array and then transposing it. Thereby, an image of 5 ⁇ 100 pixels is generated.
  • an image of 100 packets as a predetermined number is converted to generate an image of 5 ⁇ 100 pixels, and the size of the image is as small as 5 ⁇ 100 (500) pixels. Do not need. However, if the converted image is continuously stored in the image storage unit 162, the capacity may be insufficient. Therefore, the image may be moved to an external storage device or may be deleted periodically. . For example, a classified image may be deleted, or a learned image may be deleted. Further, the packet transmission source may be held until it is classified, the data used for the learning data may be moved to the outside, and the other data may be deleted.
  • FIG. 8 is a diagram illustrating an example of an image obtained by converting a packet transmitted from the malicious host according to the embodiment of this invention.
  • FIG. 9 is a diagram illustrating an example of an image obtained by converting a packet transmitted from the benign host according to the embodiment of this invention. Packets transmitted from hosts of the same classification are image-converted in both the upper and lower stages.
  • FIG. 8 shows image conversion of a packet that has been subjected to a DDoS attack from a malicious host.
  • Each row includes a time stamp, a source port, a destination port, a sequence number, and a window size from the top.
  • FIG. 9 shows a packet transmitted from a benign host, for example, a packet transmitted and received as a result of an operation for browsing a site from a WEB server. Each item will be described below.
  • the rate of increase in brightness is constant.
  • the rate at which the brightness increases is not constant. Since the time when the first packet was received is 0 and the time when the last packet was received is 1 as described above, the time period during which the packets are collected differs depending on the image. May be. In this case, a malignant host that transmits a large amount of packets can generate an image in a short period of time. On the other hand, when a packet is transmitted by a human operation on a benign host, it takes a long time to generate an image.
  • the rule for generating an image may be determined by the type of cyber attack and compatibility with the determination by the neural network (adjustment of learning data, parameters, etc.).
  • the port number is periodically changed in the image of the malicious host, while the port number is changed in the image of the benign host, but regularity cannot be found. Further, focusing on the destination port, the port number is always constant in the image of the malicious host, whereas the port number is constantly changing in the image of the benign host, and regularity is not particularly found.
  • sequence numbers there is a difference between the image of the malignant host and the image of the benign host, but no special regularity can be found in any of them. I can't. Further, regarding the window size, the image of the malignant host and the image of the benign host are almost the same, and the difference in features cannot be recognized.
  • the packets to be collected are SYN packets.
  • the size of the SYN packets is small, an enormous capacity is not required even if the packets are accumulated.
  • the transmission content of the user is not specified, so that privacy can be taken into consideration.
  • the SYN packet is always transmitted when the connection is established, and is suitable for the purpose of the present invention because of its small size.
  • other packets may be used. For example, if the packet does not have a control flag set, the number of packets to be processed will be large, but the data itself will be small if the TCP payload is not referenced. Can be accumulated, and it can be expected to improve the classification (determination) accuracy.
  • the converted image is input to the classification unit 133 (neural network), and the packet transmission source is classified to detect a malicious host. Furthermore, machine learning by a neural network is performed by processing an enormous amount of packets, and it becomes possible to clarify characteristics that cannot be grasped by humans and improve the accuracy of determination. For example, as in the case of the sequence number described above, it is expected that the feature of the malicious host can be specified by processing a huge amount of data when the feature cannot be recognized even if the difference in the image itself is recognized.
  • a neural network that receives an image obtained by converting a packet (packet image) and outputs a probability that the packet transmission source is a benign host or a malignant host will be described.
  • the mechanism of the neural network in the present embodiment is an example, and is not limited to this example, but may be one that is often used in other documents. Also, in principle, methods based on existing technology may be applied to parameter adjustment and the like.
  • FIG. 10 is a diagram illustrating a neural network that determines the probability that a packet transmission source is a benign host or a malignant host in the embodiment of the present invention.
  • the neural network applied to this embodiment is a so-called convolutional neural network (Convolutional Neural Network: CNN), and has a structure including two layers, a convolutional layer and a pooling layer.
  • the procedure using the convolutional neural network is executed by the classification unit 133.
  • the classification unit 133 first inputs a packet image into the neural network. Next, in the convolution layer, a plurality of types of filters are applied to the entire input packet image, and a feature map in which the features of the packet image are extracted is output. Since the feature map is extracted for each filter, the size of each feature map is reduced in the pooling layer, and a new feature map in which the features are condensed is generated. Further, the generated feature map is input to the next convolution layer, and the accuracy is improved by repeating the convolution layer and the pooling layer by a predetermined level.
  • the probability that the host that transmitted the packet is a malicious host and a benign host can be output.
  • the accuracy of the determination result by the convolutional neural network can be improved by performing the learning efficiently.
  • learning is performed using a data set with a correct label collected in advance from the network. Specifically, input the image converted from the packet with the packet sent from the malicious host and the packet sent from the benign host in advance, and adjust the parameters to match the results. ing.
  • FIG. 11 is a diagram illustrating a result of applying the classification method according to the embodiment of the present invention to a data set.
  • the graph shown in FIG. 11 shows a learning curve, where the vertical axis is accuracy (the ratio in which accuracy, benign or malignant classification was accurate), and the horizontal axis is the number of epochs (epoch, the number of learning data learning). .
  • an accuracy of 98.39% was achieved after 20 epochs. That is, an image obtained by converting 100 packets is used as input, and it can be classified with 98% or more accuracy whether the host that has transmitted these packets is a benign host or a malignant host. .
  • the classification method including the learned neural network described in FIG. 11 is applied to a data set composed of packets collected in another network and verified. All packets included in this data set are transmitted from the malicious host.
  • FIG. 12 is a diagram illustrating a result of applying the classification method according to the embodiment of the present invention to a data set different from that in FIG.
  • the vertical axis represents CDF (cumulative probability)
  • the horizontal axis represents the probability of determining that a packet has been transmitted from a malicious host.
  • CDF cumulative probability
  • the horizontal axis represents the probability of determining that a packet has been transmitted from a malicious host.
  • 86% of all images are classified as malignant hosts with a probability of 50% or more.
  • 51% of all images are classified as malignant hosts with a probability of 99% or more.
  • the classification method of the present embodiment is also effective for packets in a network other than the network from which learning data is collected.
  • a SYN packet transmitted at the time of establishing a connection is converted into an image, and the converted image is compared with an image obtained by converting a SYN packet in illegal communication such as a DDoS attack.
  • Can detect cyber attacks since unauthorized communication is determined by image recognition using a neural network, it is possible to respond quickly even if the cyber attack pattern changes by performing regular learning.
  • a malicious host that may have generated a cyber attack can be quickly identified.
  • the means for sending packets is an unknown cyber attack, if a large number of packets are sent as a result, there is a high possibility that a malicious host can be identified by the technique shown in this embodiment. It can be expected that the occurrence of a failure can be prevented in advance or the failure can be quickly recovered by quickly identifying the malicious host and taking measures such as blocking the communication of the malicious host.
  • FIG. 13 is a diagram illustrating a modification of the network system according to the embodiment of this invention.
  • the packet mirror device 30 is arranged between the upstream network 10 and the downstream network 20, and the packet processing device 100 is arranged at the packet transfer destination, but as shown in FIG. 13, A communication device (router) 200 that interconnects the upstream network 10 and the downstream network 20 may have the function of the packet processing device 100.
  • the device configuration can be simplified.
  • direct communication can be cut off or a warning lamp of a communication device can be turned on according to the packet classification result.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

ネットワークを介して通信するパケットを収集可能な通信装置に関する。収集されるパケットは、ネットワークによる通信に必要な複数のデータを含む制御情報を有する。通信装置は、制御情報が有する複数のデータのうち少なくとも一部を含む特徴情報に基づいて、パケットを画像に変換する画像変換部と、変換された画像に基づいてパケットを分類する分類部と、を備える。

Description

通信装置、パケット処理方法及びプログラム
　本発明は、ネットワークで通信されるパケットを収集して不正な通信を検知する技術に関する。
　近年、ネットワークサービスに対して個人や組織を狙ったサイバー攻撃が問題となっている。サイバー攻撃には、例えば、悪意のある攻撃者がネットワークに大量のパケットを送信することでネットワークに負荷を増大させることによってネットワークサービス提供者のサービスを妨害するＤｏＳ攻撃（Denial of Service）やＤＤｏＳ攻撃（Distributed Denial of Service）が知られている。
　これらの攻撃からネットワークに接続されたＷｅｂサーバなどの通信機器を防御するために、種々の攻撃検知方法が提案されている。例えば、パケットカウント情報に基づいてパケットの受信間隔が一定間隔以下の状態が継続した期間を所定の閾値と比較することで攻撃を検知する技術などが提案されている（例えば、特許文献１参照）。このような攻撃を検知する技術によって攻撃を行っているホスト（悪性ホスト）を特定し、通信を遮断したり、攻撃を中止させたりする必要があった。
特開２０１７－１４７５５８号公報
　しかしながら、通信量の多いネットワークでは、正常な通信であっても送受信されるパケットが多いためにＤｏｓ攻撃のような不正な通信と検知されてしまうおそれがあった。これに対応するため、通信内容に基づいて不正な通信を検知するには多様なパターンに対応する必要があったため現実的には困難であった。
　本発明は、上記事情に鑑みなされたもので、多様なパターンの不正な通信を検知する技術を提供することを目的とする。
　本願において開示される発明の代表的な一例は、ネットワークを介して通信するパケットを収集可能な通信装置である。前記パケットは、前記ネットワークによる通信に必要な複数のデータを含む制御情報を有する。前記通信装置は、前記複数のデータのうち少なくとも一部を含む特徴情報に基づいて、前記パケットを画像に変換する画像変換部と、前記変換された画像に基づいて、前記パケットを分類する分類部と、を備える。
　本発明の代表的な実施形態によると、パケットを変換した画像に基づいてパケットを分類することができる。例えば、受信したパケットを変換した画像を、サイバー攻撃時のパケットを変換した画像と比較することによって、サイバー攻撃時のパケットの特徴を有するか否かを分類し、不正な通信を検知することができる。
本発明の実施形態の悪性ホストの検知方法の概要を説明する図である。 本発明の実施形態のネットワーク構成の一例を示す図である。 本発明の実施形態のパケット処理装置のハードウェア構成の一例を示す図である。 本発明の実施形態のパケット処理装置における各構成による処理の手順を説明する図である。 本発明の実施形態におけるＴＣＰパケットの構成を説明する図である。 本発明の実施形態において１パケット分の画像変換を説明する図である。 本発明の実施形態において所定数のパケットを画像変換する手順を説明する図である。 本発明の実施形態の悪性ホストから送信されたパケットを変換した画像の一例を示す図である。 本発明の実施形態の良性ホストから送信されたパケットを変換した画像の一例を示す図である。 本発明の実施形態においてパケットの送信元が良性ホスト又は悪性ホストである確率を判定するニューラルネットワークを説明する図である。 本発明の実施形態の分類方法をデータセットに対して適用した結果を説明する図である。 本発明の実施形態の分類方法を図１１とは異なるデータセットに対して適用した結果を説明する図である。 本発明の実施形態のネットワークシステムの変形例を示す図である。
　本実施形態では、特に、サイバー攻撃であるＤＤｏＳ攻撃を防御するための手段について説明する。ＤＤｏＳ攻撃では、ネットワークに接続している計算機に攻撃用プログラムを送り込み、この攻撃用プログラムによって攻撃対象となるＷｅｂサーバーなどの計算機に対して大量のリクエストを発行する（攻撃する）。さらに、複数の計算機に攻撃用プログラムを送り込んで同時に攻撃することによって、攻撃対象の計算機の負荷を増大させたり、攻撃対象の計算機が接続しているネットワークのトラフィックを増大させたりする。
　本実施形態では、採取したパケットを解析することによって、送信元の計算機（ホスト）がサイバー攻撃を行っているか、又は、正常な通信を行っているかを判定する。このとき、サイバー攻撃を行う計算機（悪性ホスト）から送信されたパケットを遮断する一方、正常な通信を行っている計算機（良性ホスト）から送信されたパケットを通過させる。また、悪性ホストが内部のネットワークに接続されているのであればネットワークから切り離し、悪性ホストが外部のネットワークに接続されているのであれば内部ネットワークの入り口でアクセスを拒否したり、悪性ホスト又は悪性ホストが接続されたネットワークの管理者に通報したりすればよい。以下、添付図面を参照しながら本発明の実施形態について説明する。
　図１は、本発明の実施形態の悪性ホストの検知方法の概要を説明する図である。本実施形態ではＴＣＰ／ＩＰによる通信を本手法の対象とし、悪性ホストの特定はＩＰアドレスによって行う。なお、他のプロトコルによる通信でも本発明を適用することが可能であり、また、悪性ホストの特定はＭＡＣアドレス等で行ってもよい。
　本実施形態では、まず、ネットワーク内で送受信されるパケットを採取する。パケットの採取は、他のネットワークと間を中継する通信機器で行ってもよいし、パケットミラー装置を介してパケット採取用機器にパケットの複製を送信して行ってもよい。
　次に、採取したパケットに基づく画像を生成し（画像化）、パケットを画像に変換する。また、特徴を明確にするために、所定数のパケットをまとめて画像化を行う。画像化の具体的な方法については後述する。本実施形態では、画像を生成するために一定数以上のパケットが必要となるため、送信元が共通のパケットを一定数まとめることで画像化を行う。なお、パケットを画像化するか否かを判定する期間及びパケット数の閾値については、送信先の計算機、ネットワークの種類・性能に基づいて決定すればよい。また、所定期間内に送信されたパケット数が閾値以下のパケットについては破棄してもよい。
　さらに、生成された画像を入力としてニューラルネットワークによって悪性ホストの特徴と有する画像であるか、良性ホストの特徴を有する画像であるかを分類（判定）する。すなわち、悪性ホストの検知は、パケットの送信元が悪性ホスト又は良性ホストに分類すること（悪性ホストであるか否かを判定）によって行う。パケットの送信元を悪性ホスト又は良性ホストに分類するニューラルネットはあらかじめ機械学習によってパラメータを調整しておくが、判定結果をリアルタイムに学習データに反映させるようにしてもよいし、採取したパケットや画像を蓄積し、定期的に学習データに反映させるようにしてもよい。最後に、悪性ホストと判定された（悪性ホストに分類された）画像に対応するＩＰアドレスをネットワークの管理者等に通知する。判定結果は、悪性ホストか良性ホストかを択一的に明示するものではなくてもよく、例えば、悪性ホストである可能性が８５％、良性ホストである可能性が１５％といった提示でもよい。このとき、悪性ホストである可能性が所定の確率以上（例えば、８０％）の場合に管理者に通知するようにしてもよい。
　以上、本実施形態における悪性ホストの検知方法の概要について説明した。続いて、本実施形態における悪性ホストの検知方法を適用するネットワーク構成の一例について説明する。図２は、本発明の実施形態のネットワーク構成の一例を示す図である。
　本実施形態では、上流ネットワーク（第１ネットワーク）１０と下流ネットワーク（第２ネットワーク）２０との間で通信が行われ、パケットが送受信される。また、上流ネットワーク１０と下流ネットワーク２０との間を相互接続する通信機器（ルーター）が配置されており、さらに、ネットワーク間を送受信されるパケットの複製を転送するパケットミラー装置３０が配置されている。なお、ルーターとパケットミラー装置３０は別の装置である必要はなく、ルーターがパケットミラー装置３０の機能を提供するようにしてもよい。
　パケットミラー装置３０によって複製されたパケットは、パケット処理装置（通信装置）１００に転送される。パケット処理装置１００は、パケットミラー装置３０から転送されたパケットを解析し、本実施形態における悪性ホストの検知方法によって、パケットの送信元が悪性ホストであるか否かを判定する。
　本実施形態では、上流ネットワーク１０に攻撃対象サーバ１１が接続されており、下流ネットワーク２０に接続された攻撃側端末２１は攻撃対象サーバ１１に大量のパケットを送信する。本実施形態では、パケットミラー装置３０は、悪性ホスト（攻撃側端末２１）から送信されたパケットであってもそのまま上流ネットワーク１０に当該パケットを転送している。
　パケット処理装置１００は、パケットの送信元（攻撃側端末２１）を悪性ホストと判定した（悪性ホストに分類した）場合には、上流ネットワーク１０に接続された管理計算機１２に検知結果（警報）を通知する。管理計算機１２は、検知結果（警報）が通知されると、警告メッセージを表示するなどして管理者に報知する。悪性ホストから送信されたパケットの遮断は、管理者が手動で行うようにしているが、ルーターが自動的に遮断するようにしてもよい。本実施形態では、悪性ホストであるか否かを択一的に提示するものではなく、悪性ホストである可能性を判定するものであるため、悪性ホストの可能性が認められた場合に判定結果が所定の閾値以上の場合にはパケットの転送を遮断し、それ以外の場合にはパケットの転送を継続しつつ管理計算機１２に通知するようにしてもよい。管理計算機１２は、ルーター、パケットミラー装置３０、パケット処理装置１００を設定するなど、ネットワークを管理するための端末として機能する。ネットワーク関連以外のサーバー（例えば、攻撃対象サーバ１１）等の管理を行うものであってもよい。
　以上、本実施形態におけるネットワーク構成の一例について説明した。続いて、パケットの送信元が悪性ホストであるか否かを判定する手法について説明する。まず、悪性ホストの検知方法を適用するパケット処理装置１００のハードウェア及びソフトウェアの構成について説明し、続いて具体的な手法について説明する。
　図３は、本発明の実施形態のパケット処理装置１００のハードウェア構成の一例を示す図である。パケット処理装置１００は、通信インターフェース（ＩＦ）１０１、プロセッサ（ＣＰＵ）１１０、メモリ１２０及び記憶装置１６０を備え、各構成はバスによって接続される。
　通信インターフェース（ＩＦ）１０１は、パケットミラー装置３０によって転送されたパケットを受信したり、管理計算機１２からの命令入力を受け付けたりする。プロセッサ（ＣＰＵ）１１０は、メモリ１２０に記憶された各種プログラムを実行することによって各種機能を提供し、例えば、パケットの送信元が悪性ホストであるか否かを判定する機能を提供する。メモリ１２０は、プロセッサ１１０によって実行される各種プログラムを記憶し、プログラムの実行に必要なデータを一時的に記憶する。記憶装置１６０は、通信インターフェース（ＩＦ）１０１を介して受信したパケットの情報を蓄積したり、プログラムによるパケットの処理結果を格納したりする。
　次に、メモリ１２０及び記憶装置１６０の構成について説明する。メモリ１２０は、パケットの送信元が悪性ホストであるか否かを判定する検知部１３０と、悪性ホストを判定するための学習データを生成する学習部１４０とを記憶する。検知部１３０及び学習部１４０は、プログラム及び当該プログラムを実行するためのデータによって構成される。記憶装置１６０は、パケットデータ格納部１６１、画像格納部１６２及び学習データ格納部１６３を提供する。以下、各構成について説明する。
　検知部１３０は、パケットミラー装置３０から転送されたパケットの送信元が悪性ホストであるかを判定する。検知部１３０は、パケット取得部１３１、パケット画像変換部１３２及び分類部１３３を含む。パケット取得部１３１は、通信ＩＦ１０１を介してパケットミラー装置３０から転送されたパケットを一時的に記憶し、受信したパケットの内容に基づいてパケットデータ格納部１６１に格納する。
　パケット画像変換部１３２は、パケットデータ格納部１６１から画像を作成する対象のパケットデータを取得し、画像に変換する。画像を変換する具体的な手順については図６及び図７にて後述する。パケット画像変換部１３２は、パケットデータから変換された画像を画像格納部１６２に格納する。分類部１３３には変換された画像を直接引き渡してもよいし、分類部１３３が画像格納部１６２から必要なデータを取得するようにしてもよい。
　分類部１３３は、パケット画像変換部１３２によって変換された画像をニューラルネットに入力し、学習データ格納部１６３に格納された学習データに基づいて画像の変換元となったパケットを分類する。具体的にはパケットの送信元が良性ホストであるか若しくは悪性ホストであるかを分類する。
　学習部１４０は、分類部１３３による判定（分類）精度を向上させるために、ニューラルネットワークにおける学習を行う。学習データ収集部１４１は、パケットデータ格納部１６１、画像格納部１６２に格納されたデータ及び画像と、パケットの送信元が実際に悪性ホストであったか否かの結果等の情報を収集する。ニューラルネット学習部１４２は、収集された学習データ及び学習データ格納部１６３に格納された学習データに基づいて精度を向上させたパラメータを決定するなどニューラルネットの学習を行う。さらに、決定されたパラメータなどの学習結果を学習データ格納部１６３に反映させる。
　続いて、図３にて説明したパケット処理装置１００の各構成によってパケットの送信元が悪性ホストであるか否かを判定する処理の手順について説明する。図４は、本発明の実施形態のパケット処理装置１００における各構成による処理の手順を説明する図である。
　まず、悪性ホストを判定するためのニューラルネットワークの学習を実施するための学習フェーズ（学習部１４０）について説明する。学習フェーズでは、ニューラルネットワークによる判定の精度を向上させるためのパラメータを調整することを目的とする。ニューラルネットワークでは、適切な学習データによって学習することによって精度を向上させることができる。
　本実施形態では、ニューラルネットワークの学習を実施するタイミングは、管理計算機１２からの学習実行指示を行った場合としているが、これに限らず、学習開始条件を満たした場合に学習を実施してもよい。学習開始条件としては、所定期間経過ごとに学習を実施してもよいし、学習用のデータが一定以上蓄積された場合に実施してもよい。また、悪性ホストによる攻撃のパターンが新しくなり、判定精度が悪化した場合に新たな攻撃パターンに基づく学習データを用いて学習するようにしてもよい。
　学習データ収集部１４１は、管理計算機１２からの学習指示を受け付けると、パケットデータ格納部１６１及び画像格納部１６２から学習データを収集する。このとき、判定精度を向上させるために学習データを選別して使用してもよい。学習データの選別は一般的な手法を用いる。なお、学習データは外部から取得してもよく、例えば、他のネットワークで収集されたパケットに基づく学習データを利用することによって、分類精度をより向上させることが期待される。
　続いて、ニューラルネット学習部１４２は、学習データ収集部１４１によって収集された学習データに基づいてニューラルネットワークの学習を実施する。このとき、学習データ格納部１６３から学習結果を反映する前の学習データを取得し、学習実施後、学習結果を反映させた学習データを学習データ格納部１６３に格納する。学習データは、ニューラルネットによってパケットの送信元を良性ホスト又は悪性ホストに分類するために必要なパラメータ及びデータである。
　ニューラルネット学習部１４２は、学習結果を反映させた学習データを学習データ格納部１６３に格納すると、管理計算機１２に学習完了を通知する。なお、管理計算機１２からの学習指示ではなく、学習開始条件が成立したことなどによって自動的に学習を実施した場合には、ログファイルなどに学習の実行ログを記録するようにしてもよい。
　次に、転送されたパケットの送信元が悪性ホストであるか否かを判定する検知フェーズ（検知部１３０）について説明する。検知フェーズでは、パケットミラー装置３０から転送されたパケットをパケット取得部１３１が受信し、パケットに含まれる情報をパケットデータ格納部１６１に格納する。パケットデータ格納部１６１に格納する情報は、受信した順序で格納してもよいが、後述するように送信元のＩＰアドレスが同じパケットに対してパケットの画像化を行うので、ＩＰアドレス順に格納するようにしてもよい。また、パケットに含まれるすべての項目について格納する必要はなく、パケットの送信元が悪性ホストか良性ホストかを分類するために必要なデータのみを格納すればよい。さらに、パケットに含まれていない情報をパケットデータ格納部１６１に格納してもよく、例えば、パケットの受信日時（タイムスタンプ）をパケットデータとして格納してもよい。
　次に、パケット画像変換部１３２は、パケットデータ格納部１６１に格納された情報を画像変換する。画像変換の対象となるパケットデータは、送信元のＩＰアドレスが同じものであるため、対象のデータをパケットデータ格納部１６１から取得する。本実施形態では、所定数のパケットデータを一の画像に変換するため、未変換のパケットデータが所定数格納されていない場合には画像変換を行わない。所定数に満たない程度のパケット数であれば宛先の計算機やネットワークの負荷は大きくないため、悪性ホストあるか否かを判定するまでもないからである。
　また、画像に変換したパケットデータを重複して対象としないように削除してもよい。このとき、学習データとして利用する可能性があれば、変換対象のデータとは別の領域に移動させてもよいし、１件のパケットデータに変換済みか否かを示すフラグを追加して設定するようにしてもよい。パケットデータの削除は、定期的に手動で行ってもよいし、一定期間以上経過したデータ、学習データとして利用されたデータを対象に自動で行ってもよい。
　パケット画像変換部１３２は、パケットデータを画像に変換すると、画像格納部１６２に変換後の画像を格納する。変換後の画像は必要に応じて学習データとして利用され、学習データ収集部１４１の実行時に画像格納部１６２から画像を取得する。なお、学習データ収集部１４１にてパケットデータ格納部１６１からパケットデータを取得して画像に変換することによって画像格納部１６２を備えない構成としてもよい。
　さらに、パケット画像変換部１３２は、パケットデータを画像に変換した後、変換後の画像を分類部１３３に引き渡す。このとき、分類部１３３が画像格納部１６２から変換後の画像を取得するようにしてもよい。
　分類部１３３は、ニューラルネットによってパケットの送信元を良性ホスト又は悪性ホストに分類する。具体的には、前述したように、パケット画像変換部１３２によって変換された画像をニューラルネットに入力し、学習データ格納部１６３に格納された学習データに基づいて画像の変換元となったパケットの送信元が悪性ホストであるか否かを判定する。本実施形態では、判定結果をパケットの送信元が悪性ホストであるか否かを択一的に選択して出力するのではなく、悪性ホストである確率及び良性ホストである確率を出力する。判定結果は、管理計算機１２に通知してもよいし、パケット処理装置１００に表示部を設けて出力するようにしてもよい。
　以上が転送されたパケットを受信してからパケットの送信元が悪性ホストであるか否かを判定する手順である。続いて、パケットに含まれる情報（制御情報）から画像に変換する具体的な手段について説明する。まず、画像変換の具体的な手段を説明する前に、画像変換の対象となるパケットの構成について説明する。本実施形態のネットワークではＴＣＰ／ＩＰによる通信を行っており、パケットの画像化は主にＴＣＰパケットのＴＣＰヘッダの各フィールドに設定された情報に基づいて行われる。
　図５は、本発明の実施形態におけるＴＣＰパケットの構成を説明する図である。図５に示したパケットの構成は一般的なものであり、各フィールドについて簡単に説明すると、まず、「送信元ポート番号」は送信元のポート番号の値、「宛先ポート番号」は宛先のポート番号の値である。「シーケンス番号」は送信したデータの順序を示す値であり、これにより分割して送信されたデータを送信先で復元することができる。また、パケットの種類（コントロールフラグ）が「ＡＣＫ」の場合には、「相手から受信した確認応答番号」の値が格納される。「確認応答番号」は「相手から受信したシーケンス番号」及び「データサイズ」によって構成される。「データオフセット」はＴＣＰヘッダの長さを示す値である。「予約」は将来の拡張のために用意されているフィールドであり、全ビット「０」が設定される。
　「コントロールフラグ」は、「ＵＲＧ」、「ＡＣＫ」、「ＰＳＨ」、「ＲＳＴ」、「ＳＹＮ」、「ＦＩＮ」の６つのビットで構成されており、これらのビットに「１」の値を設定することによってパケットの種類が特定される。各フラグについて説明すると、「ＵＲＧ（Ｕｒｇｅｎｔ）」は緊急に処理すべきデータ含まれていることを意味する。「ＡＣＫ（Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）」は確認応答番号のフィールドが有効であることを意味し、コネクション確立時以外は「１」が設定される。「ＰＳＨ（Ｐｕｓｈ）」は受信したデータをバッファリングせずに、即座にアプリケーション（上位）に渡すことを意味する。「ＲＳＴ（Ｒｅｓｅｔ）」はコネクションが強制的に切断されることを意味し、異常が検出された場合に送信される。「ＳＹＮ（Ｓｙｎｃｈｒｏｎｉｚｅ）」はコネクションの確立を要求することを意味する。「ＦＩＮ」はコネクションの正常な終了を要求することを意味する。
　さらに、その他のフィールドについて説明すると、「ウィンドウサイズ」は受信側が一度に受信することができるデータ量を送信側に通知するために使用され、送信側はこの値のデータ量を超えて送信することはできない。「チェックサム」はＴＣＰヘッダとデータ部分のエラーチェックを行うために使用される値が設定される。「緊急ポインタ」はコントロールフラグのＵＲＧの値が「１」である場合にのみ使用され、緊急データの開始位置を示す情報が設定される。「オプション」はＴＣＰの通信において性能を向上させるために利用される。「パディング」はＴＣＰヘッダの長さを３２ビットの整数にするために空データの「０」の値を調整用に設定される。
　以上のように、パケット（ヘッダ情報）には、画像変換の対象（特徴量）となりうる膨大なパラメータの候補が含まれており、例えば、ＩＰアドレス、ポート番号、プロトコル番号、トラフィック量、パケット数、パケットあたりのバイト長の分布、フローの継続時間、パケットの送信間隔等が考えられる。一方、これらのパラメータの候補を削減するために、アプリケーション、プロトコル、マルウェアの種類を限定すると、汎用性を低下させてしまうおそれがある。
　そこで、本実施形態では、ＴＣＰパケットのうち、通信開始時に送信されるＳＹＮパケット（コントロールフラグの「ＳＹＮ」に「１」が設定されたＴＣＰパケット）を画像変換の対象とする。インターネットに接続される機器は通信開始時に必ずＳＹＮパケットを送信するものと推測され、さらに、ＤＤｏＳ攻撃等でパケットを連続して送信する場合には通常とは異なるＳＹＮパケットが送信されることが推測されるからである。
　ＳＹＮパケットは、ＴＣＰ接続の確立を要求するために送信されるため、データ等は設定されていない。そこで、送信されたパケットごとに異なる可能性の高いフィールドを画像変換の対象フィールドとする。具体的には、ポート番号（送信元、宛先）シーケンス番号、ウィンドウサイズとし、さらに、パケットを受信した時刻（タイムスタンプ）を加えて５種類のフィールドとする。
　ここで、ネットワーク内で送受信されるすべてのパケットの情報をパケットデータ格納部１６１で保持すると膨大な容量が必要となるが、判定対象をＳＹＮパケットに限定し、さらに画像化の対象となるフィールドを特定することによってパケットデータを格納するための容量を削減することができる。以下、特定の送信元から送信されるＳＹＮパケットの振る舞いを画像化する手順について説明する。
　図６は、本発明の実施形態において１パケット分の画像変換を説明する図である。本実施形態では、パケットを受信した時刻（タイムスタンプ、Ｔｉｍｅｓｔａｍｐ）、送信元ポート番号（Ｓｒｃ　Ｐｏｒｔ）、宛先ポート番号（Ｄｓｔ　Ｐｏｒｔ）、シーケンス番号（Ｓｅｑ）、ウィンドウサイズ（Ｗｉｎ）の５種類のフィールドを画像化の対象とし、これらのフィールドに対応する値を要素とする５×１の配列として扱う。これらの要素は、パケットの送信元を分類する上で特徴となり得るものとして選択したものであり、他の要素としてもよい。１パケットに対応する５×１の配列を特徴情報とする。また、画像化の対象となるフィールドを１ピクセルとし、図６に示すように、１パケットは１×５ピクセルの画像となる。各ピクセルの配色は、各要素の値に基づいて決定し、本実施形態ではグレースケールとする。
　ＤＤｏＳ攻撃は、短期間に大量のパケットを送信することで攻撃を成立させるため、送信元が同じアドレスのパケットが大量に送信されることになる。このとき、パケット単体に特徴があるとは限らない。そのため、連続して送信されたパケットをまとめて精査することによって、悪性ホストから送信されたパケットであるか否かを判定できることが考えられる。例えば、人手で大量のパケットを出力させることは困難であるため、悪性ホストが大量のパケットを連続して送信するプログラムを実行させている可能性が高くなる。この場合、パケットを出力するタイミングが等間隔であったり、パケットの内容が同じであったりすることが考えられる。
　そこで、本実施形態では、前述のように、同じＩＰアドレスの送信元から連続して受信したパケットが所定数採取された段階で画像変換する。図７は、本発明の実施形態において所定数のパケットを画像変換する手順を説明する図である。本実施形態では所定数を１００とし、連続して受信した１００個のパケットを１枚の画像に変換する。なお、所定数は別の値であってもよいが、変更した場合にはニューラルネットワークでの学習が再度必要となる可能性がある。
　画像変換の手順としては、まず、１００個分のパケットのデータを時系列順に配置して１００×５の配列を生成する。生成された１００×５の配列を統合特徴情報とする。このとき、パケットに対応する配列の各要素の値は、フィールド（列）ごとに０から１の間で正規化する。例えば、タイムスタンプであれば、最初に到着したパケットの到着時刻を０とし、最後に到着したパケットの到着時刻を１とする。ポート番号のように必ずしも数値の大小が意味をなさない場合であっても特定のポート番号に必ず特定の数値が対応していればよい。このようにすることで、例えば、連続して同じポート番号が指定されていれば同色になり、周期的にポート番号が変化していれば、画像に特定のパターンが形成されるため画像化後の特徴が明確になる。また、各ピクセルの配色は、前述のようにグレースケールとなっており、本実施形態では、正規化後の値が０の場合には黒、１の場合は白としている。なお、本実施形態では、１００×５の配列を生成した後、転置させて画像を生成する。これにより、５×１００ピクセルの画像が生成される。
　なお、本実施形態では、所定数として１００個のパケットの画像を変換し、５×１００ピクセルの画像を生成しており、画像のサイズが５×１００（５００）ピクセルと小さいため、膨大な容量を必要としない。しかしながら、変換後の画像を画像格納部１６２に格納し続けると容量が不足する可能性があるため、外部のストレージ装置に画像を移動させてもよいし、定期的に削除するようにしてもよい。例えば、分類済みの画像を削除するようにしてもよいし、学習済みの画像を削除してもよい。また、パケットの送信元が分類されるまで保持し、学習データ利用するデータは外部に移動させ、その他のデータは削除するようにしてもよい。
　以上の手順で生成した画像の一例について説明する。図８は、本発明の実施形態の悪性ホストから送信されたパケットを変換した画像の一例を示す図である。図９は、本発明の実施形態の良性ホストから送信されたパケットを変換した画像の一例を示す図である。上段及び下段ともに同じ分類のホストから送信されたパケットを画像変換したものである。
　図８は悪性ホストからＤＤｏＳ攻撃を行ったパケットを画像変換したものである。各行は上からタイムスタンプ、送信元ポート、宛先ポート、シーケンス番号、ウィンドウサイズである。図９は良性ホストから送信されたパケットであり、例えば、ＷＥＢサーバからサイトを閲覧するために操作した結果、送受信されたパケットである。以下、各項目について説明する。
　まず、タイムスタンプに着目すると、図８に示す画像では、攻撃用プログラム（マルウェア）によって連続してパケットが送信されるため、明度が高くなる割合が一定となっている。一方、図９に示す画像では、明度が高くなる割合が一定でなくなっている。なお、前述のように最初にパケットを受信した時刻を０、最後にパケットを受信した時刻を１としているため、パケットを収集した期間が画像によって異なることになるが、時間軸を一致させるようにしてもよい。この場合、大量にパケットを送信する悪性ホストでは短期間で画像の生成が可能となる一方、良性ホストで人による操作でパケットが送信される場合には画像の生成に長期間を要する。そのため、悪性ホストの画像は明度の変化が小さくなる一方、良性ホストの画像は明度の変化が大きくなる。このように時間軸を異ならせても同じにしても悪性ホストと良性ホストとで異なる傾向が現れる。画像を生成する規則については、サイバー攻撃の種類、ニューラルネットワークによる判定との相性（学習データやパラーメータの調整など）によって決定すればよい。
　次に、送信元ポートに着目すると、悪性ホストの画像ではポート番号が周期的に変化を繰り返している一方、良性ホストの画像ではポート番号が変化しているが、規則性は見出せなくなっている。また、宛先ポートに着目すると、悪性ホストの画像ではポート番号が常に一定である一方、良性ホストの画像ではポート番号が時々刻々と変化しており、規則性は特に発見されない。
　さらに、シーケンス番号については、悪性ホストの画像と良性ホストの画像との間に差異が認められるが、いずれも特別な規則性を見出すことはできず、視認しただけでは特徴の差異を判断することはできない。また、ウィンドウサイズについては、悪性ホストの画像も良性ホストの画像もほぼ同じであり、特徴の差異を認識することはできない。
　以上のように、本実施形態では、悪性ホストから送信されたパケットを変換した画像と、良性ホストから送信されたパケットを変換した画像とで異なる特徴を把握することが可能となり、サイバー攻撃の早期発見を支援することができる。
　また、本実施形態では、収集するパケットをＳＹＮパケットとしているが、ＳＹＮパケットのサイズは小さいためパケットを蓄積しても膨大な容量を必要としない。また、画像変換の要素となる値はＴＣＰヘッダから取得され、ＴＣＰペイロードを参照しないため、利用者の送信内容を特定することはないため、プライバシーにも配慮することができる。このように、ＳＹＮパケットはコネクション確立時に必ず送信され、サイズが小さいことから本発明の目的に適しているが、他のパケットを使用してもよい。例えば、コントロールフラグが設定されていないパケットであれば処理対象のパケットは大量になるがＴＣＰペイロードを参照しなければ扱うデータ自体は小さくなるため、データの処理及び格納に問題なければ十分な学習データを蓄積することが可能となり、分類（判定）精度を向上させることが期待できる。
　以上、パケットの画像変換について説明したが、本実施形態では、変換後の画像を分類部１３３（ニューラルネットワーク）の入力とし、パケットの送信元を分類することによって悪性ホストであることを検知する。さらに、膨大な量のパケットを処理することによってニューラルネットワークによる機械学習を行い、人間が把握できない特徴を明らかにして判定の精度を向上させることが可能となる。例えば、前述したシーケンス番号のように、画像そのものの差異は認められても特徴を認識できない場合など、膨大な量のデータを処理することによって悪性ホストの特徴を特定することが期待できる。
　以下、パケットを変換した画像（パケット画像）を入力とし、パケットの送信元が良性ホスト又は悪性ホストである確率を出力するニューラルネットについて説明する。なお、本実施形態におけるニューラルネットの仕組みは一例であり、この例に限定されるものではなく、他の文献等でよく用いられているものを適用してもよい。また、パラメータの調整等についても原則的に既存の技術に基づく手法を適用すればよい。
　図１０は、本発明の実施形態においてパケットの送信元が良性ホスト又は悪性ホストである確率を判定するニューラルネットワークを説明する図である。本実施形態に適用するニューラルネットワークは、いわゆる畳み込みニューラルネットワーク（Ｃｏｎｖｏｌｕｔｉｏｎａｌ　Ｎｅｕｒａｌ　Ｎｅｔｗｏｒｋ：ＣＮＮ）と呼ばれるものであり、畳み込み層とプーリング層の２つの層を含む構造となっている。畳み込みニューラルネットワークを用いた手順は分類部１３３にて実行される。
　分類部１３３は、まず、ニューラルネットワークにパケット画像を入力する。次に、畳み込み層において、入力されたパケット画像全体に対して複数種類のフィルタを適用し、パケット画像の特徴を抽出した特徴マップを出力する。特徴マップはフィルタごとに抽出されるため、プーリング層で各特徴マップのサイズをそれぞれ縮小し、特徴が凝縮された新たな特徴マップを生成する。さらに、生成された特徴マップを次の畳み込み層に入力し、所定の階層分だけ畳み込み層とプーリング層を繰り返して精度を向上させる。
　畳み込み層及びプーリング層における処理が終了すると、特徴マップのサイズを１次元に変換する平滑化（ｆｌａｔｔｅｎｉｎｇ）を実行し、全結合層において、重み付き結合を計算し、活性化関数（例えば、ＲｅＬＵ）によって変換された値（特徴変数）を出力する。さらに、ドロップアウト層において、過学習を防止して判定結果の精度を高めるために、所定の比率（例えば、０．５）で特徴変数の値を０にする。最後に、特徴変数に基づいて、パケットが良性ホストから送信された確率と悪性ホストから送信された確率を出力する。
　以上のように、画像認識に高い精度を発揮する畳み込みニューラルネットワークに、特定のホストから送信されたパケットを変換した画像を入力することによって、パケットを送信したホストが悪性ホストである確率及び良性ホストである確率を出力することができる。
　また、畳み込みニューラルネットワークによる判定結果の精度は、効率的に学習を行うことで向上させることができる。本実施形態では、あらかじめネットワークから収集した正解ラベル付きのデータセットを使用して学習している。具体的には、悪性ホストから送信されたパケットと良性ホストから送信されたパケットをあらかじめ把握した状態でパケットを変換した画像を入力し、把握されている結果と一致するようにパラメータの調整を行っている。
　また、収集したデータセットのうち半分を学習データとして利用し、残り半分を送信されたパケットとして利用して検証を行った。図１１は、本発明の実施形態の分類方法をデータセットに対して適用した結果を示す図である。図１１に示すグラフは学習曲線を示し、縦軸が正確さ（ａｃｃｕｒａｃｙ、良性又は悪性の分類が正確であった比率）、横軸がエポック数（ｅｐｏｃｈ、学習データの学習回数）となっている。
　本実施形態に示す手法をデータセットに適用した結果、２０エポック後に９８．３９％の精度を達成した。すなわち、１００個のパケットを変換した画像を入力とし、これらのパケットを送信したホストが良性ホストであるか悪性ホストであるかを９８％以上の精度で分類することができたことを示している。
　続いて、図１１にて説明した学習済みのニューラルネットワークを含む分類方法を別のネットワークで収集されたパケットで構成されたデータセットに適用して検証する。なお、このデータセットに含まれるパケットはすべて悪性ホストから送信されたものとなっている。
　図１２は、本発明の実施形態の分類方法を図１１とは異なるデータセットに対して適用した結果を説明する図である。図１２に示すグラフでは、縦軸はＣＤＦ（累積確率）、横軸は悪性ホストからパケットが送信されたと判定される確率となっている。図１２を参照すると、全体の８６％の画像は５０％以上の確率で悪性ホストに分類されている。また、全体の５１％の画像は９９％以上の確率で悪性ホストに分類されている。このように、本実施形態の分類方法は、学習データを収集したネットワークとは別のネットワークのパケットについても効果を奏することがわかる。
　以上のように、本実施形態によれば、コネクション確立時に送信されるＳＹＮパケットを画像に変換し、変換後の画像をＤＤｏＳ攻撃などの不正な通信におけるＳＹＮパケットを変換した画像と比較することによって、サイバー攻撃を検知することができる。また、ニューラルネットワークによる画像認識によって不正な通信を判定するため、定期的に学習を行うことでサイバー攻撃のパターンが変化した場合であっても迅速に対応することができる。
　さらに、本実施形態によれば、パケットの内容によらずにパケットを送受信する挙動に着目するため、新たな手段でサイバー攻撃を行っていてもサイバー攻撃が発生している可能性のある悪性ホストを迅速に特定することが可能となる。例えば、パケットを送出する手段が未知のサイバー攻撃であっても、結果的に大量のパケットが送出されるのであれば、本実施形態で示した技術によって悪性ホストを特定できる可能性が高い。悪性ホストを迅速に特定し、悪性ホストの通信を遮断することなどの対応を行うことにより障害の発生を未然に防いだり、早期に障害から復旧したりすることが期待できる。
　図１３は、本発明の実施形態のネットワークシステムの変形例を説明する図である。図２に示した構成では、上流ネットワーク１０と下流ネットワーク２０との間にパケットミラー装置３０が配置され、パケットの転送先にパケット処理装置１００が配置されていたが、図１３に示すように、上流ネットワーク１０と下流ネットワーク２０との間を相互接続する通信装置（ルーター）２００がパケット処理装置１００の機能を有するようにしてもよい。このように構成することによって、機器構成をシンプルにすることができる。また、パケットの分類結果に応じて直接通信を遮断したり、通信機器の警告ランプを点灯させたりすることが可能となる。
　以上、本発明の実施形態について説明したが、上記実施形態は本発明の適用例の一部を示したに過ぎず、本発明の技術的範囲を上記実施形態の具体的構成に限定する趣旨ではない。
　１０　　上流ネットワーク
　１１　　攻撃対象サーバ
　１２　　管理計算機
　２０　　下流ネットワーク
　２１　　攻撃側端末
　３０　　パケットミラー装置
　１００　　パケット処理装置（通信装置）
　１０１　　通信インターフェース（ＩＦ）
　１１０　　プロセッサ（ＣＰＵ）
　１２０　　メモリ
　１３０　　検知部
　１３１　　パケット取得部
　１３２　　パケット画像変換部
　１３３　　分類部
　１４０　　学習部
　１４１　　学習データ収集部
　１４２　　ニューラルネット学習部
　１６０　　記憶装置
　１６１　　パケットデータ格納部
　１６２　　画像格納部
　１６３　　学習データ格納部
　２００　　通信装置（ルーター）
 

Claims (10)

  1. 　ネットワークを介して通信するパケットを収集可能な通信装置であって、
    　前記パケットは、前記ネットワークによる通信に必要な複数のデータを含む制御情報を有し、
    　前記通信装置は、
    　前記複数のデータのうち少なくとも一部を含む特徴情報に基づいて、前記パケットを画像に変換する画像変換部と、
    　前記変換された画像に基づいて、前記パケットを分類する分類部と、を備えることを特徴とする通信装置。
  2. 　請求項１に記載の通信装置において、
    　前記分類部は、前記ネットワークに対して正常な通信を行う良性ホストから送信されたパケットと、前記ネットワークに対して不正な通信を行う悪性ホストから送信されたパケットに分類することを特徴とする通信装置。
  3. 　請求項１又は請求項２に記載の通信装置において、
    　前記分類部は、前記画像変換部によって変換された画像を入力とするニューラルネットワークによって前記パケットを分類することを特徴とする通信装置。
  4. 　請求項１から請求項３のいずれか１項に記載の通信装置において、
    　前記ネットワークの通信プロトコルは、ＴＣＰ／ＩＰであり、
    　前記制御情報は、ＴＣＰヘッダを構成する情報を含むことを特徴とする通信装置。
  5. 　請求項４に記載の通信装置において、
    　前記画像変換部は、前記ＴＣＰヘッダのＳＹＮフラグが設定されているパケットを画像に変換することを特徴とする通信装置。
  6. 　請求項１から請求項５のいずれか１項に記載の通信装置において、
    　前記画像変換部は、
    　同じ送信元から送信された所定数のパケットに対応する各特徴情報から統合特徴情報を作成し、
    　前記統合特徴情報に基づいて、前記所定数のパケットを一の画像に変換することを特徴とする通信装置。
  7. 　請求項６に記載の通信装置において、
    　前記特徴情報には、前記パケットが収集された時刻が含まれており、
    　前記収集された各パケットに対応する領域が時系列順に配置されることを特徴とする通信装置。
  8. 　請求項１から請求項７のいずれか１項に記載の通信装置において、
    　前記画像変換部は、
    　前記特徴情報に含まれるデータに対応する領域の配色を決定し、
    　前記データに対応する領域を所定の領域に配置することによって前記パケットを画像に変換することを特徴とする通信装置。
  9. 　ネットワークを介して通信するパケットを収集可能な通信装置において、当該収集されたパケットを処理する方法であって、
    　前記パケットは、前記ネットワークによる通信に必要な複数のデータを含む制御情報を有し、
    　前記方法は、
    　前記複数のデータのうち少なくとも一部を含む特徴情報に基づいて、前記パケットを画像に変換するステップと、
    　前記変換された画像に基づいて、前記パケットを分類するステップと、を含むことを特徴とする方法。
  10. 　ネットワークを介して通信し、当該ネットワークによる通信に必要な複数のデータを含む制御情報を有するパケットを処理するプログラムであって、
    　前記複数のデータのうち少なくとも一部を含む特徴情報に基づいて、前記パケットを画像に変換する処理と、
    　前記変換された画像に基づいて、前記パケットを分類する処理と、をコンピュータに実行させることを特徴とするプログラム。
     
     
PCT/JP2019/022811 2018-06-11 2019-06-07 通信装置、パケット処理方法及びプログラム WO2019240054A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018111069A JP2019216305A (ja) 2018-06-11 2018-06-11 通信装置、パケット処理方法及びプログラム
JP2018-111069 2018-06-11

Publications (1)

Publication Number Publication Date
WO2019240054A1 true WO2019240054A1 (ja) 2019-12-19

Family

ID=68841860

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/022811 WO2019240054A1 (ja) 2018-06-11 2019-06-07 通信装置、パケット処理方法及びプログラム

Country Status (2)

Country Link
JP (1) JP2019216305A (ja)
WO (1) WO2019240054A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022114025A1 (ja) * 2020-11-24 2022-06-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知方法、異常検知装置、及び、プログラム

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021192191A1 (ja) 2020-03-27 2021-09-30 日本電気株式会社 異常アクセス予測システム、異常アクセス予測方法およびプログラム記録媒体

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003289337A (ja) * 2002-03-28 2003-10-10 Nippon Telegr & Teleph Corp <Ntt> 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法
US20110016525A1 (en) * 2009-07-14 2011-01-20 Chi Yoon Jeong Apparatus and method for detecting network attack based on visual data analysis

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003289337A (ja) * 2002-03-28 2003-10-10 Nippon Telegr & Teleph Corp <Ntt> 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法
US20110016525A1 (en) * 2009-07-14 2011-01-20 Chi Yoon Jeong Apparatus and method for detecting network attack based on visual data analysis

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
FUDETANI MITSUO: "Detection and identification of Dos attack by the packet analysis (non official translation )", PROCEEDINGS OF THE 67TH /2005) NATIONAL CONVENTION OF IPSJ (3) DATABASE AND MEDIA NETWORK, 2 March 2005 (2005-03-02) *
RYO NAKAMURA ET AL.: "Malicious Host Detection by Imaging SYN Packets and A Neural Network", 2018 INTERNATIONAL SYMPOSIUM ON NETWORKS, COMPUTERS AND COMMUNICATIONS (ISNCC)E, 19 June 2018 (2018-06-19), pages 1 - 4, XP033442705, DOI: 10.1109/ISNCC.2018.8530964 *
XIAOYONG YUAN ET AL.: "DeepDefense: Identifying DDoS Attack via Deep Learning", 2017 IEEE INTERNATIONAL CONFERENCE ON SMART COMPUTING (SMARTCOMP), 29 May 2017 (2017-05-29), pages 1 - 8, XP033106427 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022114025A1 (ja) * 2020-11-24 2022-06-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知方法、異常検知装置、及び、プログラム

Also Published As

Publication number Publication date
JP2019216305A (ja) 2019-12-19

Similar Documents

Publication Publication Date Title
US10284594B2 (en) Detecting and preventing flooding attacks in a network environment
KR100800370B1 (ko) 어택 서명 생성 방법, 서명 생성 애플리케이션 적용 방법, 컴퓨터 판독 가능 기록 매체 및 어택 서명 생성 장치
CN108063765B (zh) 适于解决网络安全的sdn系统
JP3794491B2 (ja) 攻撃防御システムおよび攻撃防御方法
US6301668B1 (en) Method and system for adaptive network security using network vulnerability assessment
CA2545916A1 (en) Apparatus method and medium for detecting payload anomaly using n-gram distribution of normal data
CN109922072B (zh) 一种分布式拒绝服务攻击检测方法及装置
US20070289014A1 (en) Network security device and method for processing packet data using the same
JP2006211609A (ja) 通信状態遷移モニタ方法及びこれを利用した通信状態遷移モニタ装置
WO2019240054A1 (ja) 通信装置、パケット処理方法及びプログラム
US20230412591A1 (en) Traffic processing method and protection system
JP2007325293A (ja) 攻撃検知システムおよび攻撃検知方法
JP2006067605A (ja) 攻撃検知装置および攻撃検知方法
CN115834091A (zh) 网络流量控制方法以及相关系统
EP2112800B1 (en) Method and system for enhanced recognition of attacks to computer systems
JP2008205954A (ja) 通信情報監査装置、方法及びプログラム
JP2003283572A (ja) 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム
JP7102780B2 (ja) 不正通信対処システム及び方法
Belej Development of a Technique for Detecting" Distributed Denial-of-Service Attacks" in Security Systems of Wireless Sensor Network
CN110198298A (zh) 一种信息处理方法、装置及存储介质
KR101446280B1 (ko) 인터미디어트 드라이버를 이용한 변종 악성코드 탐지 및 차단 시스템 및 그 방법
Bellaïche et al. SYN flooding attack detection by TCP handshake anomalies
JP2003283555A (ja) 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム
KR100728446B1 (ko) 하드웨어 기반의 침입방지장치, 시스템 및 방법
JP5009200B2 (ja) ネットワーク攻撃検出装置及び防御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19819716

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19819716

Country of ref document: EP

Kind code of ref document: A1