WO2022264366A1 - 探索装置、探索範囲決定方法及び探索範囲決定プログラム - Google Patents

探索装置、探索範囲決定方法及び探索範囲決定プログラム Download PDF

Info

Publication number
WO2022264366A1
WO2022264366A1 PCT/JP2021/023065 JP2021023065W WO2022264366A1 WO 2022264366 A1 WO2022264366 A1 WO 2022264366A1 JP 2021023065 W JP2021023065 W JP 2021023065W WO 2022264366 A1 WO2022264366 A1 WO 2022264366A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
search
address
data analysis
analysis unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2021/023065
Other languages
English (en)
French (fr)
Inventor
一真 篠宮
和憲 神谷
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to US18/570,561 priority Critical patent/US20240291828A1/en
Priority to PCT/JP2021/023065 priority patent/WO2022264366A1/ja
Publication of WO2022264366A1 publication Critical patent/WO2022264366A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer

Definitions

  • the present invention relates to a search device, a search range determination method, and a search range determination program.
  • Non-Patent Documents 1 and 2, for example there is a known technique for searching by focusing on IP addresses advertised by BGP (Border Gateway Protocol) (see Non-Patent Documents 1 and 2, for example).
  • Non-Patent Document 4 a technique is known that uses network flow information to estimate a malicious IP address by machine learning (see, for example, Non-Patent Document 4).
  • the conventional technology has the problem that it may not be possible to efficiently search for IP addresses.
  • Non-Patent Documents 1 and 2 there are approximately 2.6 billion candidates after narrowing down the approximately 4.3 billion IP addresses on the IPv4 space, and the narrowing down is not sufficient.
  • Non-Patent Document 3 may not be applicable. Also, due to the huge number of IP addresses (eg, about 4.3 billion), ordering by machine learning is very computationally expensive.
  • Non-Patent Document 4 uses only passively acquired data, so it is not clear whether an IP address that is presumed to be malicious is actually malicious.
  • a search device includes a passive acquisition data analysis unit that analyzes data observed in a communication network, and a data obtained by searching the communication network.
  • a data output unit for outputting data for specifying the search target IP address based on the analysis result of the passive acquisition data analysis unit and the analysis result of the active acquisition data analysis unit; , is characterized by having
  • IP addresses can be searched efficiently.
  • FIG. 1 is a diagram showing a configuration example of a search device according to the first embodiment.
  • FIG. 2 is a diagram showing a configuration example of a search range determination program.
  • FIG. 3 is a diagram showing a configuration example of a passive acquisition data analysis unit.
  • FIG. 4 is a diagram showing a configuration example of an active acquisition data analysis unit.
  • FIG. 5 is a diagram illustrating a configuration example of a data integration unit.
  • FIG. 6 is a diagram illustrating a configuration example of a data output unit.
  • FIG. 7 is a flow chart showing the flow of processing of the search device according to the first embodiment.
  • FIG. 8 is a diagram showing an example of a computer that executes a search range determination program.
  • FIG. 1 is a diagram showing an example of the configuration of a search device according to the first embodiment.
  • the search device 1 identifies a group of suspected malignant IP addresses based on various data, and searches the IP addresses included in the group of suspected malignant IP addresses to discover those that are malignant.
  • the search device 1 has a search range determination program 10, a search program 20 and an internet scan program 30.
  • the search range determination program, the search program, and the Internet scan program may also be referred to as a search range determination section, a search section, and an Internet scan section, respectively.
  • the search range determination program 10 outputs a suspected malignant IP address group based on passively acquired data, actively acquired data, and malicious communication information.
  • Actively acquired data includes known malicious IP addresses, Internet scan data, and the like.
  • the search program 20 searches for IP addresses included in the suspected malignant IP address group.
  • Internet scanning program 30 scans the entire Internet to obtain Internet scan data.
  • FIG. 2 is a diagram showing a configuration example of a search range determination program.
  • the search range determination program 10 has a passive acquisition data analysis unit 11, an active acquisition data analysis unit 12, a data integration unit 13, and a data output unit .
  • the passive acquisition data analysis unit 11 analyzes data observed in the communication network. For example, the passive acquisition data analysis unit 11 analyzes network flow data, BGP data, whois data, and passive DNS data.
  • the actively acquired data analysis unit 12 analyzes the data obtained by searching the communication network.
  • actively acquired data is data acquired by actively accessing an arbitrary host, such as the output result of a search program or the Internet scan result.
  • searching for a communication network corresponds to actively researching or searching for IP addresses, for example.
  • the search range determination program 10 finally undergoes processing by the data integration unit 13 and the data output unit 14, and outputs a group of suspected IP addresses whose numbers and properties correspond to the output conditions. By searching for these suspected IP address groups, it is possible to search and discover malicious hosts in large-scale networks more efficiently than before.
  • FIG. 3 is a diagram showing a configuration example of the passive acquisition data analysis unit.
  • the passively acquired data analysis unit 11 analyzes the passively acquired data and extracts feature amounts.
  • the passively obtained data analysis unit 11 may include the malignancy score and various feature values obtained by analyzing the network flow data, the advertisement IP, AS number and allocation range obtained by analyzing the BGP data, and the allocation based on the analysis result of whois data.
  • a tissue or the like is extracted as a feature quantity.
  • the passively acquired data analysis unit 11 has an analysis unit that analyzes each type of passively acquired data.
  • the flow data analysis unit 111 analyzes network flow data.
  • the BGP data analysis unit 112 analyzes BGP data.
  • FIG. 4 is a diagram showing a configuration example of the active acquisition data analysis unit.
  • the actively acquired data analysis unit 12 analyzes the actively acquired data and extracts feature amounts.
  • the actively obtained data analysis unit 12 analyzes data including search results indicating whether the IP address is malicious.
  • the actively acquired data analysis unit 12 has a search result analysis unit 121 and a scan data analysis unit 122 .
  • the search result analysis unit 121 analyzes at least one of the results of determination by a program that determines malicious IP addresses, the date and time of determination, and related malware information.
  • the search result analysis unit 121 analyzes the output result of the search program 20 that actually searches the suspected malignant IP address range and outputs the IP addresses that are truly malignant. It outputs the determination time, malware information that identifies what kind of malware the server sends commands to, and so on.
  • the scan data analysis unit 122 can analyze the Internet scan data output by the Internet scan program 30 and output results of estimating malicious IP addresses and malware information.
  • the scan data analysis unit 122 obtains information indicating the degree of malignancy for each IP address based on information indicating the tendency of malicious communication information and communication information for each IP address obtained by scanning the Internet. .
  • malicious IP address information is added to the Internet scan data.
  • malicious communication information included in actively acquired data includes information such as IP addresses and payloads.
  • the scan data analysis unit 122 can obtain the malicious IP address by comparing the Internet scan data and the actively acquired data.
  • the scan data analysis unit 122 determines that the communication destination IP address and port number are malicious. I judge.
  • FIG. 5 is a diagram showing a configuration example of the data integration unit.
  • the data integration unit 13 further analyzes each feature amount extracted by the passively acquired data analysis unit 11 and the actively acquired data analysis unit 12, and stores information for each IP address in a database.
  • the data integration unit 13 may generate new information using each feature amount by the data generation unit 131.
  • the data generation unit 131 uses the malicious IP address information extracted by the actively acquired data analysis unit 12 and the BGP information extracted by the passive acquisition data analysis unit 11 to identify the AS to which each IP address belongs. An item and an item indicating whether the IP belongs to an organization are generated.
  • the data generation unit 131 uses the malicious IP address information extracted by the actively acquired data analysis unit 12 and the network flow information extracted by the passive acquisition data analysis unit 11 to determine the maliciousness based on the number of hops. generate degrees.
  • FIG. 6 is a diagram showing a configuration example of the data output unit.
  • the data output unit 14 outputs data for specifying the search target IP address based on the analysis result by the passively acquired data analysis unit 11 and the analysis result by the actively acquired data analysis unit 12 .
  • the data output unit 14 has a suspected IP address analysis unit 141 and a suspected IP address output unit 142 .
  • the suspected IP address analysis unit 141 ranks the IP addresses in descending order of malignancy by scoring or machine learning based on the IP address information in the database stored by the data integration unit 13 .
  • the suspected IP address output unit 142 outputs, as a suspected IP address group, a group of IP addresses that match the output conditions (the number and properties of IP addresses, etc.).
  • the suspected IP address output unit 142 outputs the suspected IP address group according to the ranking by the suspected IP address analysis unit 141 .
  • the suspected IP address group output here is an example of data for specifying the search target IP address.
  • the data output unit 14 may receive the search result by the search program 20 as feedback, and output the suspected IP address group based on the received feedback.
  • the data output unit 14 outputs data for specifying an IP address having characteristics similar to those of the malicious IP address obtained based on the search result.
  • the search result by the search program 20 is included in the actively acquired data.
  • the data output unit 14 performs scoring or modeling so that IP addresses determined to be malignant by the search program 20 are ranked higher.
  • FIG. 7 is a flow chart showing the flow of processing of the search device according to the first embodiment.
  • the searching device 1 extracts feature quantities from passively acquired data (step S101). Further, the searching device 1 extracts feature amounts from the actively acquired data (step S102).
  • the search device 1 integrates the feature amounts extracted from each data and stores the information for each IP address in the database (step S103). Then, the searching device 1 outputs the suspected IP address group in descending order of malignancy based on the database (step S104).
  • the passive acquisition data analysis unit 11 analyzes the data observed in the communication network.
  • the actively acquired data analysis unit 12 analyzes data obtained by searching the communication network.
  • the data output unit 14 outputs data for specifying the search target IP address based on the analysis result by the passively acquired data analysis unit 11 and the analysis result by the actively acquired data analysis unit 12 .
  • the actively obtained data analysis unit 12 analyzes data including search results indicating whether the IP address is malicious.
  • the data output unit 14 outputs data for identifying an IP address having characteristics similar to those of the malicious IP address obtained based on the search result.
  • Actively acquired data analysis unit 12 obtains information representing the degree of malignancy for each IP address based on information indicating the tendency of malicious communication information and communication information for each IP address obtained by scanning the Internet. .
  • the actively acquired data analysis unit 12 analyzes at least one of the results of determination by a program that determines malicious IP addresses, the date and time of determination, and related malware information.
  • each component of each device illustrated is functionally conceptual, and does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution and integration of each device is not limited to the illustrated one, and all or part of them can be functionally or physically distributed or Can be integrated and configured.
  • all or any part of each processing function performed by each device is realized by a CPU (Central Processing Unit) and a program analyzed and executed by the CPU, or hardware by wired logic can be realized as Note that the program may be executed not only by the CPU but also by other processors such as a GPU.
  • CPU Central Processing Unit
  • the search device 1 can be implemented by installing a search range determination program for executing the above-described search processing as package software or online software in a desired computer.
  • the information processing device can function as the searching device 1 by causing the information processing device to execute the search range determination program.
  • the information processing apparatus referred to here includes a desktop or notebook personal computer.
  • information processing devices include mobile communication terminals such as smartphones, mobile phones and PHS (Personal Handyphone Systems), and slate terminals such as PDAs (Personal Digital Assistants).
  • the search device 1 can also be implemented as a search server device that uses a terminal device used by a user as a client and provides the client with services related to the above-described search processing.
  • the search server device is implemented as a server device that provides a search service that receives passively acquired data and actively acquired data and outputs suspected malignant IP addresses.
  • the search server device may be implemented as a web server, or may be implemented as a cloud that provides services related to the search processing by outsourcing.
  • FIG. 8 is a diagram showing an example of a computer that executes a search range determination program.
  • the computer 1000 has a memory 1010 and a CPU 1020, for example.
  • Computer 1000 also has hard disk drive interface 1030 , disk drive interface 1040 , serial port interface 1050 , video adapter 1060 and network interface 1070 . These units are connected by a bus 1080 .
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM (Random Access Memory) 1012 .
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • Hard disk drive interface 1030 is connected to hard disk drive 1090 .
  • a disk drive interface 1040 is connected to the disk drive 1100 .
  • a removable storage medium such as a magnetic disk or optical disk is inserted into the disk drive 1100 .
  • Serial port interface 1050 is connected to mouse 1110 and keyboard 1120, for example.
  • Video adapter 1060 is connected to display 1130, for example.
  • the hard disk drive 1090 stores, for example, an OS 1091, application programs 1092, program modules 1093, and program data 1094. That is, a program that defines each process of the searching device 1 is implemented as a program module 1093 in which computer-executable code is described. Program modules 1093 are stored, for example, on hard disk drive 1090 .
  • the hard disk drive 1090 stores a program module 1093 for executing processing similar to the functional configuration of the searching device 1 .
  • the hard disk drive 1090 may be replaced by an SSD (Solid State Drive).
  • the setting data used in the processing of the above-described embodiment is stored as program data 1094 in the memory 1010 or the hard disk drive 1090, for example. Then, the CPU 1020 reads the program modules 1093 and program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 as necessary, and executes the processes of the above-described embodiments.
  • the program modules 1093 and program data 1094 are not limited to being stored in the hard disk drive 1090, but may be stored in a removable storage medium, for example, and read by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program modules 1093 and program data 1094 may be stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.). Program modules 1093 and program data 1094 may then be read by CPU 1020 through network interface 1070 from other computers.
  • LAN Local Area Network
  • WAN Wide Area Network
  • search device 10
  • search range determination program 11
  • passive acquisition data analysis unit 12
  • active acquisition data analysis unit 13
  • data integration unit 14
  • data output unit 20
  • search program 30
  • Internet scan program 111
  • flow data analysis unit 112
  • BGP data analysis unit 121
  • search result Analysis unit 122
  • Scan data analysis unit 131
  • Data generation unit 141
  • Suspected IP address analysis unit 142
  • Suspected IP address output unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

受動的取得データ分析部（１１）は、通信ネットワークにおいて観測されたデータを分析する。能動的取得データ分析部（１２）は、通信ネットワークを探索することによって得られたデータを分析する。データ出力部（１４）は、受動的取得データ分析部（１１）による分析結果及び能動的取得データ分析部（１２）による分析結果に基づき、探索対象のＩＰアドレスを特定するためのデータを出力する。

Description

探索装置、探索範囲決定方法及び探索範囲決定プログラム
　本発明は、探索装置、探索範囲決定方法及び探索範囲決定プログラムに関する。
　従来、悪性なＩＰアドレスを発見するために、ＩＰｖ４空間上にあるＩＰアドレスを探索する技術が知られている。
　例えば、ＢＧＰ（Border　Gateway　Protocol）で広告されているＩＰアドレスに絞って探索を行う技術が知られている（例えば、非特許文献１及び２を参照）。
　また、例えば、悪性ｗｅｂサイトの探索において、ＷＨＯＩＳ情報、紐づいているＦＱＤＮ、ＩＰアドレスの各オクテットの数値等を基に、機械学習によってＵＲＬごとの悪性スコアを予測し、当該悪性スコアの順にＵＲＬを並べ替える技術が知られている（例えば、非特許文献３を参照）。
　また、例えば、ネットワークフロー情報を用いて悪性ＩＰアドレスを機械学習によって推定する技術が知られている（例えば、非特許文献４を参照）。
Antonio　Nappa,　et　al.,　"CyberProbe:　Towards　Internet-Scale　Active　Detection　of　Malicious　Servers",　NDSS,　2014. Zhaoyan　Xu,　et　al.,　"AUTOPROBE:　Towards　Automatic　Active　Malicious　Server　Probing　Using　Dynamic　Binary　Analysis",　ACM　CCS,　2014 千葉大紀，森達哉，後藤滋樹，"悪性Webサイト探索のための優先巡回順序の選定法",　CSS,　2012. Bo　Hu;　Kazunori　Kamiya;　Kenji　Takahashi;　Akihiro　Nakao,　Piper:　A　Unified　Machine　Learning　Pipeline　for　Internet-scale　Traffic　Analysis
　しかしながら、従来の技術では、ＩＰアドレスを効率良く探索することができない場合があるという問題がある。
　例えば、非特許文献１及び２に記載の技術では、ＩＰｖ４空間上にある約４３億のＩＰアドレスを絞り込んだ後の候補が約２６億もあり、絞り込みが十分ではない。
　また、例えばボットネットにおけるＣ＆Ｃサーバや悪性ファイル配布サーバはドメイン名を持たないことやＷＨＯＩＳやＦＱＤＮが取得できない場合が多いため、非特許文献３の技術を適用できない場合がある。また、ＩＰアドレスの数が膨大（例えば約４３億）であるため、機械学習による順序づけは計算コストが非常に高くなる。
　また、例えば非特許文献４の技術では、受動的に取得されたデータのみを使用しているため、悪性であると推定されたＩＰアドレスが実際に悪性であるかが定かでない。
　上述した課題を解決し、目的を達成するために、探索装置は、通信ネットワークにおいて観測されたデータを分析する受動的取得データ分析部と、前記通信ネットワークを探索することによって得られたデータを分析する能動的取得データ分析部と、受動的取得データ分析部による分析結果及び前記能動的取得データ分析部による分析結果に基づき、探索対象のＩＰアドレスを特定するためのデータを出力するデータ出力部と、を有することを特徴とする。
　本発明によれば、ＩＰアドレスを効率良く探索することができる。
図１は、第１の実施形態に係る探索装置の構成例を示す図である。 図２は、探索範囲決定プログラムの構成例を示す図である。 図３は、受動的取得データ分析部の構成例を示す図である。 図４は、能動的取得データ分析部の構成例を示す図である。 図５は、データ統合部の構成例を示す図である。 図６は、データ出力部の構成例を示す図である。 図７は、第１の実施形態に係る探索装置の処理の流れを示すフローチャートである。 図８は、探索範囲決定プログラムを実行するコンピュータの一例を示す図である。
　以下に、本願に係る探索装置、探索範囲決定方法及び探索範囲決定プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
［第１の実施形態の構成］
　まず、図１を用いて、第１の実施形態に係る探索装置の構成について説明する。図１は、第１の実施形態に係る探索装置の構成の一例を示す図である。
　探索装置１は、各種データを元に被疑悪性ＩＰアドレス群を特定し、当該被疑悪性ＩＰアドレス群に含まれるＩＰアドレスについて、悪性であるものを発見するための探索を行う。
　図１に示すように、探索装置１は、探索範囲決定プログラム１０、探索プログラム２０及びインターネットスキャンプログラム３０を有する。探索範囲決定プログラム、探索プログラム及びインターネットスキャンプログラムは、それぞれ探索範囲決定部、探索部及びインターネットスキャン部と言い換えられてもよい。
　探索範囲決定プログラム１０は、受動的取得データ、能動的取得データ、悪性通信情報を基に、被疑悪性ＩＰアドレス群を出力する。能動的取得データには、既知悪性ＩＰアドレス、インターネットスキャンデータ等が含まれる。
　探索プログラム２０は、被疑悪性ＩＰアドレス群に含まれるＩＰアドレスの探索を行う。インターネットスキャンプログラム３０は、インターネット全体をスキャンし、インターネットスキャンデータを得る。
　図１で説明した各プログラム及びデータの詳細について説明する。
　図２は、探索範囲決定プログラムの構成例を示す図である。図２に示すように、探索範囲決定プログラム１０は、受動的取得データ分析部１１、能動的取得データ分析部１２、データ統合部１３及びデータ出力部１４を有する。
　受動的取得データ分析部１１は、通信ネットワークにおいて観測されたデータを分析する。例えば、受動的取得データ分析部１１は、ネットワークフローデータ、ＢＧＰデータ、ｗｈｏｉｓデータ、ｐａｓｓｉｖｅ　ＤＮＳデータを分析する。
　能動的取得データ分析部１２は、通信ネットワークを探索することによって得られたデータを分析する。例えば、能動的取得データは探索プログラムの出力結果やインターネットスキャン結果等任意のホストに能動的にアクセスすることで取得したデータである。また、通信ネットワークを探索することは、例えばＩＰアドレスを能動的に調査又は探索することに相当する。
　探索範囲決定プログラム１０は、最終的にデータ統合部１３及びデータ出力部１４による処理を経て、出力条件に応じた数や性質の被疑ＩＰアドレス群を出力する。これらの被疑ＩＰアドレス群を探索することで、従来よりも効率よく大規模ネットワークにおける悪性ホストの探索及び発見を行うことができる。
　図３は、受動的取得データ分析部の構成例を示す図である。受動的取得データ分析部１１は、受動的取得データを分析し特徴量を抽出する。
　例えば、受動的取得データ分析部１１は、ネットワークフローデータを分析した結果による悪性スコアや各種特徴量、ＢＧＰデータを分析した結果による広告ＩＰ、ＡＳ番号や割り当てレンジ、ｗｈｏｉｓデータを分析した結果による割り当て組織等を特徴量として抽出する。
　図３に示すように、受動的取得データ分析部１１は、受動的取得データの種類ごとに分析を行う分析部を有する。フローデータ分析部１１１は、ネットワークフローデータを分析する。ＢＧＰデータ分析部１１２は、ＢＧＰデータを分析する。
　図４は、能動的取得データ分析部の構成例を示す図である。能動的取得データ分析部１２は、能動的取得データを分析し特徴量を抽出する。
　能動的取得データ分析部１２は、ＩＰアドレスが悪性であるか否かを示す探索結果を含むデータを分析する。能動的取得データ分析部１２は、探索結果分析部１２１及びスキャンデータ分析部１２２を有する。
　例えば、探索結果分析部１２１は、悪性のＩＰアドレスを判定するプログラムによる判定結果、判定日時、関連するマルウェアの情報のうち少なくともいずれかを分析する。
　具体的には、探索結果分析部１２１は、被疑悪性ＩＰアドレスレンジを実際に探索して真に悪性であったＩＰアドレスを出力する探索プログラム２０の出力結果を分析して、悪性判定結果、悪性判定時刻、どのようなマルウェアに命令を送るサーバであるかを識別するマルウェア情報等を出力する。
　また、スキャンデータ分析部１２２は、インターネットスキャンプログラム３０によって出力されたインターネットスキャンデータを分析して悪性ＩＰアドレス、マルウェア情報を推定した結果を出力することができる。
　例えば、スキャンデータ分析部１２２は、悪性の通信情報の傾向を示す情報と、インターネットをスキャンして得られたＩＰアドレスごとの通信情報とを基に、ＩＰアドレスごとの悪性度を表す情報を得る。
　ここで、インターネットスキャンデータには悪性ＩＰアドレス情報は付与されていない。一方で、能動的取得データに含まれる悪性通信情報には、ＩＰアドレス及びペイロード等の情報が含まれる。
　そのため、スキャンデータ分析部１２２は、インターネットスキャンデータと能動的取得データを突合することで悪性ＩＰアドレスを得ることができる。
　例えば、スキャンデータ分析部１２２は、インターネットスキャンデータの通信内容が、能動的取得データに含まれる悪性通信情報のペイロードと一致又は類似していれば、その通信先ＩＰアドレス及びポート番号は悪性であると判定する。
　図５は、データ統合部の構成例を示す図である。データ統合部１３は、受動的取得データ分析部１１及び能動的取得データ分析部１２によって抽出された各特徴量をさらに分析し、ＩＰアドレスごとの情報をデータベースに保存する。
　図５に示すように、データ統合部１３は、データ生成部１３１により各特徴量を使用して新たな情報を生成してもよい。
　例えば、データ生成部１３１は、能動的取得データ分析部１２によって抽出された悪性ＩＰアドレス情報と受動的取得データ分析部１１によって抽出されたＢＧＰ情報とを使用して、各ＩＰアドレスが属するＡＳの項目や、組織に所属するＩＰであるかという項目を生成する。
　また、例えば、データ生成部１３１は、能動的取得データ分析部１２によって抽出された悪性ＩＰアドレス情報と受動的取得データ分析部１１によって抽出されたネットワークフロー情報とを使用して、ホップ数による悪性度を生成する。
　図６は、データ出力部の構成例を示す図である。データ出力部１４は、受動的取得データ分析部１１による分析結果及び能動的取得データ分析部１２による分析結果に基づき、探索対象のＩＰアドレスを特定するためのデータを出力する。
　データ出力部１４は、被疑ＩＰアドレス分析部１４１及び被疑ＩＰアドレス出力部１４２を有する。
　被疑ＩＰアドレス分析部１４１は、データ統合部１３によって保存されたデータベースにおけるＩＰアドレスの情報を基に、スコアリングや機械学習によってＩＰアドレスを悪性度の高い順に順位付けをする。
　被疑ＩＰアドレス出力部１４２は出力条件（ＩＰアドレスの個数や性質等）を基に条件に合致するＩＰアドレス群を被疑ＩＰアドレス群として出力する。
　また、被疑ＩＰアドレス出力部１４２は、被疑ＩＰアドレス分析部１４１は、による順位付けにしたがって被疑ＩＰアドレス群を出力する。ここで出力される被疑ＩＰアドレス群は、探索対象のＩＰアドレスを特定するためのデータの一例である。
（探索結果をフィードバック）
　データ出力部１４は、探索プログラム２０による探索結果をフィードバックとして受け付け、受け付けたフィードバックを基に被疑ＩＰアドレス群を出力してもよい。
　このとき、データ出力部１４は、探索結果に基づいて得られた悪性であるＩＰアドレスの特徴と類似する特徴を持つＩＰアドレスを特定するためのデータを出力する。なお、探索プログラム２０による探索結果は能動的取得データに含まれる。
　例えば、データ出力部１４は、探索プログラム２０によって悪性と判定されたＩＰアドレスは順位が高く成るようスコアリング又はモデリングを行う。
［第１の実施形態の処理］
　図７を用いて探索装置１の探索範囲決定プログラム１０による処理の流れを説明する。図７は、第１の実施形態に係る探索装置の処理の流れを示すフローチャートである。
　まず、探索装置１は、受動的取得データから特徴量を抽出する（ステップＳ１０１）。また、探索装置１は、能動的取得データから特徴量を抽出する（ステップＳ１０２）。
　次に、探索装置１は、各データから抽出された特徴量を統合しＩＰアドレスごとの情報をデータベースに保存する（ステップＳ１０３）。そして、探索装置１は、データベースを基に被疑ＩＰアドレス群を悪性度が高い順に出力する（ステップＳ１０４）。
［第１の実施形態の効果］
　これまで説明してきたように、受動的取得データ分析部１１は、通信ネットワークにおいて観測されたデータを分析する。能動的取得データ分析部１２は、通信ネットワークを探索することによって得られたデータを分析する。データ出力部１４は、受動的取得データ分析部１１による分析結果及び能動的取得データ分析部１２による分析結果に基づき、探索対象のＩＰアドレスを特定するためのデータを出力する。
　このように、本実施形態では受動的取得データだけでなく、スキャンやプロービングによって取得した能動的取得データを使って探索対象のＩＰアドレスを絞り込むため、ＩＰアドレスを効率良く探索することができる。
　能動的取得データ分析部１２は、ＩＰアドレスが悪性であるか否かを示す探索結果を含むデータを分析する。データ出力部１４は、探索結果に基づいて得られた悪性であるＩＰアドレスの特徴と類似する特徴を持つＩＰアドレスを特定するためのデータを出力する。
　受動的取得データだけでは、ＩＰアドレスが悪性として探索されたか否かを得ることができない。このため、本実施形態のように探索結果をフィードバックさせることで、絞り込みの精度を向上させることができる。
　能動的取得データ分析部１２は、悪性の通信情報の傾向を示す情報と、インターネットをスキャンして得られたＩＰアドレスごとの通信情報とを基に、ＩＰアドレスごとの悪性度を表す情報を得る。
　このように、通信情報とスキャンデータとを合わせることで、単独のデータからでは得ることができなかった情報を得ることができるようになる。
　能動的取得データ分析部１２は、悪性のＩＰアドレスを判定するプログラムによる判定結果、判定日時、関連するマルウェアの情報のうち少なくともいずれかを分析する。
　このように、得られる情報が異なる受動的取得データと能動的取得データを合わせることで、絞り込み精度を向上させることができる。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ（Central　Processing　Unit）及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。なお、プログラムは、ＣＰＵだけでなく、ＧＰＵ等の他のプロセッサによって実行されてもよい。
　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　一実施形態として、探索装置１は、パッケージソフトウェアやオンラインソフトウェアとして上記の探索処理を実行する探索範囲決定プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の探索範囲決定プログラムを情報処理装置に実行させることにより、情報処理装置を探索装置１として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。
　また、探索装置１は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の探索処理に関するサービスを提供する探索サーバ装置として実装することもできる。例えば、探索サーバ装置は、受動的取得データと能動的取得データを入力とし、被疑悪性ＩＰアドレス群を出力とする探索サービスを提供するサーバ装置として実装される。この場合、探索サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の探索処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。
　図８は、探索範囲決定プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ（Random　Access　Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、探索装置１の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、探索装置１における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid　State　Drive）により代替されてもよい。
　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１　探索装置
　１０　探索範囲決定プログラム
　１１　受動的取得データ分析部
　１２　能動的取得データ分析部
　１３　データ統合部
　１４　データ出力部
　２０　探索プログラム
　３０　インターネットスキャンプログラム
　１１１　フローデータ分析部
　１１２　ＢＧＰデータ分析部
　１２１　探索結果分析部
　１２２　スキャンデータ分析部
　１３１　データ生成部
　１４１　被疑ＩＰアドレス分析部
　１４２　被疑ＩＰアドレス出力部

Claims (6)

  1. 　通信ネットワークにおいて観測されたデータを分析する受動的取得データ分析部と、
    　前記通信ネットワークを探索することによって得られたデータを分析する能動的取得データ分析部と、
    　受動的取得データ分析部による分析結果及び前記能動的取得データ分析部による分析結果に基づき、探索対象のＩＰアドレスを特定するためのデータを出力するデータ出力部と、
    　を有することを特徴とする探索装置。
  2. 　前記能動的取得データ分析部は、ＩＰアドレスが悪性であるか否かを示す探索結果を含むデータを分析し、
    　前記データ出力部は、前記探索結果に基づいて得られた悪性であるＩＰアドレスの特徴と類似する特徴を持つＩＰアドレスを特定するためのデータを出力することを特徴とする請求項１に記載の探索装置。
  3. 　前記能動的取得データ分析部は、悪性の通信情報の傾向を示す情報と、インターネットをスキャンして得られたＩＰアドレスごとの通信情報とを基に、ＩＰアドレスごとの悪性度を表す情報を得ることを特徴とする請求項１又は２に記載の探索装置。
  4. 　前記能動的取得データ分析部は、悪性のＩＰアドレスを判定するプログラムによる判定結果、判定日時、関連するマルウェアの情報のうち少なくともいずれかを分析することを特徴とする請求項１から３のいずれか１項に記載の探索装置。
  5. 　探索装置によって実行される探索範囲決定方法であって、
    　通信ネットワークにおいて観測されたデータを分析する受動的取得データ分析工程と、
    　前記通信ネットワークを探索することによって得られたデータを分析する能動的取得データ分析工程と、
    　受動的取得データ分析工程による分析結果及び前記能動的取得データ分析工程による分析結果に基づき、探索対象のＩＰアドレスを特定するためのデータを出力するデータ出力工程と、
    　を含むことを特徴とする探索範囲決定方法。
  6. 　コンピュータを、請求項１から４のいずれか１項に記載の探索装置として機能させるための探索範囲決定プログラム。
PCT/JP2021/023065 2021-06-17 2021-06-17 探索装置、探索範囲決定方法及び探索範囲決定プログラム Ceased WO2022264366A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US18/570,561 US20240291828A1 (en) 2021-06-17 2021-06-17 Searching device, search range determination method, and search range determination program
PCT/JP2021/023065 WO2022264366A1 (ja) 2021-06-17 2021-06-17 探索装置、探索範囲決定方法及び探索範囲決定プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/023065 WO2022264366A1 (ja) 2021-06-17 2021-06-17 探索装置、探索範囲決定方法及び探索範囲決定プログラム

Publications (1)

Publication Number Publication Date
WO2022264366A1 true WO2022264366A1 (ja) 2022-12-22

Family

ID=84526929

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/023065 Ceased WO2022264366A1 (ja) 2021-06-17 2021-06-17 探索装置、探索範囲決定方法及び探索範囲決定プログラム

Country Status (2)

Country Link
US (1) US20240291828A1 (ja)
WO (1) WO2022264366A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024189864A1 (ja) * 2023-03-15 2024-09-19 日本電信電話株式会社 情報処理方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015141665A1 (ja) * 2014-03-19 2015-09-24 日本電信電話株式会社 ウェブサイト情報抽出装置、システム、ウェブサイト情報抽出方法、および、ウェブサイト情報抽出プログラム
WO2020158896A1 (ja) * 2019-01-31 2020-08-06 国立大学法人 東京大学 通信装置

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8010103B2 (en) * 2006-09-18 2011-08-30 Intel Corporation Passive and active scanning in wireless network
US8516596B2 (en) * 2010-01-26 2013-08-20 Raytheon Company Cyber attack analysis
US12058177B2 (en) * 2015-10-28 2024-08-06 Qomplx Llc Cybersecurity risk analysis and anomaly detection using active and passive external reconnaissance
US20230118679A1 (en) * 2021-10-15 2023-04-20 Bolster, Inc. Systems And Methods For Categorizing And Visualizing Web Domain Details

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015141665A1 (ja) * 2014-03-19 2015-09-24 日本電信電話株式会社 ウェブサイト情報抽出装置、システム、ウェブサイト情報抽出方法、および、ウェブサイト情報抽出プログラム
WO2020158896A1 (ja) * 2019-01-31 2020-08-06 国立大学法人 東京大学 通信装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024189864A1 (ja) * 2023-03-15 2024-09-19 日本電信電話株式会社 情報処理方法

Also Published As

Publication number Publication date
US20240291828A1 (en) 2024-08-29

Similar Documents

Publication Publication Date Title
US8695096B1 (en) Automatic signature generation for malicious PDF files
CN108282489B (zh) 一种漏洞扫描方法、服务端及系统
US11856046B2 (en) Endpoint URL generation and management
CN110213212B (zh) 一种设备的分类方法和装置
US8768964B2 (en) Security monitoring
US8321873B2 (en) System and method for offline data generation for online system analysis
WO2016194909A1 (ja) アクセス分類装置、アクセス分類方法、及びアクセス分類プログラム
CN103180863A (zh) 计算机系统分析方法和装置
US20160142432A1 (en) Resource classification using resource requests
WO2018113730A1 (zh) 网络安全的检测方法和装置
CN110737458A (zh) 一种代码更新方法和相关装置
WO2022264366A1 (ja) 探索装置、探索範囲決定方法及び探索範囲決定プログラム
JP2019057016A (ja) 分類装置
CN110392032B (zh) 检测异常url的方法、装置及存储介质
JP6676790B2 (ja) リクエスト制御装置、リクエスト制御方法、および、リクエスト制御プログラム
CN115550038A (zh) 一种分布式网络集群风险检测方法及系统
CN114221953A (zh) 资源获取方法、装置、设备及存储介质
US20180295094A1 (en) Reducing latency during domain name resolution in networks
EP3848834B1 (en) Search device, search method, and search program
JP2015132942A (ja) 接続先情報判定装置、接続先情報判定方法、及びプログラム
CN108696549A (zh) 负载均衡方法、装置和系统
WO2024189864A1 (ja) 情報処理方法
WO2024105753A1 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
CN115037572A (zh) 一种应用请求的识别方法和装置
WO2022219683A1 (ja) マッチング装置、マッチング方法、および、マッチングプログラム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 18570561

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21946043

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP