WO2023286173A1 - トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラム - Google Patents

トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラム Download PDF

Info

Publication number
WO2023286173A1
WO2023286173A1 PCT/JP2021/026341 JP2021026341W WO2023286173A1 WO 2023286173 A1 WO2023286173 A1 WO 2023286173A1 JP 2021026341 W JP2021026341 W JP 2021026341W WO 2023286173 A1 WO2023286173 A1 WO 2023286173A1
Authority
WO
WIPO (PCT)
Prior art keywords
traffic
domain
emulator
infected
lateral movement
Prior art date
Application number
PCT/JP2021/026341
Other languages
English (en)
French (fr)
Inventor
恭太 服部
智洋 郡川
英成 大和田
雅史 清水
直樹 高谷
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2023534489A priority Critical patent/JPWO2023286173A1/ja
Priority to PCT/JP2021/026341 priority patent/WO2023286173A1/ja
Publication of WO2023286173A1 publication Critical patent/WO2023286173A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/50—Testing arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Definitions

  • the present invention relates to a traffic analysis device, a traffic analysis method, and a traffic analysis program.
  • Patent Literature 1 describes a communication band calculation device that predicts future user traffic volume and calculates the amount of band equipment required for communication services. As a result, the communication service provider's economic efficiency is improved by calculating the proper amount of communication resources installed.
  • Traffic emulation which finely predicts individual traffic on a flow-by-flow basis, is more effective in detecting unauthorized communication than the rough prediction value of traffic volume as in Patent Document 1.
  • the traffic emulator simulates (mirrors) each traffic flowing through the real network at the current time (t) in the virtual space, and with each traffic at the current time (t) as the starting point, the virtual space at the next time (t+1) predict the (ideal) traffic conditions that conform to the protocol conventions of
  • the traffic emulator can detect user traffic that violates the protocol rules by comparing the ideal traffic state at the next time with the user traffic state in the real space at the next time.
  • the traffic emulator is required to have extremely high (real-time) calculation capability.
  • WannaCry is a typical lateral movement attack.
  • WannaCry is a worm-type ransomware that targets Microsoft Windows (registered trademark), and spreads attacks within domains by laterally deploying using SMBv1 (Server Message Block version 1).
  • FIG. 6 is an explanatory diagram of a lateral movement attack within a domain.
  • An attacker outside the company domain 90 operates the attack terminal 81 to gain unauthorized access to the company domain 90 according to the following procedure.
  • (Procedure 1) Successfully penetrated GW 91 ⁇ SW 93 ⁇ employee terminal 96 from attack terminal 81 via Internet 82 (arrow 83). However, since the employee who handles the employee terminal 96 has low authority, there is no confidential information in the terminal (local), and there is no access right to the customer server 94 that manages the confidential information.
  • (Procedure 2) Using the employee terminal 96 as a stepping stone, the infection spreads to the manager terminal 97 (arrow 84).
  • the access right to the customer server 94 is acquired from the department manager terminal 97 with high authority.
  • the infection spreads to the customer server 94 via SW93 ⁇ GW91 ⁇ SW92 (arrow 85). Thereby, confidential information in the customer server 94 is obtained.
  • lateral movement attacks have the characteristic of generating abnormal traffic one after another in a short period of time. Therefore, rather than detecting individual anomalous traffic in detail, it is more effective to conduct analysis that increases the number of detected domains infected by lateral movement attacks in large units called domains. This is because if the infected domain can be predicted, large-scale countermeasures such as network isolation for each domain can be implemented.
  • the main purpose of the present invention is to effectively reduce the computational cost by considering the lateral movement attack when predicting the traffic state at the next time (t+1) from the traffic state at the current time (t). Make it an issue.
  • the traffic analysis device of the present invention has the following features.
  • each traffic on the real network system at the current time is mirrored in the virtual space, and the protocol control of each traffic is executed in the virtual space, so that the state of the traffic on the real network system at the next time can be obtained.
  • a computing traffic emulator a domain determination unit that determines, for each mirrored traffic, a domain that is predicted to be infected with a lateral movement attack, and excludes part of the traffic in that domain from the calculation target of the traffic emulator. Characterized by
  • FIG. 1 is a configuration diagram of a traffic analysis device according to this embodiment;
  • FIG. 1 is a hardware configuration diagram of a traffic analysis device according to this embodiment;
  • FIG. 4 is an explanatory diagram showing an outline of processing of the traffic analysis device according to the present embodiment;
  • 4 is a sequence diagram showing processing of the traffic analysis device according to the present embodiment;
  • FIG. It is a comparison table showing the effects of the traffic analysis device according to the present embodiment.
  • FIG. 4 is an explanatory diagram of a lateral movement attack within a domain;
  • FIG. 1 is a configuration diagram of a traffic analysis device 1. As shown in FIG.
  • the traffic analysis device 1 has a domain determination section 11 , a traffic model management section 12 , a traffic emulator 13 , an analysis exclusion section 14 and a traffic comparison section 15 .
  • the real network system 2 is an actual network system to be analyzed by the traffic analysis device 1 .
  • the traffic emulator 13 mirrors each traffic on the real network system 2 at the current time (t) in the virtual space, and executes protocol control of each traffic in the virtual space, so that at the next time (t+1) Calculate the state of traffic on the real network system 2 .
  • the domain determination unit 11 determines a domain that is predicted to be infected with a lateral movement attack (details will be described later with reference to FIG. 4), and part of the traffic in that domain is processed by a traffic emulator. 13 is excluded from the calculation target.
  • the domain determination unit 11 outputs a determination result indicating exclusion to the analysis exclusion unit 14 .
  • the analysis exclusion unit 14 excludes the traffic notified from the domain determination unit 11 from the calculation target of the traffic emulator 13 .
  • the traffic model management unit 12 manages, as a traffic model, protocol-defined control information for the traffic emulator 13 to execute the protocol control of each traffic in the virtual space.
  • the traffic emulator 13 reads the traffic model for each traffic protocol from the traffic model management unit 12 and uses it to calculate the traffic state. If the traffic state on the real network system 2 at the next time does not match the traffic state calculated by the traffic emulator 13, the traffic comparison unit 15 notifies the real network system 2 of the traffic as abnormal traffic. .
  • FIG. 2 is a hardware configuration diagram of the traffic analysis device 1.
  • Traffic analysis apparatus 1 is configured as computer 900 having CPU 901 , RAM 902 , ROM 903 , HDD 904 , communication I/F 905 , input/output I/F 906 and media I/F 907 .
  • Communication I/F 905 is connected to an external communication device 915 .
  • Input/output I/F 906 is connected to input/output device 916 .
  • a media I/F 907 reads and writes data from a recording medium 917 .
  • the CPU 901 controls each processing unit by executing a program (also called an application or an app for short) read into the RAM 902 . This program can be distributed via a communication line or recorded on a recording medium 917 such as a CD-ROM for distribution.
  • a program also called an application or an app for short
  • FIG. 3 is an explanatory diagram showing an overview of the processing of the traffic analysis device 1.
  • a state 101 is a bar graph representing the computation time of each traffic in the three domains A, B, and C mirrored by the traffic emulator 13 at the current time (t). Blackened bars for domains A and B indicate that they were infected with lateral movement attacks. A white bar for Domain C indicates that it was not infected with a lateral movement attack.
  • State 102 is obtained by removing one domain A traffic from state 101 .
  • the domain determination unit 11 predicts that domain A, which has the largest number of virtual traffic flows (three flows), has been infected with a lateral movement attack. Then, when the processing load of the simulation increases, the domain determination unit 11 reduces the amount of calculation by excluding the virtual traffic in the domain A from the calculation target of the traffic emulator 13 . Here, from the three virtual traffics in domain A, the domain determination unit 11 excludes the virtual traffic whose calculation cannot be completed by the next time (t+1) from the calculation targets. In this way, the traffic analysis device 1 allocates computing power to other domains B, C, D, . It is possible to increase the number of domains that can be calculated in time by time (t+1).
  • FIG. 4 is a sequence diagram showing the processing of the traffic analysis device 1. As shown in FIG. In S101, when the traffic emulator 13 receives real traffic (or information indicating its status) at the current time from the real network system 2, it notifies the analysis exclusion unit 14 of the real traffic as a candidate for exclusion processing in S106.
  • the traffic emulator 13 uses the protocol information of the actual traffic at the current time received in S101 as a search key, and acquires the protocol operation contents of the traffic at the next time from the traffic model management unit 12.
  • the traffic emulator 13 simulates the protocol operation for each flow of traffic on the real network system 2 in a virtual space, thereby calculating the traffic state of the next time based on the traffic state of the current time. This calculation process transitions in the order of start of calculation in S103a, during calculation in S103b, and completion of calculation in S103c. At the start of calculation in S103a, the traffic emulator 13 mirrors the actual traffic at the current time notified in S101 on the virtual space. After that, the traffic emulator 13 reflects the protocol operation contents acquired in S102a for each traffic in the virtual space, thereby starting calculation for transitioning to the traffic state at the next time when the network conditions in the virtual space are changed.
  • the traffic emulator 13 notifies the domain determining unit 11 of the list of virtual traffic mirrored on the virtual space in S103a as an analysis target.
  • the domain determination unit 11 classifies the notified virtual traffic by domain based on the destination information and source information of each traffic (S104b: sorting by domain).
  • S104c the traffic emulator 13 appropriately notifies the domain determining unit 11 of the current load status of the simulation processing (calculated in S103b).
  • the domain determination unit 11 determines whether or not the current load status exceeds the load threshold of the traffic emulator 13 by the determination formula "load status>load threshold".
  • load threshold is set according to the computational capacity of the traffic emulator 13, and is, for example, the general number of flows that the traffic emulator 13 can complete computation by the next time.
  • the domain determination unit 11 selects the virtual traffic in the domain predicted to be infected by the lateral movement attack from the virtual traffic list sorted by domain in S104b.
  • the analysis exclusion unit 14 is notified as exclusion target traffic.
  • a method of determining a domain infected with a lateral movement attack is exemplified below.
  • Determination method 1 A domain with a larger number of traffic flows (or the total traffic volume per domain) in the domain than other domains is determined to have been infected with a lateral movement attack. Then, the domain determining unit 11 arranges the domains in descending order of the number of traffic flows, and treats the domains as exclusion target traffic in order from the domain with the largest number of flows. The domain determination unit 11 determines exclusion target traffic by giving priority to domains with a large number of flows, for example, by weighted round robin or the like.
  • Determination method 3 Compare traffic states within a domain, and determine that a domain with a larger set of traffic states that match or resemble each other than other domains is infected with a lateral movement attack. This is because in a lateral movement attack, there are multiple terminals that have been attacked by the same attack, so there is a high possibility that the result of analyzing the traffic of the same attack as exclusion target traffic will also be the same attack result.
  • the analysis exclusion unit 14 determines to exclude part or all of the exclusion target traffic notified at S105b from the calculation target of the traffic emulator 13.
  • the analysis exclusion unit 14 may determine in advance the priority at the next time for each terminal that transmits and receives traffic, and may perform exclusion control according to the priority.
  • the exclusion control means for example, making the traffic of a terminal with a lower priority more likely to be excluded from the calculation target, or interrupting the traffic calculation in an early order.
  • the analysis exclusion unit 14 notifies the traffic emulator 13 of an instruction to exclude the traffic determined in S106 from the calculation target.
  • the traffic emulator 13 suspends (or forcibly terminates) the calculation of the traffic for which the exclusion instruction was received in S107 from the traffic being calculated in S103b.
  • the surplus power generated in the computational capacity of the computer on which the traffic emulator 13 operates can be used to compute the traffic of other domains that have not been excluded. can be increased.
  • the traffic emulator 13 notifies the traffic comparator 15 of the virtual traffic in the virtual space at the next time after the calculation is completed (Yes in S103c).
  • Each of the above processes from S101 to S108 is executed during the period from the current time (t) to the next time (t+1).
  • S111 and subsequent steps are processes to be executed after the next time (t+1).
  • the traffic comparison unit 15 receives the actual traffic at the next time (t+1) from the actual network system 2.
  • the traffic comparison unit 15 compares the actual traffic at the next time received in S111 with the virtual traffic at the next time received in S108. If the comparison results do not match, the traffic comparison unit 15 considers the actual traffic at the next time (t+1) to be abnormal traffic.
  • the traffic comparison unit 15 attaches an anomaly flag indicating an anomaly to the anomalous traffic found in the comparison result of S111. If the traffic is in a domain predicted to be infected by a lateral movement attack in S105b, the traffic comparison unit 15 determines that the domain is predicted to be infected by a lateral movement attack, and the grounds for the prediction (determination). which determination method among methods 1 to 3 is used) may be added as an abnormality flag.
  • the traffic comparison unit 15 returns to the actual network system 2 the abnormal traffic at the next time to which the abnormal flag is attached.
  • each device of the actual network system 2 discards actual traffic to which anomaly flags have been added, displays the contents of the anomaly flags on the administrator's screen, and isolates domains infected by lateral movement attacks from the network.
  • Abnormal countermeasures such as Alternatively, in each domain of the actual network system 2, a second analysis device that analyzes intra-domain traffic different from the traffic analysis device 1 is prepared, and a notification is sent to the effect that the own domain has been infected with a lateral movement attack. In response, the second analysis device may analyze the abnormal traffic within its own domain.
  • FIG. 5 is a comparison table showing the effects of the traffic analysis device 1.
  • the first column (time) of the comparison table indicates the time of each state under calculation.
  • the second column (actual network) of the comparison table is a list of real traffic present on the real network system 2 .
  • the first character of the real traffic identifier (for example, "RTa(t)") is R (Real) for real traffic or V (Virtual) for virtual traffic, and the second character is T (Traffic) indicating traffic. attached.
  • flow identifiers (a, b1, b2, . . . ) and time information in the first column such as (t) are shown in brackets. Traffic whose identifier ends with “infected” indicates traffic within a domain infected with a lateral movement attack.
  • the third column (hypothetical 1) of the comparison table shows the hypothetical traffic when all the traffic is calculated by the next time in a computer environment (such as a supercomputer) in which the traffic analysis device 1 is sufficiently supplied with computing power. show.
  • Columns 4 and 5 (hypothetical 2 and 3) of the comparison table indicate that part of the traffic will not be calculated by the next time due to a computer environment (general personal computer, etc.) in which the computing power of the traffic analysis device 1 is limited. shows the virtual traffic of The difference between the 4th column (hypothetical 2) and the 5th column (hypothetical 3) is whether the process of excluding some traffic from the calculation target shown in FIG. 3 is not applied (hypothetical 2) or applied (hypothetical 2) Hypothetical 3) or
  • the first row of the comparison table indicates that the real traffic existing on the real network system 2 at the current time (t) is mirrored to (virtual 1, 2, 3) respectively. That is, three sets of mirroring are performed: RTa(t) ⁇ VTa(t), RTb1(t) ⁇ VTb1(t), and RTb2(t) ⁇ VTb2(t). It is assumed that RTa(t) of domain A is not infected with lateral movement attack, and RTb1(t) and RTb2(t) of domain B are infected with lateral movement attack.
  • the second row of the comparison table shows the traffic conditions at the next time (t+1). From the actual network system 2, RTa(t) of domain A remains unchanged as normal traffic, but RTb3(t) and RTb4(t) are derived to domain B as abnormal traffic.
  • (virtual 1) is VTa(t) ⁇ VTa(t+1), VTb1(t) ⁇ VTb1(t+1), VTb2(t) ⁇ VTb2
  • Three sets of traffic states (t+1) can be calculated by the next time. Therefore, by comparing the second and third columns at the next time (t+1), abnormal traffic can be detected as follows.
  • ⁇ RTa(t+1) VTa(t+1) ⁇ Normal traffic
  • ⁇ RTb1(t+1) VTb1(t+1) ⁇ Normal traffic
  • VTb2(t+1) VTb2(t+1) ⁇ Normal traffic Traffic Mismatch of RTb3(t+1) ⁇ Abnormal traffic Mismatch of RTb4(t+1) ⁇ Abnormal traffic
  • the traffic analysis apparatus 1 of the present invention mirrors each traffic on the real network system 2 at the current time in the virtual space, and executes protocol control of each traffic in the virtual space so that the real network system 2 at the next time a traffic emulator 13 for calculating traffic conditions above; and a domain determination unit 11 that determines a domain predicted to be infected with a lateral movement attack for each mirrored traffic and excludes part of the traffic in that domain from the calculation target of the traffic emulator 13. characterized by
  • the present invention is characterized in that the domain determination unit 11 determines that a domain with a larger number of traffic flows than other domains is a domain infected with a lateral movement attack.
  • the present invention is characterized in that the domain determination unit 11 determines that a domain with a higher rate of increase in the number of traffic flows in the domain than other domains is a domain infected with a lateral movement attack.
  • domains infected with lateral movement attacks can be identified with high accuracy, using an unnatural increase in the number of flows within the domain as clues.
  • a feature of the present invention is that the domain determination unit 11 determines that a domain with a larger number of sets of traffic states that match or resemble each other than other domains is a domain infected with a lateral movement attack.
  • domains infected with lateral movement attacks can be identified with high accuracy based on similarities between traffic infected with lateral movement attacks.
  • the traffic analysis device 1 further has a traffic comparison unit 15,
  • the traffic comparison unit 15 compares the traffic state at the next time calculated by the traffic emulator 13 with the traffic state on the real network system 2 at the next time, and treats inconsistent traffic as abnormal traffic to the real network system 2. It is characterized by notifying.

Abstract

トラヒック分析装置（１）は、現時刻における実ネットワークシステム（２）上の各トラヒックを仮想空間上にミラーリングし、各トラヒックのプロトコル制御を仮想空間上で実行することで、次時刻における実ネットワークシステム（２）上のトラヒックの状態を計算するトラヒックエミュレータ（１３）と、ミラーリングされた各トラヒックについて、ラテラルムーブメント攻撃に感染されたと予測されるドメインを判定し、そのドメイン内のトラヒックの一部を、トラヒックエミュレータ（１３）の計算対象から除外するドメイン判定部（１１）と、を有する。

Description

トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラム
　本発明は、トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラムに関する。
　将来のトラヒック量を予測する技術が提案されている。例えば、特許文献１には、将来のユーザトラヒック量を予測し、通信サービスに必要な帯域設備量を算出する通信帯域算出装置が記載されている。これにより、過不足のない通信リソースの設備量を算出することで、通信サービスの供給者の経済性を向上させる。
特開２０２０－１５０５２４号公報
　将来のトラヒック量を予測する技術を、不正通信の検知に応用する場合を検討する。不正通信の検知には、特許文献１のようなトラヒック量という大まかな予測値よりも、個々のトラヒックをフロー単位で細かく予測するトラヒックエミュレーションが有効である。
　トラヒックエミュレータは、現時刻（t）の実網を流れる各トラヒックを仮想空間上に模擬（ミラーリング）し、現時刻（t）の各トラヒックを起点として、次時刻（t+1）の仮想空間上のプロトコル規約に適合した（理想的な）トラヒック状態を予測する。
　なお、現時刻（t）とは実網を観測するターゲット時刻であり、次時刻（t+1）とは現時刻の次のタイミングで実網を観測するターゲット時刻である。そして、トラヒックエミュレータは、次時刻の理想的なトラヒック状態と、次時刻の実空間上のユーザトラヒック状態とを比較することで、プロトコル規約に違反したユーザトラヒックを検出できる。
　しかし、大容量の基幹ネットワーク上を流れるトラヒック量は、１波長あたり10[Gbps],100[Gbps]など大量であるため、トラヒックエミュレータが計算対象とするトラヒックのフロー数も膨大である。そのため、現時刻（t）から次時刻（t+1）までの計算間隔を短縮化するほど（例えば１０秒ごと）、トラヒックエミュレータには非常に高い（リアルタイムな）計算能力が求められる。
　なお、不正通信のうち、同一ドメイン内で拡散するラテラルムーブメント（横展開）を行う攻撃は、同一ドメイン内に属する端末が次々に被害を受けるので、とくに対策が求められる。
　ラテラルムーブメントの代表的な攻撃事例として、WannaCryが挙げられる。WannaCryは、Microsoft Windows（登録商標）を標的としたワーム型ランサムウェアであり、SMBv1（Server Message Block version 1）を用いた横展開により、ドメイン内での攻撃が拡散される。
　図６は、ドメイン内に対するラテラルムーブメント攻撃の説明図である。
　社内ドメイン９０の外側にいる攻撃者は、攻撃端末８１を操作して、以下の手順で社内ドメイン９０への不正アクセスを行う。
　（手順１）攻撃端末８１からインターネット８２を介して、ＧＷ９１→ＳＷ９３→社員端末９６の侵入に成功する（矢印８３）。しかし、社員端末９６を扱う社員の権限が低かったので、その端末内（ローカル）には機密情報が存在せず、機密情報を管理する顧客サーバ９４へのアクセス権も存在しない。
　（手順２）社員端末９６を踏み台にして、部長端末９７に感染を拡大させる（矢印８４）。これにより、権限が高い部長端末９７から顧客サーバ９４へのアクセス権を取得する。
　（手順３）部長端末９７を踏み台にして、ＳＷ９３→ＧＷ９１→ＳＷ９２を経由して、顧客サーバ９４に感染を拡大させる（矢印８５）。これにより、顧客サーバ９４内の機密情報を取得する。
　以上、図６で説明したように、ラテラルムーブメント攻撃は、異常なトラヒックが短期間で次々に派生する特性を持っている。よって、個々の異常なトラヒックを詳細に検出するよりは、ドメインという大きな単位で、ラテラルムーブメント攻撃で感染しているドメインの検知数を増やすような分析が有効である。感染したドメインを予測できれば、そのドメイン単位でのネットワーク隔離などの大規模な対策が行えるからである。
　ここで、個々のトラヒックに対してプロトコル規約に違反したか否かという厳密な検出処理を実行してしまうと、計算量が膨大になり、計算完了時刻が次時刻（t+1）に間に合わない。よって、不正通信の検出結果を、不正通信の検知には応用できなくなってしまう。
　なお、特許文献１のような従来のトラヒック量を予測する技術では、このような厳しい計算時間の制約が存在しなかったので、ラテラルムーブメント攻撃を考慮して効果的に計算コストを低減することは検討されてこなかった。
　そこで、本発明は、現時刻（t）のトラヒック状態から次時刻（t+1）のトラヒック状態を予測するときに、ラテラルムーブメント攻撃を考慮して効果的に計算コストを低減することを主な課題とする。
　前記課題を解決するために、本発明のトラヒック分析装置は、以下の特徴を有する。
　本発明は、現時刻における実ネットワークシステム上の各トラヒックを仮想空間上にミラーリングし、各トラヒックのプロトコル制御を仮想空間上で実行することで、次時刻における前記実ネットワークシステム上のトラヒックの状態を計算するトラヒックエミュレータと、
　ミラーリングされた各トラヒックについて、ラテラルムーブメント攻撃に感染されたと予測されるドメインを判定し、そのドメイン内のトラヒックの一部を、前記トラヒックエミュレータの計算対象から除外するドメイン判定部と、を有することを特徴とする。
　本発明によれば、現時刻（t）のトラヒック状態から次時刻（t+1）のトラヒック状態を予測するときに、ラテラルムーブメント攻撃を考慮して効果的に計算コストを低減することができる。
本実施形態に係わるトラヒック分析装置の構成図である。 本実施形態に係わるトラヒック分析装置のハードウェア構成図である。 本実施形態に係わるトラヒック分析装置の処理の概要を示す説明図である。 本実施形態に係わるトラヒック分析装置の処理を示すシーケンス図である。 本実施形態に係わるトラヒック分析装置の効果を示す比較テーブルである。 ドメイン内に対するラテラルムーブメント攻撃の説明図である。
　以下、本発明の一実施形態について、図面を参照して詳細に説明する。
　図１は、トラヒック分析装置１の構成図である。
　トラヒック分析装置１は、ドメイン判定部１１と、トラヒックモデル管理部１２と、トラヒックエミュレータ１３と、分析除外部１４と、トラヒック比較部１５と有する。
　実ネットワークシステム２は、トラヒック分析装置１の分析対象となる実際のネットワークシステムである。
　トラヒックエミュレータ１３は、現時刻（t）における実ネットワークシステム２上の各トラヒックを仮想空間上にミラーリングし、各トラヒックのプロトコル制御を仮想空間上で実行することで、次時刻（t+1）における実ネットワークシステム２上のトラヒックの状態を計算する。
　ドメイン判定部１１は、ミラーリングされた各トラヒックについて、ラテラルムーブメント攻撃に感染されたと予測されるドメインを判定し（詳細は図４の説明で後記）、そのドメイン内のトラヒックの一部を、トラヒックエミュレータ１３の計算対象から除外する旨を判定する。ドメイン判定部１１は、除外する旨の判定結果を分析除外部１４に出力する。
　分析除外部１４は、ドメイン判定部１１から通知されたトラヒックを、トラヒックエミュレータ１３の計算対象から除外する。
　トラヒックモデル管理部１２には、トラヒックエミュレータ１３が各トラヒックのプロトコル制御を仮想空間上で実行するための、プロトコルに規定された制御の情報が、トラヒックモデルとして管理されている。トラヒックエミュレータ１３はトラヒックモデル管理部１２からトラヒックのプロトコルごとにトラヒックモデルを読み出して、トラヒックの状態を計算するために使用する。
　トラヒック比較部１５は、次時刻における実ネットワークシステム２上のトラヒックの状態が、トラヒックエミュレータ１３の計算結果のトラヒックの状態と一致しない場合に、そのトラヒックを異常なトラヒックとして実ネットワークシステム２に通知する。
　図２は、トラヒック分析装置１のハードウェア構成図である。
　トラヒック分析装置１は、ＣＰＵ９０１と、ＲＡＭ９０２と、ＲＯＭ９０３と、ＨＤＤ９０４と、通信Ｉ／Ｆ９０５と、入出力Ｉ／Ｆ９０６と、メディアＩ／Ｆ９０７とを有するコンピュータ９００として構成される。
　通信Ｉ／Ｆ９０５は、外部の通信装置９１５と接続される。入出力Ｉ／Ｆ９０６は、入出力装置９１６と接続される。メディアＩ／Ｆ９０７は、記録媒体９１７からデータを読み書きする。さらに、ＣＰＵ９０１は、ＲＡＭ９０２に読み込んだプログラム（アプリケーションや、その略のアプリとも呼ばれる）を実行することにより、各処理部を制御する。そして、このプログラムは、通信回線を介して配布したり、ＣＤ－ＲＯＭ等の記録媒体９１７に記録して配布したりすることも可能である。
　図３は、トラヒック分析装置１の処理の概要を示す説明図である。
　状態１０１は、現時刻（t）の時点でトラヒックエミュレータ１３がミラーリングした３つのドメインA,B,C内の各トラヒックの計算時間を、棒グラフ表示したものである。
　ドメインA,Bの黒く塗られた棒グラフは、ラテラルムーブメント攻撃に感染した旨を示す。ドメインCの白い棒グラフは、ラテラルムーブメント攻撃に感染していない旨を示す。
　状態１０２は、状態１０１からドメインAのトラヒックを１つ除外したものである。ドメイン判定部１１は、仮想トラヒックのフロー数が最も多い（３フローの）ドメインAを、ラテラルムーブメント攻撃に感染されたと予測する。そして、ドメイン判定部１１は、シミュレーションの処理負荷が高くなった場合、ドメインA内の仮想トラヒックをトラヒックエミュレータ１３の計算対象から除外することで、計算量を削減する。ここでは、ドメイン判定部１１は、ドメインA内の３つの仮想トラヒックから、次時刻（t+1）までに計算が間に合わない仮想トラヒックを計算対象から除外した。
　このように、トラヒック分析装置１は、ラテラルムーブメント攻撃に感染されたドメインAの一部を計算対象から早期に除外することで、他のドメインB,C,D,…に計算能力を割り当て、次時刻（t+1）までに計算が間に合うドメイン数を増やすことができる。
　図４は、トラヒック分析装置１の処理を示すシーケンス図である。
　Ｓ１０１として、トラヒックエミュレータ１３は、現時刻における実トラヒック（またはその状態を示す情報）を実ネットワークシステム２から受信すると、その実トラヒックをＳ１０６の除外処理の候補として、分析除外部１４に通知する。
　Ｓ１０２ａとして、トラヒックエミュレータ１３は、Ｓ１０１で受信した現時刻における実トラヒックのプロトコル情報を検索キーとして、そのトラヒックの次時刻のプロトコル動作内容を、トラヒックモデル管理部１２から取得する。
　トラヒックエミュレータ１３は、実ネットワークシステム２上のトラヒックのフローごとのプロトコル動作を仮想空間上で模擬実行することで、現時刻のトラヒック状態から、次時刻のトラヒック状態を計算する。この計算過程は、Ｓ１０３ａの計算開始→Ｓ１０３ｂの計算中→Ｓ１０３ｃの計算完了の順に遷移する。
　Ｓ１０３ａの計算開始時点では、トラヒックエミュレータ１３は、Ｓ１０１で通知された現時刻における実トラヒックを、仮想空間上にミラーリングする。その後、トラヒックエミュレータ１３は、仮想空間上の各トラヒックについて、Ｓ１０２ａで取得したプロトコル動作内容を反映させることで、仮想空間のネットワーク条件が変更された次時刻のトラヒック状態に遷移させる計算を開始する。
　Ｓ１０４ａとして、トラヒックエミュレータ１３は、Ｓ１０３ａで仮想空間上にミラーリングした仮想トラヒックのリストを、分析対象としてドメイン判定部１１に通知する。ドメイン判定部１１は、通知された仮想トラヒックに対して、各トラヒックの宛先情報および送信元情報をもとに、ドメイン単位にトラヒックを分類する（Ｓ１０４ｂ：ドメイン別整理）。
　Ｓ１０４ｃとして、トラヒックエミュレータ１３は、現在の（Ｓ１０３ｂで計算中の）シミュレーション処理の負荷状況を、ドメイン判定部１１に適宜通知する。
　Ｓ１０５ａとして、ドメイン判定部１１は、判定式「負荷状況＞負荷閾値」により、現在の負荷状況がトラヒックエミュレータ１３の負荷閾値を超過したか否かを判定する。なお、負荷閾値とは、トラヒックエミュレータ１３の計算能力に応じて設定され、例えばトラヒックエミュレータ１３が次時刻までに計算完了できる一般的なフロー数である。この場合、負荷状況＝ミラーリングした仮想トラヒックのフロー数となる。
　例えば、判定式が（負荷状況のフロー数＝2000）＞（負荷閾値のフロー数＝1500）となるときには、次時刻までに500個のフロー数の計算が間に合わない（Ｓ１０５ａでYes）。よって、500個のフロー数を次時刻までに計算から除外する必要がある。
　Ｓ１０５ｂとして、ドメイン判定部１１は、計算が間に合わない（Ｓ１０５ａでYes）場合、Ｓ１０４ｂでドメイン単位に整理した仮想トラヒックのリストから、ラテラルムーブメント攻撃に感染されたと予測されるドメイン内の仮想トラヒックを、除外対象トラヒックとして分析除外部１４に通知する。以下、ラテラルムーブメント攻撃に感染されたドメインの判定方法を例示する。
　（判定方法１）ドメイン内のトラヒックのフロー数（またはトラヒックの通信量のドメイン別総和でもよい）が他のドメインよりも多いドメインほど、ラテラルムーブメント攻撃に感染されたと判定する。そして、ドメイン判定部１１は、トラヒックのフロー数が多い順番にドメインを並べて、フロー数の多いドメインから、順次、除外対象トラヒックとする。ドメイン判定部１１は、例えば、重みづけラウンドロビン等により、フロー数の多いドメインを優先的に、除外対象トラヒックを決定していく。
　（判定方法２）ドメイン内のトラヒックのフロー数の単位時間（時刻t-2→時刻t-1→時刻t→時刻t+1）あたりの増加率が他のドメインよりも多いドメインほど、ラテラルムーブメント攻撃に感染されたと判定する。その後は、（判定方法１）の「フロー数」を「増加率」に置き換えた処理を行う。
　（判定方法３）ドメイン内のトラヒック状態同士を比較し、互いに一致または類似するトラヒック状態の集合が他のドメインよりも多いドメインほど、ラテラルムーブメント攻撃に感染されたと判定する。ラテラルムーブメント攻撃では、同じ攻撃を受けた端末が複数存在するので、その同じ攻撃のトラヒックを除外対象トラヒックとして分析した結果も、同一の攻撃結果となる可能性が高いためである。
　Ｓ１０６として、分析除外部１４は、Ｓ１０５ｂで通知された除外対象トラヒックの一部または全部を、トラヒックエミュレータ１３の計算対象から除外することを決定する。ここで、分析除外部１４は、トラヒックを送受信する端末ごとに次時刻における優先度を事前に決めておき、その優先度に従って除外制御を行ってもよい。除外制御とは、例えば、優先度が低い端末のトラヒックほど、計算対象から除外されやすくする、または、早い順序でトラヒックの計算を中断させるなどである。
　Ｓ１０７として、分析除外部１４は、Ｓ１０６で決定したトラヒックを計算対象から除外する旨の指示をトラヒックエミュレータ１３に通知する。トラヒックエミュレータ１３は、Ｓ１０３ｂで計算中のトラヒックから、Ｓ１０７の除外指示を受けたトラヒックの計算を中断（または強制終了）する。
　これにより、トラヒックエミュレータ１３が動作する計算機の計算能力に生まれた余力を、除外しなかった他ドメインのトラヒックの計算に活用できるので、結果として、次時刻までに計算完了（Ｓ１０３ｃ）となるドメイン数を増やすことができる。
　Ｓ１０８として、トラヒックエミュレータ１３は、計算が完了した（Ｓ１０３ｃでYes）次時刻における仮想空間上の仮想トラヒックをトラヒック比較部１５に通知する。
　以上、Ｓ１０１～Ｓ１０８までの各処理が、現時刻（t）から次時刻（t+1）までの期間に実行される。以下、Ｓ１１１以降は次時刻（t+1）以降に実行される処理である。
　Ｓ１１１として、トラヒック比較部１５は、次時刻（t+1）における実トラヒックを実ネットワークシステム２から受信する。
　Ｓ１１２として、トラヒック比較部１５は、Ｓ１１１で受信した次時刻における実トラヒックと、Ｓ１０８で受信した次時刻における仮想トラヒックとを比較する。なお、比較結果が不一致なら、トラヒック比較部１５は、次時刻（t+1）における実トラヒックは異常なトラヒックであるとみなす。
　Ｓ１１３として、トラヒック比較部１５は、Ｓ１１１の比較結果で発見した異常なトラヒックに対し、異常の旨を示す異常フラグを付与する。なお、トラヒック比較部１５は、Ｓ１０５ｂでラテラルムーブメント攻撃に感染されたと予測されるドメイン内のトラヒックである場合、ラテラルムーブメント攻撃に感染されたと予測されるドメインであることや、その予測の根拠（判定方法１～３のどの判定方法を用いたかなど）を異常フラグとして付加してもよい。
　Ｓ１１４として、トラヒック比較部１５は、異常フラグを付与した次時刻の異常なトラヒックを実ネットワークシステム２に返信する。これにより、実ネットワークシステム２の各装置は、異常フラグが付与された実トラヒックを廃棄したり、異常フラグの内容を管理者の画面に表示したり、ラテラルムーブメント攻撃に感染されたドメインをネットワーク隔離したりするなどの異常対策を実行できる。
　または、実ネットワークシステム２の各ドメイン内に、トラヒック分析装置１とは別のドメイン内トラヒックを分析する第２分析装置を用意しておき、自ドメインがラテラルムーブメント攻撃に感染された旨の通知を受け、第２分析装置に自ドメイン内の異常なトラヒックを分析させてもよい。
　図５は、トラヒック分析装置１の効果を示す比較テーブルである。
　比較テーブルの第１列（時刻）は、計算中の各状態の時刻を示す。
　比較テーブルの第２列（実ネットワーク）は、実ネットワークシステム２上に存在する実トラヒックのリストである。実トラヒックの識別子（例えば「RTa(t)」）の１文字目は、実トラヒックのR(Real)または仮想トラヒックのV(Virtual)を付し、２文字目はトラヒックを示すT（Traffic）を付す。その後には、フローの識別子（a,b1,b2,…）、および、（t）など第１列の時刻の情報をカッコつきで示す。
　識別子の末尾に「感染」とあるトラヒックは、ラテラルムーブメント攻撃に感染されたドメイン内のトラヒックを示す。
　比較テーブルの第３列（仮想１）は、トラヒック分析装置１の計算能力が充分に供給される計算機環境（スーパーコンピュータなど）により、すべてのトラヒックが次時刻までに計算完了する場合の仮想トラヒックを示す。
　比較テーブルの第４，５列（仮想２，３）は、トラヒック分析装置１の計算能力が限定的な計算機環境（一般のパソコンなど）により、一部のトラヒックが次時刻までに計算完了しない場合の仮想トラヒックを示す。第４列（仮想２）と第５列（仮想３）との違いは、図３に示した一部のトラヒックを計算対象から除外する処理を適用しない場合（仮想２）か、適用した場合（仮想３）かである。
　比較テーブルの第１行は、現時刻（t）の実ネットワークシステム２上に存在する実トラヒックが、（仮想１，２，３）それぞれにミラーリングされている旨を示す。つまり、RTa(t)→VTa(t)、RTb1(t)→VTb1(t)、RTb2(t)→VTb2(t)という３組のミラーリングが行われる。
　なお、ドメインAのRTa(t)はラテラルムーブメント攻撃に感染しておらず、ドメインBのRTb1(t),RTb2(t)はラテラルムーブメント攻撃に感染しているものとする。
　比較テーブルの第２行は、次時刻（t+1）のトラヒック状態を示す。実ネットワークシステム２からは、ドメインAのRTa(t)は正常トラヒックとして変化なしだが、異常トラヒックとして、ドメインBにRTb3(t),RTb4(t)が派生したとする。
　次時刻（t+1）での（仮想１）は充分な計算能力により、VTa(t)→VTa(t+1)、VTb1(t)→VTb1(t+1)、VTb2(t)→VTb2(t+1)という３組のトラヒック状態を次時刻までに計算できる。よって、次時刻（t+1）の第２列と第３列との比較により、以下のように異常トラヒックを検出できる。
　・RTa(t+1)＝VTa(t+1)　→正常トラヒック
　・RTb1(t+1)＝VTb1(t+1)　→正常トラヒック
　・RTb2(t+1)＝VTb2(t+1)　→正常トラヒック
　・RTb3(t+1)の不一致　→異常トラヒック
　・RTb4(t+1)の不一致　→異常トラヒック
　次時刻（t+1）での（仮想２）は不充分な計算能力により、VTa(t)→VTa(t+1)という１組のトラヒック状態だけ次時刻までに計算した。よって、次時刻（t+1）の第２列と第４列との比較により、以下のように異常トラヒックを検出できる。
　・RTa(t+1)＝VTa(t+1)　→正常トラヒック
　・RTb1(t+1)の不一致　→異常トラヒック
　・RTb2(t+1)の不一致　→異常トラヒック
　・RTb3(t+1)の不一致　→異常トラヒック
　・RTb4(t+1)の不一致　→異常トラヒック
　次時刻（t+1）での（仮想３）は不充分な計算能力ではあるが、トラヒックを計算対象から除外する処理を適用した結果、VTa(t)→VTa(t+1)、VTb1(t)→VTb1(t+1)という２組のトラヒック状態を次時刻までに計算でき、かつ、VTb1(t+1)にラテラルムーブメント攻撃に感染した旨の異常フラグを付加できる。よって、次時刻（t+1）の第２列と第５列との比較により、以下のように異常トラヒックを検出できる。
　・RTa(t+1)＝VTa(t+1)　→正常トラヒック
　・RTb1(t+1)＝VTb1(t+1)　→異常トラヒック（感染したドメインB）
　・RTb2(t+1)の不一致　→異常トラヒック（感染したドメインB）
　・RTb3(t+1)の不一致　→異常トラヒック（感染したドメインB）
　・RTb4(t+1)の不一致　→異常トラヒック（感染したドメインB）
　つまり、（仮想１，２）の検出結果よりも、（仮想３）の検出結果のほうが、ラテラルムーブメント攻撃に感染した旨をドメイン単位で詳しく解析できた。
［効果］
　本発明のトラヒック分析装置１は、現時刻における実ネットワークシステム２上の各トラヒックを仮想空間上にミラーリングし、各トラヒックのプロトコル制御を仮想空間上で実行することで、次時刻における実ネットワークシステム２上のトラヒックの状態を計算するトラヒックエミュレータ１３と、
　ミラーリングされた各トラヒックについて、ラテラルムーブメント攻撃に感染されたと予測されるドメインを判定し、そのドメイン内のトラヒックの一部を、トラヒックエミュレータ１３の計算対象から除外するドメイン判定部１１と、を有することを特徴とする。
　これにより、現時刻（t）のトラヒック状態から次時刻（t+1）のトラヒック状態を予測するときに、ラテラルムーブメント攻撃に感染されたと予測されるドメイン内のトラヒックを計算から除外することで、ラテラルムーブメント攻撃を考慮して効果的に計算コストを低減できる。
　さらに、感染されたドメイン内の多くのトラヒックを重複計算して無駄に消費されていた計算リソースを、別のドメイン内のトラヒックに効率的に割り当てることで、ラテラルムーブメント攻撃で感染されたドメインの検知数を増加できる。
　本発明は、ドメイン判定部１１が、ドメイン内のトラヒックのフロー数が他のドメインよりも多いドメインほど、ラテラルムーブメント攻撃に感染されたドメインであると判定することを特徴とする。
　これにより、ラテラルムーブメント攻撃に感染されたドメインを、早期に特定できる。
　本発明は、ドメイン判定部１１が、ドメイン内のトラヒックのフロー数の増加率が他のドメインよりも多いドメインほど、ラテラルムーブメント攻撃に感染されたドメインであると判定することを特徴とする。
　これにより、ドメイン内のフロー数の不自然な増加を手がかりに、ラテラルムーブメント攻撃に感染されたドメインを、高精度に特定できる。
　本発明は、ドメイン判定部１１が、互いに一致または類似するトラヒック状態の集合が他のドメインよりも多いドメインほど、ラテラルムーブメント攻撃に感染されたドメインであると判定することを特徴とする。
　これにより、ラテラルムーブメント攻撃に感染されたトラヒック同士が類似する事象に基づき、ラテラルムーブメント攻撃に感染されたドメインを、高精度に特定できる。
　本発明は、トラヒック分析装置１が、さらに、トラヒック比較部１５を有しており、
　トラヒック比較部１５が、トラヒックエミュレータ１３が算出した次時刻におけるトラヒックの状態と、次時刻における実ネットワークシステム２上のトラヒックの状態とを比較し、不一致のトラヒックを異常なトラヒックとして実ネットワークシステム２に通知することを特徴とする。
　これにより、次時刻における実ネットワークシステム２上のトラヒックから、不正通信を検出できる。
　１　　　トラヒック分析装置
　２　　　実ネットワークシステム
　１１　　ドメイン判定部
　１２　　トラヒックモデル管理部
　１３　　トラヒックエミュレータ
　１４　　分析除外部
　１５　　トラヒック比較部

Claims (7)

  1. 　現時刻における実ネットワークシステム上の各トラヒックを仮想空間上にミラーリングし、各トラヒックのプロトコル制御を仮想空間上で実行することで、次時刻における前記実ネットワークシステム上のトラヒックの状態を計算するトラヒックエミュレータと、
    　ミラーリングされた各トラヒックについて、ラテラルムーブメント攻撃に感染されたと予測されるドメインを判定し、そのドメイン内のトラヒックの一部を、前記トラヒックエミュレータの計算対象から除外するドメイン判定部と、を有することを特徴とする
    　トラヒック分析装置。
  2. 　前記ドメイン判定部は、ドメイン内のトラヒックのフロー数が他のドメインよりも多いドメインほど、ラテラルムーブメント攻撃に感染されたドメインであると判定することを特徴とする
    　請求項１に記載のトラヒック分析装置。
  3. 　前記ドメイン判定部は、ドメイン内のトラヒックのフロー数の増加率が他のドメインよりも多いドメインほど、ラテラルムーブメント攻撃に感染されたドメインであると判定することを特徴とする
    　請求項１に記載のトラヒック分析装置。
  4. 　前記ドメイン判定部は、互いに一致または類似するトラヒック状態の集合が他のドメインよりも多いドメインほど、ラテラルムーブメント攻撃に感染されたドメインであると判定することを特徴とする
    　請求項１に記載のトラヒック分析装置。
  5. 　前記トラヒック分析装置は、さらに、トラヒック比較部を有しており、
    　前記トラヒック比較部は、前記トラヒックエミュレータが算出した次時刻におけるトラヒックの状態と、次時刻における前記実ネットワークシステム上のトラヒックの状態とを比較し、不一致のトラヒックを異常なトラヒックとして前記実ネットワークシステムに通知することを特徴とする
    　請求項１ないし請求項４のいずれか１項に記載のトラヒック分析装置。
  6. 　トラヒック分析装置は、トラヒックエミュレータと、ドメイン判定部と、を有しており、
    　前記トラヒックエミュレータは、現時刻における実ネットワークシステム上の各トラヒックを仮想空間上にミラーリングし、各トラヒックのプロトコル制御を仮想空間上で実行することで、次時刻における前記実ネットワークシステム上のトラヒックの状態を計算し、
    　前記ドメイン判定部は、ミラーリングされた各トラヒックについて、ラテラルムーブメント攻撃に感染されたと予測されるドメインを判定し、そのドメイン内のトラヒックの一部を、前記トラヒックエミュレータの計算対象から除外することを特徴とする
    　トラヒック分析方法。
  7. 　コンピュータを、請求項１ないし請求項５のいずれか１項に記載のトラヒック分析装置として機能させるためのトラヒック分析プログラム。
PCT/JP2021/026341 2021-07-13 2021-07-13 トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラム WO2023286173A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2023534489A JPWO2023286173A1 (ja) 2021-07-13 2021-07-13
PCT/JP2021/026341 WO2023286173A1 (ja) 2021-07-13 2021-07-13 トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/026341 WO2023286173A1 (ja) 2021-07-13 2021-07-13 トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラム

Publications (1)

Publication Number Publication Date
WO2023286173A1 true WO2023286173A1 (ja) 2023-01-19

Family

ID=84919736

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/026341 WO2023286173A1 (ja) 2021-07-13 2021-07-13 トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラム

Country Status (2)

Country Link
JP (1) JPWO2023286173A1 (ja)
WO (1) WO2023286173A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004200773A (ja) * 2002-12-16 2004-07-15 Ntt Docomo Inc プロトコル不具合自動検出方法、及び、プロトコル不具合自動検出装置
US20060109793A1 (en) * 2004-11-25 2006-05-25 Kim Hwan K Network simulation apparatus and method for analyzing abnormal network
JP2019029798A (ja) * 2017-07-28 2019-02-21 日本電信電話株式会社 異常検知システム及び異常検知方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004200773A (ja) * 2002-12-16 2004-07-15 Ntt Docomo Inc プロトコル不具合自動検出方法、及び、プロトコル不具合自動検出装置
US20060109793A1 (en) * 2004-11-25 2006-05-25 Kim Hwan K Network simulation apparatus and method for analyzing abnormal network
JP2019029798A (ja) * 2017-07-28 2019-02-21 日本電信電話株式会社 異常検知システム及び異常検知方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
YU SHIXING; KOU NA; JIANG JIHENG; DING ZHAO; ZHANG ZHENGPING: "Beam Steering of Orbital Angular Momentum Vortex Waves With Spherical Conformal Array", IEEE ANTENNAS AND WIRELESS PROPAGATION LETTERS, IEEE, PISCATAWAY, NJ, US, vol. 20, no. 7, 30 April 2021 (2021-04-30), US , pages 1244 - 1248, XP011864774, ISSN: 1536-1225, DOI: 10.1109/LAWP.2021.3076804 *

Also Published As

Publication number Publication date
JPWO2023286173A1 (ja) 2023-01-19

Similar Documents

Publication Publication Date Title
US20230300164A1 (en) User and entity behavioral analysis with network topology enhancement
CN108429651B (zh) 流量数据检测方法、装置、电子设备及计算机可读介质
Hu et al. A simple and efficient hidden Markov model scheme for host-based anomaly intrusion detection
KR100609710B1 (ko) 이상 트래픽 분석을 위한 네트워크 시뮬레이션 장치 및 그방법
KR100561628B1 (ko) 통계적 분석을 이용한 네트워크 수준에서의 이상 트래픽감지 방법
CN110365674B (zh) 一种预测网络攻击面的方法、服务器和系统
US11424993B1 (en) Artificial intelligence system for network traffic flow based detection of service usage policy violations
KR101281456B1 (ko) 자기 유사성을 이용한 ｓｃａｄａ 네트워크의 이상증후를 탐지하는 장치 및 방법
Thejas et al. A multi-time-scale time series analysis for click fraud forecasting using binary labeled imbalanced dataset
Krasov et al. Behavioral analysis of resource allocation systems in cloud infrastructure
CN110365673B (zh) 一种隔离网络攻击面的方法、服务器和系统
JP5949785B2 (ja) 情報処理方法、装置及びプログラム
WO2023286173A1 (ja) トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラム
Zhang et al. A prediction-based detection algorithm against distributed denial-of-service attacks
EP3826242B1 (en) Cyber attack information analyzing program, cyber attack information analyzing method, and information processing device
US20220309171A1 (en) Endpoint Security using an Action Prediction Model
Soikkeli et al. Redundancy planning for cost efficient resilience to cyber attacks
Barbhuiya et al. Linear Regression Based DDoS Attack Detection
KR101326804B1 (ko) 분산서비스거부 공격 탐지 방법 및 시스템
Zhu et al. CPU and network traffic anomaly detection method for cloud data center
WO2023286172A1 (ja) トラヒック分析装置、トラヒック分析方法、および、トラヒック分析プログラム
JP3782319B2 (ja) ネットワーク分析装置
Miranda et al. Sequential Performance Analysis of Systems that Age and Rejuvenate
CN113660667B (zh) 一种用于运营商网络的非法劫持快速监测方法及系统
CN114157465B (zh) 一种勒索病毒传播路径的确定方法、装置、设备及介质

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2023534489

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE