フローペイロードの類似性に基づく拡散型ワーム検出に関する一検討

摘要

近年，急速に拡散するワームによる被害が急増し社会問題となっている．このような拡散型ワームにおいて同種のワームのフローペイロードは類似する傾向があることが指摘されている．筆者らはこれまでに，フローペイロードを8ビットに分割したコードの出現頻度のヒストグラムを256次元のベクトルとして捉えることにより，フローの類似性が評価できることを示している．また，この評価を通じて，同種のワームのフロー間には顕著な類似性があることを確認した．しかし，単一のネットワークのみの観測ではメーリングリスト等による通信のフローが誤検出がされるという問題点も明らかとなった．この問題に対し、本稿では，誤検出される通信と拡散型ワームの違いは複数のネットワークに渡ってペイロードが類似したフローが存在するか否かであることに着目する．そこで，複数のネットワークに分散配置したIDSを用い，複数のネットワークにおけるフローペイロードの類似性に基づいたワームの検出手法について検討する．また，実ネットワークのトラヒックデータを用いた評価実験により提案手法の有効性を示す．