| 講演抄録／キーワード |
| 講演名 |
2005-09-16 09:00
DNSトラヒック観測に基づく大量メール送信型ワーム感染ホストの検出
○石橋圭介・豊野 剛・外山勝保（NTT） |
| 抄録 |
（和） |
本稿では，DNS トラヒックを観測することにより，大量メール送信型ワームに感染したホストを検出する
手法について報告する．DNS トラヒックは，制御系トラヒックであるために実トラヒックに比べてボリュームが小さ
いため，効率的にワーム等の検出ができると期待できる．しかしながら，DNS トラヒックでは検出に利用可能な情報
は限られているため，特定クエリをシグネチャとし，同クエリを送信しているホストを感染ホストとして検出するシ
グネチャベースの検出手法には限界がある．本稿では，シグネチャクエリ以外でシグネチャクエリ送信ホストから特
異的に送信されるクエリをベイジアンスパムフィルターの手法を応用して抽出し，同クエリを用いて，他の感染ホス
トを検出する手法を提案する． |
| （英） |
is often difficult to determine whether a DNS query is caused by malicious or normal activity, because
information available in DNS traffic is limited. We focus on the activities of mass-mailing worms and propose a
method to detect hosts infected by mass-mailing worms by mining DNS traffic data. Our method begins with a
small amount of a priori knowledge about a signature query. By assuming that queries sent by most hosts that
have sent the signature query of worms have been sent by worm behavior, we detect infected hosts using Bayesian
estimation. We apply our method to DNS traffic data and the experimental result indicates that an 89% reduction
of mail exchange queries can be achieved with the method. |
| キーワード |
（和） |
DNS / 大量メール送信型ワーム / ベイズ推定 / / / / / |
| （英） |
DNS / Mass-mailing worm / Bayesian estimation / / / / / |
| 文献情報 |
信学技報, vol. 105, no. 279, IN2005-69, pp. 49-54, 2005年9月. |
| 資料番号 |
IN2005-69 |
| 発行日 |
2005-09-08 (IN) |
| ISSN |
Print edition: ISSN 0913-5685 |
| PDFダウンロード |
|
| 研究会情報 |
| 研究会 |
CS IN NS |
| 開催期間 |
2005-09-15 - 2005-09-16 |
| 開催地（和） |
東北大学電気通信研究所 |
| 開催地（英） |
Tohoku Univ. |
| テーマ（和） |
アクティブネットワーク, IP-VPN, ネットワークセキュリティ, 超高速ネットワーク, P2P通信, ネットワークソフトウェア, 一般 |
| テーマ（英） |
Active Network, IP-VPN, Network Security, High Speed Network, P2P Communication, Network Software, and Others |
| 講演論文情報の詳細 |
| 申込み研究会 |
IN |
| 会議コード |
2005-09-CS-IN-NS |
| 本文の言語 |
日本語 |
| タイトル（和） |
DNSトラヒック観測に基づく大量メール送信型ワーム感染ホストの検出 |
| サブタイトル（和） |
|
| タイトル（英） |
Detecting Mass-mailing Worm with DNS Traffic Monitoring |
| サブタイトル（英） |
|
| キーワード(1)（和/英） |
DNS / DNS |
| キーワード(2)（和/英） |
大量メール送信型ワーム / Mass-mailing worm |
| キーワード(3)（和/英） |
ベイズ推定 / Bayesian estimation |
| キーワード(4)（和/英） |
/ |
| キーワード(5)（和/英） |
/ |
| キーワード(6)（和/英） |
/ |
| キーワード(7)（和/英） |
/ |
| キーワード(8)（和/英） |
/ |
| 第1著者 氏名（和/英/ヨミ） |
石橋 圭介 / Keisuke Ishibashi / イシバシ ケイスケ |
| 第1著者 所属（和/英） |
日本電信電話株式会社 (略称： NTT)
Nihon Telephone and Telegraph (略称： NTT) |
| 第2著者 氏名（和/英/ヨミ） |
豊野 剛 / Tsuyoshi Toyono / トヨノ ツヨシ |
| 第2著者 所属（和/英） |
日本電信電話株式会社 (略称： NTT)
Nihon Telephone and Telegraph (略称： NTT) |
| 第3著者 氏名（和/英/ヨミ） |
外山 勝保 / Katsuyasu Toyama / トヤマ カツヤス |
| 第3著者 所属（和/英） |
日本電信電話株式会社 (略称： NTT)
Nihon Telephone and Telegraph (略称： NTT) |
| 第4著者 氏名（和/英/ヨミ） |
/ / |
| 第4著者 所属（和/英） |
(略称： )
(略称： ) |
| 第5著者 氏名（和/英/ヨミ） |
/ / |
| 第5著者 所属（和/英） |
(略称： )
(略称： ) |
| 第6著者 氏名（和/英/ヨミ） |
/ / |
| 第6著者 所属（和/英） |
(略称： )
(略称： ) |
| 第7著者 氏名（和/英/ヨミ） |
/ / |
| 第7著者 所属（和/英） |
(略称： )
(略称： ) |
| 第8著者 氏名（和/英/ヨミ） |
/ / |
| 第8著者 所属（和/英） |
(略称： )
(略称： ) |
| 第9著者 氏名（和/英/ヨミ） |
/ / |
| 第9著者 所属（和/英） |
(略称： )
(略称： ) |
| 第10著者 氏名（和/英/ヨミ） |
/ / |
| 第10著者 所属（和/英） |
(略称： )
(略称： ) |
| 第11著者 氏名（和/英/ヨミ） |
/ / |
| 第11著者 所属（和/英） |
(略称： )
(略称： ) |
| 第12著者 氏名（和/英/ヨミ） |
/ / |
| 第12著者 所属（和/英） |
(略称： )
(略称： ) |
| 第13著者 氏名（和/英/ヨミ） |
/ / |
| 第13著者 所属（和/英） |
(略称： )
(略称： ) |
| 第14著者 氏名（和/英/ヨミ） |
/ / |
| 第14著者 所属（和/英） |
(略称： )
(略称： ) |
| 第15著者 氏名（和/英/ヨミ） |
/ / |
| 第15著者 所属（和/英） |
(略称： )
(略称： ) |
| 第16著者 氏名（和/英/ヨミ） |
/ / |
| 第16著者 所属（和/英） |
(略称： )
(略称： ) |
| 第17著者 氏名（和/英/ヨミ） |
/ / |
| 第17著者 所属（和/英） |
(略称： )
(略称： ) |
| 第18著者 氏名（和/英/ヨミ） |
/ / |
| 第18著者 所属（和/英） |
(略称： )
(略称： ) |
| 第19著者 氏名（和/英/ヨミ） |
/ / |
| 第19著者 所属（和/英） |
(略称： )
(略称： ) |
| 第20著者 氏名（和/英/ヨミ） |
/ / |
| 第20著者 所属（和/英） |
(略称： )
(略称： ) |
| 講演者 |
第1著者 |
| 発表日時 |
2005-09-16 09:00:00 |
| 発表時間 |
25分 |
| 申込先研究会 |
IN |
| 資料番号 |
IN2005-69 |
| 巻番号（vol） |
vol.105 |
| 号番号（no） |
no.279 |
| ページ範囲 |
pp.49-54 |
| ページ数 |
6 |
| 発行日 |
2005-09-08 (IN) |
|