講演抄録/キーワード |
講演名 |
2011-03-01 15:25
多地点観測に基づくスキャン検知手法の提案 ○東島 慶・野林大起・中村 豊・池永全志(九工大)・阿部俊二・漆谷重雄・山田茂樹(NII) SITE2010-66 IA2010-102 |
抄録 |
(和) |
インターネットが社会基盤としての重要性が増すのに伴い,それらを狙った攻撃が出現し,安定した運用を脅かしている.インターネットの安定的な運用を実現するためには,このような攻撃を早期に発見することが重要である.攻撃者は攻撃を開始する前に事前調査としてスキャンを行うことが知られている.したがってスキャンを検出することで,攻撃を事前に察知し対策を行うことが可能となる. しかしながら,スロースキャンのような,帯域やパケット数を制限したスキャンは正常なトラヒックとの識別が難しい.そこで我々は,このようなスキャンを検出するために多地点において観測した結果を協調して解析する手法を提案する.本提案手法により,複数拠点に対してスキャンを実行しているホストの抽出を目指す.本提案手法を用いたトラヒックデータの解析により,10 分間のデータ
では約23 拠点,1 分間のデータでは約84 拠点と連携することで,複数拠点へのスキャンの90%が検出できることが明らかとなった. |
(英) |
The Internet is important infrastructure of the social foundation.
The attacks to the Internet which obstruct stable operation are appearing.
In order to achieve stable operation of the Internet, we should detect these attacks rapidly.
The attacker scans to the target host as a feasibility study before the actual attack.Therefore, we can work out countermeasure by detecting the scan from the attacker.
However, it is difficult for the manager to distinguish whether normal traffic or scan attack,
because slow scan is limited packet and bandwidth.
We propose the new method in cooperation with the result of multi-site measurement to detect these scans.
Our aim is to extracting the attacking hosts to the multi-site.
As the result of traffic analysis, we could detect the multi-site attacking hosts.
In the 10 minutes measurement data, our proposed algorithm showed that 23 sites need to cooperate.
In the 1 minute measurement data, we showed that 84 sites need to cooperate. |
キーワード |
(和) |
ポートスキャン / スキャン検知 / 多地点観測 / ネットワークセキュリティ / / / / |
(英) |
Portscan / Scan Dtection / Multi-Point Observation / Network Security / / / / |
文献情報 |
信学技報, vol. 110, no. 430, IA2010-102, pp. 225-230, 2011年2月. |
資料番号 |
IA2010-102 |
発行日 |
2011-02-21 (SITE, IA) |
ISSN |
Print edition: ISSN 0913-5685 Online edition: ISSN 2432-6380 |
著作権に ついて |
技術研究報告に掲載された論文の著作権は電子情報通信学会に帰属します.(許諾番号:10GA0019/12GB0052/13GB0056/17GB0034/18GB0034) |
PDFダウンロード |
SITE2010-66 IA2010-102 |