| 電子情報通信学会 研究会発表申込システム 講演論文 詳細 |
技報閲覧サービス [ログイン] 技報アーカイブ |
| トップに戻る | 前のページに戻る | [Japanese] / [English] |
| 講演抄録／キーワード | ||
| 講演名 | 2017-03-13 15:15 HTTP通信を特徴とした機械学習に基づくマルウェア感染端末検知法と悪性良性混在データを用いた長期経時劣化評価 ○熊谷充敏・岡野 靖・神谷和憲・谷川真樹（NTT）  ICSS2016-51 |
|
| 抄録 | （和） | 近年，マルウェア感染を未然に防ぐことは困難となっており，事後対策の重要性が増している．感染後の通信を検知するために，マルウェアの通信の特徴をリスト化し，検知対象の通信ログと突合することで感染端末を検知する手法が広く用いられている．しかし，これらの手法は未知の通信パターンに対する検知可能性が低いという問題があった．本稿では，機械学習技術をログ分析に用いることで，この問題を解決する新たな感染端末検知手法を提案する．提案法では，HTTP レベルの通信ログから特徴を抽出し，ロジスティック回帰による分析を行うことでマルウェア感染端末を検知する．特に，特徴選択法の一種であるスパース正則化学習法と，ヒューリスティックな特徴の集約処理を併用することで，分類に用いる特徴の数を大幅に削減しながら検知精度を向上させる．また，実運用および実環境に適した新たな評価法も提案する．具体的には，実際の感染端末にはマルウェアの通信だけでなく正規ユーザの通信も混在することに着目し，両通信を混在させたテストデータを作成し手法の評価を行う．加えて，実運用では，進化し続けるマルウェアを精度よく検知できることが重要であるため，検知精度の時間的安定性も評価する．このような状況において，提案法は既存法に比べ，長期にわたり精度よくマルウェア感染端末を検知可能であることを示す． |
| （英） | The importance of post-infection countermeasures has greatly increased. Such countermeasures include generating blacklist based on communications made by malware. However, it is difficult for such methods to detect new type of communications made by sophisticated malware. In this paper, we propose a novel method for detecting malware-infected hosts by analyzing their communications based on machine learning. With the proposed method, logistic regression is used as classifiers, and features are extracted from HTTP traffic. The proposed method can eliminate the number of features while maintaining the detection performance by incorporating both sparse learning and feature summarization heuristics. In addition, we propose a novel evaluation procedure considering practical operation. Considering that actual malware-infected hosts generate not only malicious communications which are caused by malware but also normal communications which are caused by legitimate users, we mix malicious communications and normal communications for creating malicious testing data. Furthermore, we evaluate the long-time detection performance since it is important to detect malware-infected hosts correctly over a long period of time. The effectiveness of the proposed method is demonstrated with experiments using HTTP traffic data. | |
| キーワード | （和） | 機械学習 / マルウェア / 感染端末 / 経時劣化評価 / 混在データ / / / |
| （英） | machine learning / malware / malware-infected host / long-time evaluation for detection performance / mixed data / / / | |
| 文献情報 | 信学技報, vol. 116, no. 522, ICSS2016-51, pp. 43-48, 2017年3月. | |
| 資料番号 | ICSS2016-51 | |
| 発行日 | 2017-03-06 (ICSS) | |
| ISSN | Print edition: ISSN 0913-5685 Online edition: ISSN 2432-6380 | |
| 著作権に ついて |
技術研究報告に掲載された論文の著作権は電子情報通信学会に帰属します．(許諾番号：10GA0019/12GB0052/13GB0056/17GB0034/18GB0034) | |
| PDFダウンロード | ICSS2016-51 |
|
| 研究会情報 | |
| 研究会 | ICSS IPSJ-SPT |
| 開催期間 | 2017-03-13 - 2017-03-14 |
| 開催地（和） | 長崎県立大学シーボルト校 |
| 開催地（英） | University of Nagasaki |
| テーマ（和） | 情報通信システムセキュリティ，一般 |
| テーマ（英） | System Security, etc. |
| 講演論文情報の詳細 | |
| 申込み研究会 | ICSS |
| 会議コード | 2017-03-ICSS-SPT |
| 本文の言語 | 日本語 |
| タイトル（和） | HTTP通信を特徴とした機械学習に基づくマルウェア感染端末検知法と悪性良性混在データを用いた長期経時劣化評価 |
| サブタイトル（和） | |
| タイトル（英） | Supervised Classification for Detecting Malware Infected Host in HTTP Traffic and Long-time Evaluation for Detection Performance using Mixed Data |
| サブタイトル（英） | |
| キーワード(1)（和/英） | 機械学習 / machine learning |
| キーワード(2)（和/英） | マルウェア / malware |
| キーワード(3)（和/英） | 感染端末 / malware-infected host |
| キーワード(4)（和/英） | 経時劣化評価 / long-time evaluation for detection performance |
| キーワード(5)（和/英） | 混在データ / mixed data |
| キーワード(6)（和/英） | / |
| キーワード(7)（和/英） | / |
| キーワード(8)（和/英） | / |
| 第1著者 氏名（和/英/ヨミ） | 熊谷 充敏 / Atsutoshi Kumagai / クマガイ アツトシ |
| 第1著者 所属（和/英） | 日本電信電話株式会社 (略称： NTT) NTT Corporation (略称： NTT) |
| 第2著者 氏名（和/英/ヨミ） | 岡野 靖 / Yasushi Okano / オカノ ヤスシ |
| 第2著者 所属（和/英） | 日本電信電話株式会社 (略称： NTT) NTT Corporation (略称： NTT) |
| 第3著者 氏名（和/英/ヨミ） | 神谷 和憲 / Kazunori Kamiya / カミヤ カズノリ |
| 第3著者 所属（和/英） | 日本電信電話株式会社 (略称： NTT) NTT Corporation (略称： NTT) |
| 第4著者 氏名（和/英/ヨミ） | 谷川 真樹 / Masaki Tanikawa / タニカワ マサキ |
| 第4著者 所属（和/英） | 日本電信電話株式会社 (略称： NTT) NTT Corporation (略称： NTT) |
| 第5著者 氏名（和/英/ヨミ） | / / |
| 第5著者 所属（和/英） | (略称： ) (略称： ) |
| 第6著者 氏名（和/英/ヨミ） | / / |
| 第6著者 所属（和/英） | (略称： ) (略称： ) |
| 第7著者 氏名（和/英/ヨミ） | / / |
| 第7著者 所属（和/英） | (略称： ) (略称： ) |
| 第8著者 氏名（和/英/ヨミ） | / / |
| 第8著者 所属（和/英） | (略称： ) (略称： ) |
| 第9著者 氏名（和/英/ヨミ） | / / |
| 第9著者 所属（和/英） | (略称： ) (略称： ) |
| 第10著者 氏名（和/英/ヨミ） | / / |
| 第10著者 所属（和/英） | (略称： ) (略称： ) |
| 第11著者 氏名（和/英/ヨミ） | / / |
| 第11著者 所属（和/英） | (略称： ) (略称： ) |
| 第12著者 氏名（和/英/ヨミ） | / / |
| 第12著者 所属（和/英） | (略称： ) (略称： ) |
| 第13著者 氏名（和/英/ヨミ） | / / |
| 第13著者 所属（和/英） | (略称： ) (略称： ) |
| 第14著者 氏名（和/英/ヨミ） | / / |
| 第14著者 所属（和/英） | (略称： ) (略称： ) |
| 第15著者 氏名（和/英/ヨミ） | / / |
| 第15著者 所属（和/英） | (略称： ) (略称： ) |
| 第16著者 氏名（和/英/ヨミ） | / / |
| 第16著者 所属（和/英） | (略称： ) (略称： ) |
| 第17著者 氏名（和/英/ヨミ） | / / |
| 第17著者 所属（和/英） | (略称： ) (略称： ) |
| 第18著者 氏名（和/英/ヨミ） | / / |
| 第18著者 所属（和/英） | (略称： ) (略称： ) |
| 講演者 | 第1著者 |
| 発表日時 | 2017-03-13 15:15:00 |
| 発表時間 | 25分 |
| 申込先研究会 | ICSS |
| 資料番号 | ICSS2016-51 |
| 巻番号（vol） | vol.116 |
| 号番号（no） | no.522 |
| ページ範囲 | pp.43-48 |
| ページ数 | 6 |
| 発行日 | 2017-03-06 (ICSS) |
[研究会発表申込システムのトップページに戻る]