機械学習を用いた標的型攻撃における侵入拡大経路推定に関する研究

本研究では中規模程度の組織を対象とする標的型攻撃において、インターネットとの接続点に設置したIDSで大量の外向き通信が検知されるなどの情報窃取などの痕跡が発見された時点から組織内部の侵入被害を調査するための手法を提案するものである。本研究では通信の中身（ペイロード）を含まないヘッダ情報を使うことでデータ収集の負荷を軽減し、長期間のデータ収集を可能とする。そこで本研究ではNetFlowによる組織内通信データの収集と感染経路推定を行う。実験ネットワークは、組織内の複数の部署サブネットとサーバセグメントからなるイントラネットから構成され、各サブネットを接続するルータにおいてNetFlowにより通信データを収集してログ収集サーバへ転送するものである。令和2年度までに、部署サブネットやサーバセグメントを各々PC１台に仮想環境を構築して実現し、複数台のPCをルータに接続してイントラネット通信およびインターネット通信が可能な環境を構築した。当該ルータにおいてNetFlowデータを構築して送出し、ログ収集サーバにおいて受信する環境を構築した。しかしながら、令和3年度に行った研究室の引越に伴い、実験ネットワークの移設、再構築が必要となった。移設による機器の動作不良や設置環境の違いに対応するために再構築に予想以上に時間がかかり、予定していた実験が実施できなかった。一方、本研究課題の関連研究として、組織における脅威情報の自動抽出やIDSへの自動登録、機械学習を用いたマルウェア検知システムに関する研究を行い、研究成果の発表を行った。

本研究では中規模程度の組織を対象とする標的型攻撃において、インターネットとの接続点に設置したIDSで大量の外向き通信が検知されるなどの情報窃取などの痕跡が発見された時点から組織内部の侵入被害を調査するための手法を提案するものである。本研究では通信の中身（ペイロード）を含まないヘッダ情報を使うことでデータ収集の負荷を軽減し、長期間のデータ収集を可能とする。そこで本研究ではNetFlowによる組織内通信データの収集と感染経路推定を行う。実験ネットワークは、組織内の複数の部署サブネットとサーバセグメントからなるイントラネットから構成され、各サブネットを接続するルータにおいてNetFlowにより通信データを収集してログ収集サーバへ転送するものである。令和2年度までに、部署サブネットやサーバセグメントを各々PC１台に仮想環境を構築して実現し、複数台のPCをルータに接続してイントラネット通信およびインターネット通信が可能な環境を構築した。当該ルータにおいてNetFlowデータを構築して送出し、ログ収集サーバにおいて受信する環境を構築した。しかしながら、令和3年度に行った研究室の引越に伴い、実験ネットワークの移設、再構築が必要となった。移設による機器の動作不良や設置環境の違いに対応するために再構築に予想以上に時間がかかり、予定していた実験が実施できなかった。一方、本研究課題の関連研究として、組織における脅威情報の自動抽出やIDSへの自動登録、機械学習を用いたマルウェア検知システムに関する研究を行い、研究成果の発表を行った。