Upgrade to Pro — share decks privately, control downloads, hide ads and more …

トラフィック特徴量の相関特性を用いた異常検出

 トラフィック特徴量の相関特性を用いた異常検出

MATSUMOTO Ryosuke

January 22, 2014
Tweet

More Decks by MATSUMOTO Ryosuke

Other Decks in Technology

Transcript

  1. 7/16 トラフィック特徴量抽出(例) 時間 時間 時間 時間 送信元 送信元 送信元 送信元IP.送信元

    送信元 送信元 送信元ポート ポート ポート ポート > 送信先 送信先 送信先 送信先IP.送信先 送信先 送信先 送信先ポート ポート ポート ポート: (パケットサイズ パケットサイズ パケットサイズ パケットサイズ) 00:37:07 IP 172.16.114.50.http > 206.48.44.50.2222: . ack 5841 win 32120 00:37:17 IP 172.16.114.50.http > 206.48.44.90.2313: . ack 2921 win 32120 00:37:25 IP 206.48.44.40.2222 > 172.16.114.30.http: . (256) ack 8192 win 31744 00:37:25 IP 206.48.44.50.2222 > 172.16.114.40.http: . (1320) ack 8192 win 31744 00:37:38 IP 206.48.44.60.2222 > 172.16.114.70.http: . (156) ack 8192 win 31744 00:37:49 IP 206.48.44.90.2313 > 172.16.114.50.http: . (1460) ack 8192 win 31744 00:37:58 IP 206.48.44.90.2313 > 172.16.114.50.http: . (1460) ack 8192 win 31744 [総パケット数] = 7 7 4 5 [ = 数] [パケット数] 種類 ⇒ 特徴量(A) ⇒ 特徴量(B) [例] 特徴量(A):HTTP 特徴量(B):(送信先IP、送信先ポート、パケットサイズ) 単位時間:1分 ⇒ 相関係数時系列データ DoS攻撃 ⇒ 特徴量(A)より特徴量(B)が急激に変化
  2. 9/16 ChangeFinder[1]の流れ T区間 区間 区間 区間 外れ値スコア t x 変化点スコア

    平滑化後 第二学習 第一学習 時系列データ SDAR SDAR 平滑化
  3. 11/16 実験 ・DARPA(国防高等研究企画局)によって作成された不正・ 異常検出評価用データ -仮想的な大規模ネットワークのトラフィック情報のログ - week4・week5の2週間分の検証用データ ・本発表・・・DoS攻撃を対象 - 特徴量(A):

    (A1)HTTPのパケット数 - 特徴量(B): (B1)(送信先IP、送信先Port、パケットサイズ)による値 (B2)(送信元IP、送信先IP)による値 (B3)(送信元IP、パケットサイズ)による値 (B4)(送信元IP、送信先Port)による値 [手法1] A1 [手法2] B1 [手法3] A1B1 [手法4] A1B1 or A1B2 or A1B3 or A1B4 ・手法別の比較実験(week5-Wednesdayのデータ)
  4. 12/16 評価方法(変化点スコア) week5_Mon_80_DoS CF_MAX_SCORE -1.5 -1 -0.5 0 0.5 1

    1.5 2 2.5 3 1 101 201 301 401 501 601 701 time[t] CF_MAX_SCORE CF_MAX_SCORE 閾値に対する検出率と誤検出率の関係 ⇒ ROCカーブ 正常の数 数 正常を異常と検出した 誤検出率 , 異常の数 数 異常を異常と検出した 検出率 = =
  5. 13/16 実験結果(手法別の評価) 0 0.1 0.2 0.3 0.4 0.5 0.6 0.7

    0.8 0.9 1 0 0.2 0.4 0.6 0.8 1 A1 B1 A1-B1_correl A1-B1,B2,B3,B4_correl 0 0.2 0.4 0.6 0.8 1 false positive rate 1 0.8 0.6 0.4 0.2 0 hit rate 単一の特徴量 特徴量の相関
  6. 14/16 実験結果(曜日別) 0 0.1 0.2 0.3 0.4 0.5 0.6 0.7

    0.8 0.9 1 0 0.2 0.4 0.6 0.8 1 false positive rate hit rate week4-Mon week4-Thu week5-Mon week5-Tue week5-Wen week5-Fri 0 0.2 0.4 0.6 0.8 1 false positive rate 1 0.8 0.6 0.4 0.2 0 hit rate