Computer Security Symposium October 2015 DDoS

Size: px

Start display at page:

Download "Computer Security Symposium October 2015 DDoS"

ひろきいせき
5 years ago
Views:

1 Computer Security Symposium October 2015 DDoS DDoS / / IP 17 80/TCP TCP DDoS t Development of Adaptive Event-Monitoring System for DDoS Attacks Nobuaki Furutani Jun Kitazono Seiichi Ozawa Tao Ban Junji Nakazato Jumpei Shimamura Abstract Guraduate School of Engineering Kobe University. 1-1, Rokkodai-cho, Nada, Kobe, Hyogo , JAPAN 146t255t@stu.kobe-u.ac.jp kitazono@eedept.kobe-u.ac.jp ozawasei@kobe-u.ac.jp National Institute of Information and Communications Technology , Nukui-Kitamachi, Koganei-shi, Tokyo , JAPAN bantao@nict.go.jp nakazato@nict.go.jp clwit Inc , Nishi-Gotannda, Shinagawa, Tokyo, JAPAN shimamura@clwit.co.jp In this work, we propose a learning type monitoring system that discriminate DDoS backscatter packets from those of other traffic observed by darknet monitoring (i.e., backscatter or nonbackscatter). Upon the packets that are sent by a host towards the monitored darknet during a short time-window, we define 17 descriptive features, which are then input to an SVM classifier for classification. In the experiments, we use TCP packets sent from except for port 80/TCP as discriminate DDoS backscatter and incremental learning. Its adaptability is further illustrated by visualization of the host activities during the time expanse using dimension reduction techniques

2 1 DDoS 2000 Yahoo Amazon DDoS 12 [1] IP DDoS IP DDoS IP DDoS IP [2] DDoS DDoS DDoS DDoS [3] DDoS [4, 5] IP TCP DDoS t (t-distributed stochastic neighbor embedding:t-sne[6])

3 2 2.1 [4, 5] DDoS DDoS DDoS DDoS (SVM)[7] t t DDoS 1 1 t h DDoS y >? 1 1: DDoS m m h TCP UDP

4 / IP SVM SVM SVM RBF(Radial Basis Function) SVM C γ [9] [10] (C, γ) 2 [11] SVM NICT [12] TCP 53 UDP 80 TCP SYN SYN

5 1: 1, 2 2, , , : IP [4, 5] 2 IP 2 IP TCP SYN-ACK t = 30 m = 20 h = n = 17 IP IP IP , F 3 L2-SVM LibSVM[13] C = 2 5, 2 3,, 2 15 γ = 2 7, 2 5,, fold 3.2 2(a) (b)

6 2: (a) F (s) (b) F ( ) (a) (b) 5 2(b) t-sne[6] (a) (b) (c) (a), 3(b) (a)

既存の分布から広がっていたりしていることが図 3(b) より確認できるよって表 2 の第 6 週目と第 8 週目で適合率の値が下がった理由については第 6 週目と第 8 週目で今までの分布には現れていなかったデータが観測されうまく判別が行えなかったためと考えられる第 7 週目の判別結果では追加学習の有無によって大きく差がついていないためこれらのデータが多

今までにない新しいクラスタを形成していたりバックスキャッタと非バックスキャッタの間に分布しているなど現在の学習だけでは正しく判別が行えない可能性のあるデータも存在していることが確認できるこれらのデータを正しく判別できるようになるためには追加学習を行うことによってデータの時間変化対応していくことが必要である t-sne を用いた可視化により日が経過する

7 既存の分布から広がっていたりしていることが図 3(b) より確認できるよって表 2 の第 6 週目と第 8 週目で適合率の値が下がった理由については第 6 週目と第 8 週目で今までの分布には現れていなかったデータが観測されうまく判別が行えなかったためと考えられる第 7 週目の判別結果では追加学習の有無によって大きく差がついていないためこれらのデータが多くは観測されなかったと考えられるが追加学習によって判別性能が向上していることが確認できる図 3(c) より解析の行えていない未知データの分布はラベルの付加できている既存の分布から少しずつ変化していることがわかる大部分は既存の分布とほぼ同じであり現在の学習でほぼ判別は行えると考えられるしかしながら 3(c) の差し込み図に示したように一部では今までにない新しいクラスタを形成していたりバックスキャッタと非バックスキャッタの間に分布しているなど現在の学習だけでは正しく判別が行えない可能性のあるデータも存在していることが確認できるこれらのデータを正しく判別できるようになるためには追加学習を行うことによってデータの時間変化対応していくことが必要である t-sne を用いた可視化により日が経過するごとにホストの活動パターンは変化していっておりその変化に対応するためには追加学習が必要であることが確認できた (a) 第 1 週のデータ分布 (b) 8 週間のデータ分布 (c) 6ヶ月間のデータ分布図 3: t-sne を用いたホストの活動の可視化徴ベクトルを生成するそして生成した特徴ベクトルを SVM に学習させてバックスキャッタか否かの判別を行うさらに新たな攻撃パ 5 まとめターンに対応するため評価を行ったデータを新たに訓練データに加え判別器の再学習を行本稿ではダークネットで観測されたパケッう追加学習を実装したトを用いて DDoS バックスキャッタの判別を行評価実験では NICT のダークネットで観測うシステムを提案した評価を行うデータにはされたパケットデータ [12] を用い 0.98 を超えポート番号やヘッダ内部の情報に基づいてバッる F 値が得られ追加学習を行うことでさらなクスキャッタか否かの判別が可能なデータ以外る判別性能の向上がみられたこの結果より提の TCP パケットを用いることで様々なポート案手法でダークネットパケットを用いて DDoS やプロトコルを用いて送信されたダークネット攻撃の判別を行うことができさらに追加学習パケットに提案手法が適用できる可能性を示しを行うことで今まで判別できなかったデータた提案手法ではダークネットで観測されたに対しても判別が行えるようになり新たな攻パケットデータをホストごとに分割し最初の撃パターンにも対応可能となっているといえるパケットから短時間のパケットを抽出して特 1400

8 t-sne[6] TCP UDP [1] P. A. R. Kumar, S. Selvakumar, Distributed Denial-of-Service (DDoS) Threat in Collaborative Environment - A Survey on DDoS Attack Tools and Traceback Mechanisms, Proc.of Advance Computing Conference, pp , [2] D. Moore, C. Shannon, G. Voelker, and S. Savage, Network Telescopes: Techical Report, Technical report, Department of Computer Science and Engineering, University of California, San Diego, [6] L Van der Maaten, G Hinton, Visualizing data using t-sne, Journal of Machine Learning Research, vol.9, pp , [7] V. N. Vapnik, Statistical learning theory, vol.1, New York, Wiley, [8] DoS, The 30th Symposium on Cryptography and Information Security, 2013 [9] C. W. Hsu, C. C. Chang, C. J. Lin, A practical guide to support vector classification, Technical report, Department of Computer Science, National Taiwan University, [10] R. Kohavi, A Study of Cross-Validation and Bootstrap for Accuracy Estimation and Model Selection, International Joint Conference on Artificial Intelligence, vol.14, No [11] R. Akbani, S. Kwek, and N. Japkowicz, Applying support vector machinesto imbalanced data sets, Lecture Notes in Computer Science, vol.3201, pp , [12] (MWS Datasets 2014), 2014 [13] C. C. Chang, C. J. Lin, LIBSVM : A library for support vector machines, ACM Transactions on Intelligent Systems and Technology, vol.2, [3] K. Nakao, D. Inoue, M. Eto, K. Yoshioka, Practical correlation analysis between scan and malware profiles against zero-day attacks based ondarknet monitoring, IEICE Trans. on Information and Systems, vol.e92-d, no.5, pp , [4] N. Furutani, T. Ban, J. Nakazato, J. Shimamura, J. Kitazono, and S. Ozawa, Detection of DDoS Backscatter Based on Traffic Features of Darknet TCP Packets, 2014 Ninth Asia Joint Conference on Information Security, pp , 2014 [5] DDoS, Information and Communication System Security, vol.114, no.340, pp ,

IPSJ SIG Technical Report Vol.2009-CSEC-46 No /7/2 nicter Conficker nicter Conficker nicter Network Observation and Analysis Re

IPSJ SIG Technical Report Vol.2009-CSEC-46 No /7/2 nicter Conficker nicter Conficker nicter Network Observation and Analysis Re nicter Conficker 1 1 2 1 nicter 28 11 Conficker nicter Network Observation and Analysis Report on nicter Continuous Observaion of Conficker and a Primary Example of Maco-Micro Correlation Analysis Junji