時系列分割トラフィックデータのクラスタ遷移確率に基づくマルウェア感染検知

摘要

近年のサイバー攻撃では，既存のアンチウイルスソフトウェアや侵入検知システムでの検知を回避するために新種のマルウェアを次々と使用しており，マルウェアの感染を未然に防ぐことが困難となった．そこで新たな対策としてマルウェア感染検知が重要となっている．従来のマルウェア感染検知では，学習データとしてマルウェアの感染データが用いられてきた[1]．しかし，日々進化する多種多様なマルウェアを網羅的に入手することは困難である．また例え入手し学習できたとしても次々と登場する検知回避を試みるマルウェアに対応することも難しい．したがって，正常データのみの学習によってマルウェア感染を判定できれば，学習データとして感染トラフィックは不必要である．そこで本研究では，時系列分割した正常トラフィックのクラスタ遷移確率に基づいて，単一ホストのマルウェア感染検知を行う．正常データと異なるクラスタ遷移の場合，高いスコアをつけることで，マルウェア感染検知を行う．