不正侵入検知におけるセキュリティアラートのシグネチャ別発生量に着目した誤検知削減手法

摘要

近年，企業や公的機関などのサイバーセキュリティは重要度を増しており，インシデント対応の迅速化が求められている．また，攻撃の巧妙化，脆弱性の発見，攻撃トレンドが絶えず変化することから，パターン定義による不正検知が難しくなり，教師データによる学習を必要としない教師なし異常検知型手法の重要性が増している．本研究では，不正侵入検知における誤検知を，機械的に削減する手法を提案する．提案手法では，アラートごとに，過去一定時間の当該アラートと同一の攻撃元IP アドレスのアラートを抽出する．抽出したアラートからシグネチャの発生量をパターンとして集計し，クラスタ分析手法により同様のパターンもつアラートを分類し，「攻撃」と「問題なし」を判定する．アラートに提案手法を適用した結果，再現率100%，適合率は14%，F 値は24%となった．