IPヘッダのTTLによる悪意のある通信の識別

摘要

パケットが宛先ホストに到達するまでに通過するルータの数は高々30であると言われている.ところが現実に稼働しているネットワークで実測してみると，IPヘッダのTime To Live（TTL）フィールドが各々のOSで定められているTTLの初期値から30以上減少しているパケットが観測される.このような一般的でないTTLの値を持つパケットは，特殊なソフトウェアで生成されたと考えられる.本研究ではTTLが大きく減少しているパケットを悪意のあるパケットであると考えた.本論文は，この仮説を複数の実験により実証する.結論としてはTTLの値のみを用いて悪意のあるパケットの識別が可能であることが分かる.%It is known that an IP packet passes through less than 30 routers before it reaches the destination host. According to our observation, some IP packets have an abnormal Time-To-Live (TTL) value that is decreased more than 30 from the initial TTL. These packets are likely to be generated by special software. We assume that IP packets with a strange TTL value are malicious. This paper investigates this conjecture through several experiments. As a result, we show that it is possible to discriminate malicious packets from legitimate ones only by observingrnTTL values.