仮想センサを用いたダークネット空間の拡張

摘要

Only anomalous traffic can be monitored in a network consisting of assigned but unused IP addresses (darknet). Although a darknet requires a large amount of IP addresses, it is difficult to acquire unused IP address space dedicated to network monitoring on a large scale. Some studies have proposed automatically detecting unused IP addresses (Virtual Dark IP addresses, VDIPs) and port numbers (Virtual Dark Ports, VDPs) as virtual sensors leveraged to monitor the network. Nevertheless, quantitative analyses on virtual sensor space have been incomplete. The purpose of this study is to expand virtual sensor space using features on the usage of IP addresses and port numbers. Also, this study aims to shorten the processing time to detect virtual sensors automatically. Our key findings from several evaluation experiments in an actual network with the /16 prefix are as follows: Setting appropriate parameters in the VDIP detection algorithm, the processing time can be reduced more than half without decreasing the number of VDIPs, the false detection of VDIPs can be moderated, and the changes in used IP addresses over time can be reflected into virtual sensor space; also, virtual sensor space consisting of VDPs can cover up to 99.98 percent of the network and expand the coverage of virtual sensor space consisting of VDIPs by up to 6.84 points.%組織に配布されているが未使用のIPアドレスで構成されるネットワーク（ダークネット）では，異常な通信のみを観測できる.ダークネットには大量のIPアドレスが必要であるが，観測専用の未使用IPアドレス空間を大規模に確保することは難しい.未使用のIPアドレスやポート番号を動的に検出して仮想センサとして観測に用いるVirtual Dark IPアドレス（VDIP）やVirtual Dark Port（VDP）が提案されているが，仮想センサ空間の定量的な分析は十分に行われていない.本研究の目的は，IPアドレスとポート番号の使用状況における特徴を利用して仮想センサ空間を拡張することである.同時に，その空間の検出にかかる時間を短縮する.本研究では，／16のプレフィックスを持つネットワークを対象とした実験から以下のことを示す.VDIP検出アルゴリズムのパラメータを適切に設定することで，VDIP数をほとんど減らずに処理時間を半分以下にでき，VDIPの誤検出を十分に少なくでき，時間帯による使用IPアドレス変化を仮想センサ空間に反映できる.また，VDPによる仮想センサ空間は，このネットワーク空間の最大99.98％をカバーでき，VDIPによる仮想センサ空間を最大6.84ポイント拡張できる.