ネットワークトラフィックデータ間の相関に基づくインシデント検知の検討

摘要

Damage caused by malwares such as botnets is getting more serious, as the Internet is spreading. To detect such incidents soon and cope with them, anomaly detection is promising. However, most of the methods proposed to date are the type to detect rapid increase of traffic, and cannot find the incident in advance. In this paper, we study an anomaly detection method for multivariate time series. It can be used to capture anomaly in relation between behaviours of many hosts or many ports, which may appear prior to the rapid increase of traffic.%インターネットの普及に伴い，ボットなどのマルウェアによる被害が深刻になっている.こうしたセキュリティインシデントを早期に発見し対処につなげる方法として，異常検知技術がある.これまでに提案された方法は，主にトラフィックの急増をターゲットにしており，インシデント発生後にしか検知ができない.本稿では，トラフィック急増前の異変の検知を目指し.ネットワーク上の分散したホストなどの振る舞いを観測し，それらの相関の変化を捉える異常検知手法を検討する.