実行環境による挙動変化を用いたポット検出方式の提案

摘要

Because of bot's sophisticated techniques for hiding itself, it is difficult to distinguish the bot's malicious process from legitimate process. Hence it is quite essential for bot detection to find bot's inevitable behaviors. In this paper we focus on the fact that almost all bots have both behaviors of intrusion and attack to achieve their aim, and creatively use both behaviors depends on their execution environment. Thus, we propose a new bot detection scheme which is based on bot's behavior changing according to execution environment. At the first step of the research, this paper discusses to detect bots by checking if their behavior is different when they are residing inside or outside of the system directory on the OS.%ポットは巧妙な手段でPC内に潜伏するため正規プロセスとの切り分けが難しく，ポット検知のためにはポットの本質を捉えたどへイビアの発見が求められる．そこで本研究では，ポットの多くがシステムフォルダ内への侵入と指令に従った攻撃という二つの挙動を併せ持つという特徴に注目した．ポットは自分の実行環境に応じて自らの振る舞い（侵入と攻撃）を変える．本稿では特に，ポット自身が潜伏先フォルダ内に存在するか否かによってポットの侵入/攻撃の挙動が変化することを利用し，実行場所による挙動変化を特徴的などへイビアとしてポット検出を行う方式を提案する．