χ二乗手法を使った不正アクセスIPパケットの特徴抽出

摘要

To defend DoS (Denial of Service) Attacks, the access filtering mechanism is adopted on the end servers or the IDS (Intrusion Detection System). The difficulty to define the filtering rules lies where normal and anomaly packets have to be distinguished in incoming packets. The purpose of our research is to explore the early detective method for anomaly accesses based on statistic analysis. In this paper, we define the chi-square analysis, and then analyze the amount of incoming packets focusing on the source IP address. As the results, we were able to extract the following features for the chi-square analysis. Firstly, the number of packets was more suitable scale of the window in chi-square method than the time scale. Secondly, we extracted 500 packets as the window size and 2 bins enabled to detect the DoS attacks within 10 minutes for DNS packets. Finally, we verified the DoS attacks from the same source IP address was detected using the chi-square method.%DoS（Denial of Service）攻撃からサーバを防御するためには，サーバまたはIDSにおいてアクセスフィルタリング策を講じる必要がある．しかし，一般には到達パケットが攻撃パケットかそうでないかを区別するためのフィルタリングを行うことは困難である．そこで本研究では，不正アクセスが行われているか否かを早期に検出するための仕組みについて．統計的な手法を用いた検討を行っている．特に本稿では，ソースIPアドレスを元にχ二乗を定義し，本校に到達する全パケットについて解析を行った．その結果，χ二乗手法を用いた場合は，1）カイニ乗値の計算対象となるウインドウにおいて，時間を基準とするより/ミケット数を基準とした方が攻撃の検出には適しており，2）DNSサーバに対する攻撃については．ウインドウサイズを500パケット，ビン数を2とすることにより10分以内でDoS攻撃を発見することが可能となる，という2点が明らかとなった．