通信プロトコルのヘッダの特徴に基づくパケット検知ツールtkiwaの実装とNICTERへの導入

摘要

独自のネットワークスタックが実装されたソフトウェアが生成するパケットは，ヘッダに固有の特徴を持つことがある．そこで，我々はヘッダに含まれる値を組み合わせたシグネチャを作成し，特徴的なパケットを検知する手法を提案した．本稿では，本提案手法を実装したパケット検知ツールtkiwaについて説明し，現在登録しているtkiwaのシグネチャとその生成方法について述べる．また，tkiwaを情報通信研究機構が研究開発を進めるインシデント分析センタMCTERへ導入し，ダークネット観測からネットワークスキャン等に利用されるソフトウェアやマルウェアをリアルタイムに検知するシステムを構築した．