同時多発する未知イベントに対する情報集約による偽陽性アラート排除検知方法の性能評価

摘要

未知のウィルス·ワームの攻撃·感染の検知方法として、攻撃行動·感染行動に起因する変化点検出を利用する方法が有望視されている。 しかし、この方法においては、ハードウェア障害等に起因する変化点をも検出してしまうため、攻撃行動·感染行動のみを検出するような絞り込み方法が求められている。 このような方法として、ネットワーク全体で変化点が同時多発的に検出されるかどうかに着目する方法が考えられる。なぜなら、未知のウィルス·ワームの攻撃行動·感染行動は同時多発的に発生する傾向があるためである。 そこで本稿では、分散配置したIDSからの変化点検出情報を集約し、ネットワーク全体で統合的に同時多発イベントの発生を検出する階層型検出機構を提案する。 シミュレーションの結果、0.99の検出率を達成しようとする場合に、提案法はIDS単体での検出法よりも常に低い誤検出率を実現し、最大で約98％低減できることがわかった。