DNSキャッシュサーバログのグラフ分析による感染端末検知の検討

摘要

サイバー攻撃は日々巧妙化しており，ウイルス対策ソフトでは検知できないマルウェアへの感染が問題となっている.感染端末を検知するためには，マルウェアの通信の痕跡であるネットワークログの分析が有効だが，一般的に実施されているブラックリストとのマッチングでは，攻撃者が通信先を変化させた場合に検知できない.そこで，本研究では，感染端末の成す悪性通信が，端末IPアドレスと通信先FQDNの2部グラフ上で，特異な役割を持つことを仮定し，グラフ特徴量の分析によって感染端末をアノマリ検知する技術を検討する.マルウェアの通信データから擬似的に生成したログおよび実網のDNSキャッシュサーバのログを使用した評価の結果，検討したグラフ特徴量を用いることで感染の可能性のある端末を抽出できることを確認した.