特開 2024-21246 フィンガープリント特定システム及びフィンガープリント特定方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024021246

(43)【公開日】2024-02-16

(54)【発明の名称】フィンガープリント特定システム及びフィンガープリント特定方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20240208BHJP

   H04L 69/16 20220101ALI20240208BHJP

   H04L 43/08 20220101ALI20240208BHJP

【ＦＩ】

G06F21/55

H04L69/16

H04L43/08

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2022123955

(22)【出願日】2022-08-03

【国等の委託研究の成果に係る記載事項】（出願人による申告）令和４年度、総務省、「電波資源拡大のための研究開発（ＪＰＪ０００２５４）」における委託研究「電波の有効利用のためのＩｏＴマルウェア無害化／無機能化技術等に関する研究開発」、産業技術力強化法第１７条の適用を受ける特許出願

(71)【出願人】

【識別番号】301022471

【氏名又は名称】国立研究開発法人情報通信研究機構

(74)【代理人】

【識別番号】100120868

【弁理士】

【氏名又は名称】安彦 元

(72)【発明者】

【氏名】田中 智

(72)【発明者】

【氏名】韓 燦洙

(72)【発明者】

【氏名】高橋 健志

(72)【発明者】

【氏名】井上 大介

(57)【要約】

【課題】様々な式で表現されたフィンガープリントを自動で特定することが可能なフィンガープリント特定システム及びフィンガープリント特定方法を提供する。
【解決手段】フィンガープリント特定システムは、通信に用いるパケットに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定システムにおいて、パケットの特徴量を生成するＴＣＰ写像を生成する生成手段と、前記生成手段により生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した前記有効サインに基づいて、前記フィンガープリントを特定する特定手段とを備え、前記特定手段は、前記パケットを送信するホストと、前記有効サインとに基づいて、前記フィンガープリントを特定することを特徴とする。
【選択図】図１

【特許請求の範囲】

【請求項1】

通信に用いるパケットに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定システムにおいて、
パケットの特徴量を生成するＴＣＰ写像を生成する生成手段と、
前記生成手段により生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した前記有効サインに基づいて、前記フィンガープリントを特定する特定手段とを備え、
前記特定手段は、前記パケットを送信するホストと、前記有効サインとに基づいて、前記フィンガープリントを特定すること
を特徴とするフィンガープリント特定システム。

【請求項2】

通信に用いるパケットに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定システムにおいて、
パケットの特徴量を生成するＴＣＰ写像を生成する生成手段と、
前記生成手段により生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した前記有効サインに基づいて、前記フィンガープリントを特定する特定手段と、
前記パケットの数と、前記パケットを送信するための宛先ポートのうち前記パケットの数が多い順から、予め設定された設定値の数の宛先ポートであるトップポートにより送信される前記パケットの数とに基づいて、前記特定手段により特定されたフィンガープリントを分類する分類手段とを備えること
を特徴とするフィンガープリント特定システム。

【請求項3】

通信に用いるパケットに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定システムにおいて、
パケットの特徴量を生成するＴＣＰ写像を生成する生成手段と、
前記生成手段により生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した前記有効サインに基づいて、前記フィンガープリントを特定する特定手段と、
前記パケットを送信するホストの数と、前記パケットを送信するための宛先ポートの数毎のホストの数とに基づいて、前記特定手段により特定されたフィンガープリントを分類する分類手段とを備えること
を特徴とするフィンガープリント特定システム。

【請求項4】

通信に用いるパケットＰに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定システムにおいて、
パケットｐの特徴量を生成するＴＣＰ写像ｆを生成する生成手段と、
前記生成手段により生成されたＴＣＰ写像ｆの任意の特徴量ｂに対して（１）式で示される出現率ｒ（ｂ）を算出し、算出した出現率ｒ（ｂ）に基づいて（２）式を満たす整数ｋの最大値を算出し、算出したｋの最大値に基づき、ＴＣＰ写像ｆと特徴量ｂとの組み合わせを示す有効サインを算出し、算出した有効サインに基づいて、前記フィンガープリントを特定する特定手段とを備えること
を特徴とするフィンガープリント特定システム。

【数1】

ここで、♯は集合の数を示す。また、Ｉは、前記パケットを送信するホストｉの集合を示す。Ｐ_ｉは、ホストｉが送信するパケットの集合を示す。

【数2】

ここで、Ｂ＝(ｂ_１、ｂ_２、…)は、ｆ（Ｐ）をｒ（ｂ）の降順に並べたものを示し、Ｂ_≧ｋ＝(ｂ_ｋ、ｂ_ｋ+１、…)である。σ^２（Ｂ_≧ｋ）は 、Ｂ_≧ｋの母分散を示し、αは正の実数を示し、βは自然数を示す。

【請求項5】

通信に用いるパケットに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定方法において、
パケットの特徴量を生成するＴＣＰ写像を生成する生成ステップと、
前記生成ステップにより生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した前記有効サインに基づいて、前記フィンガープリントを特定する特定ステップとをコンピュータに実行させ、
前記特定ステップは、前記パケットを送信するホストと、前記有効サインとに基づいて、前記フィンガープリントを特定すること
を特徴とするフィンガープリント特定方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、パケットのフィンガープリントの自動特定を行うフィンガープリント特定システム及びフィンガープリント特定方法に関する。

【背景技術】

【0002】

ＳＯＣ（Security Operation Center）の業務の効率化のため、受信したスキャンパケットが攻撃又は調査を目的としたものであるか否かを特定することが求められている。従来の手法では、異常な通信を検知するために、単一ホストもしくは単一サブネットからのパケット数や宛先ポート数に着目することで、ホストからの通信が攻撃又は調査を目的としたものであるか否かを特定することが行われていた。しかしながら、従来の手法では、ホストが分散スキャンを行うことで検知から逃れることが可能であった。

【0003】

一方、スキャンパケットには他の通信と区別するためにパケットの特徴を示すフィンガープリントがみられる場合がある。このため、例えば非特許文献１に開示されるようなフィンガープリントを用いた通信の特定のための技術が注目されている。

【0004】

非特許文献１では、パケットフィールド上にフィンガープリントを埋め込むスキャン活動が存在し、一種類の式で表現されたフィンガープリントを特定する技術が開示されている。

【先行技術文献】

【非特許文献】

【0005】

【非特許文献1】Griffioen, Harm, and Christian Doerr. "Discovering Collaboration: Unveiling Slow, Distributed Scanners Common Header Field Patterns." NOMS 2020-2020 IEEE/IFIP Network Operations and Management Symposium. IEEE, 2020

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、非特許文献１に開示されている技術では、特定の式で表現されるフィンガープリントのみを特定するため、複数種類の式で表現されたフィンガープリントを特定することができないという問題点があった。

【0007】

本発明は、上述した問題点を解決するために導出されたものであり、様々な式で表現されたフィンガープリントを自動で特定することが可能なフィンガープリント特定システム及びフィンガープリント特定方法を提供することを目的とする。

【課題を解決するための手段】

【0008】

第１発明に係るフィンガープリント特定システムは、通信に用いるパケットに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定システムにおいて、パケットの特徴量を生成するＴＣＰ写像を生成する生成手段と、前記生成手段により生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した前記有効サインに基づいて、前記フィンガープリントを特定する特定手段とを備え、前記特定手段は、前記パケットを送信するホストと、前記有効サインとに基づいて、前記フィンガープリントを特定することを特徴とする。

【0009】

第２発明に係るフィンガープリント特定システムは、通信に用いるパケットに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定システムにおいて、パケットの特徴量を生成するＴＣＰ写像を生成する生成手段と、前記生成手段により生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した前記有効サインに基づいて、前記フィンガープリントを特定する特定手段と、前記パケットの数と、前記パケットを送信するための宛先ポートのうち前記パケットの数が多い順から、予め設定された設定値の数の宛先ポートであるトップポートにより送信される前記パケットの数とに基づいて、前記特定手段により特定されたフィンガープリントを分類する分類手段とを備えることを特徴とする。

【0010】

第３発明に係るフィンガープリント特定システムは、通信に用いるパケットに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定システムにおいて、パケットの特徴量を生成するＴＣＰ写像を生成する生成手段と、前記生成手段により生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した前記有効サインに基づいて、前記フィンガープリントを特定する特定手段と、前記パケットを送信するホストの数と、前記パケットを送信するための宛先ポートの数毎のホストの数とに基づいて、前記特定手段により特定されたフィンガープリントを分類する分類手段とを備えることを特徴とする。

【0011】

第４発明に係るフィンガープリント特定システムは、通信に用いるパケットＰに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定システムにおいて、パケットｐの特徴量を生成するＴＣＰ写像ｆを生成する生成手段と、前記生成手段により生成されたＴＣＰ写像ｆの任意の特徴量ｂに対して（１）式で示される出現率ｒ（ｂ）を算出し、算出した出現率ｒ（ｂ）に基づいて（２）式を満たす整数ｋの最大値を算出し、算出したｋの最大値に基づき、ＴＣＰ写像ｆと特徴量ｂとの組み合わせを示す有効サインを算出し、算出した有効サインに基づいて、前記フィンガープリントを特定する特定手段とを備えることを特徴とする。

【0012】

【数1】

ここで、♯は集合の数を示す。また、Ｉは、前記パケットを送信するホストｉの集合を示す。Ｐ_ｉは、ホストｉが送信するパケットの集合を示す。

【0013】

【数2】

ここで、Ｂ＝(ｂ_１、ｂ_２、…)は、ｆ（Ｐ）をｒ（ｂ）の降順に並べたものを示し、Ｂ_≧ｋ＝(ｂ_ｋ、ｂ_ｋ+１、…)である。σ^２（Ｂ_≧ｋ）は 、Ｂ_≧ｋの母分散を示し、αは正の実数を示し、βは自然数を示す。

【0014】

第５発明に係るフィンガープリント特定方法は、通信に用いるパケットに含まれる特徴を示すフィンガープリントを特定するフィンガープリント特定方法において、パケットの特徴量を生成するＴＣＰ写像を生成する生成ステップと、前記生成ステップにより生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した前記有効サインに基づいて、前記フィンガープリントを特定する特定ステップとをコンピュータに実行させ、前記特定ステップは、前記パケットを送信するホストと、前記有効サインとに基づいて、前記フィンガープリントを特定することを特徴とする。

【発明の効果】

【0015】

第１発明～第５発明によれば、特定手段は、ＴＣＰ写像の特徴量が基準値となる有効サインを抽出し、抽出した有効サインに基づいて、フィンガープリントを特定する。これにより、ＴＣＰ写像の特徴量が予め設定された基準値となる共通の特徴を有する複数の有効サインからフィンガープリントを特定することが可能となる。このため、ボットネット等の送信元から送信されるパケットの特有の特徴を示す様々な式で表現されたフィンガープリントを自動で特定することが可能となる。

【0016】

特に、第１発明によれば、特定手段は、パケットを送信するホストと、有効サインとに基づいて、フィンガープリントを特定することを特徴とする。これにより、これにより、有効サインの中から出現率が高く、より共通している有効サインを抽出することが可能となるため、様々な式で表現されたフィンガープリントを自動でより高精度に特定することが可能となる。

【0017】

特に、第２発明によれば、パケットの数と、トップポートにより送信されるパケットの数とに基づいて、特定手段により特定されたフィンガープリントを分類する。これにより、例えばパケットの数と、トップポートにより送信されるパケットの数との割合に応じて、フィンガープリントが攻撃目的かどうかを判定することが可能となる。

【0018】

特に、第３発明によれば、分類手段は、パケットを送信するホストの数と、パケットを送信するための宛先ポートの数毎のホストの数とに基づいて、フィンガープリントを分類する。これにより、パケットを送信するホストの数と、パケットを送信するための宛先ポートの数が閾値以下となるホストの数と割合に応じて、フィンガープリントが攻撃目的かどうかを判定することが可能となる。

【0019】

特に、第４発明によれば、特定手段は、（２）式を満たす整数ｋの最大値を算出し、算出したｋの最大値に基づき、有効サインを抽出する。これにより、ＴＣＰ写像ｆと特徴量（ｂ_１、ｂ_２、・・・ｂ_ｋｍａｘ）との組み合わせの有効サインを抽出することにより、より頻出する複数の有効サインからフィンガープリントを特定することが可能となる。このため、ボットネット等の送信元から送信されるパケットの特有の特徴を示す様々な式で表現されたフィンガープリントを自動で特定することが可能となる。

【0020】

特に、第５発明によれば、特定ステップは、ＴＣＰ写像の特徴量が基準値となる有効サインを抽出し、抽出した有効サインに基づいて、フィンガープリントを特定する。これにより、ＴＣＰ写像の値が予め設定された基準値となる共通の特徴を有する複数の有効サインからフィンガープリントを特定することが可能となる。このため、ボットネット等の送信元から送信されるパケットの特有の特徴を示す様々な式で表現されたフィンガープリントを自動で特定することが可能となる。

【図面の簡単な説明】

【0021】

【図1】図１は、フィンガープリント特定システムの構成の一例を示す模式図である。

【図2】図２（ａ）は、本実施形態におけるフィンガープリント特定装置の構成の一例を示す模式図であり、図２（ｂ）は、本実施形態におけるフィンガープリント特定装置の機能の一例を示す模式図である。

【図3】図３は、本実施形態におけるフィンガープリント特定システムの動作のフローチャートの一例を示す図である。

【図4】図４は、トップポートがパケットに占める割合をフィンガープリント毎に１つの棒グラフで示したグラフである。

【図5】図５は、ホストが使用する宛先ポート数の割合をフィンガープリント毎に一つの棒グラフで示すグラフである。

【発明を実施するための形態】

【0022】

以下、本発明を適用した実施形態におけるフィンガープリント特定システムの一例について、図面を用いて説明する。

【0023】

図１は、フィンガープリント特定システム１００の構成の一例を示す模式図である。フィンガープリント特定システム１００は、例えば図１に示すように、フィンガープリント特定装置１と、ホスト２とが通信網４を介して接続される。

【0024】

また、フィンガープリント特定システム１００は、通信網４を介して、フィンガープリント特定装置１と複数のホスト２（２ａ、２ｂ、２ｃ）とが接続されてもよい。

【0025】

通信網４は、例えばフィンガープリント特定装置１が通信回路を介して接続されるインターネット網等である。通信網４は、いわゆる光ファイバ通信網で構成されてもよい。

【0026】

また、通信網４は、有線通信網のほか、無線通信網等の公知の通信技術で実現してもよい。また、通信網４は、ローカル通信網で構成されてもよい。

【0027】

ホスト２は、フィンガープリント特定装置１にパケットを送信する電子機器である。ホスト２は、例えばパーソナルコンピュータや、タブレット端末等の電子機器が用いられる。

【0028】

ホスト２は、例えばフィンガープリント特定装置１の備える機能のうち、少なくとも一部の機能を備えてもよい。

【0029】

フィンガープリント特定装置１は、ホスト２から送信されたパケットの特徴を示すフィンガープリントを特定する。フィンガープリント特定装置１は、例えばパーソナルコンピュータ（ＰＣ）等の電子機器が用いられるほか、例えばスマートフォン、タブレット型端末、ウェアラブル端末、ＩｏＴ（Internet of Things）デバイス等の電子機器、シングルボードコンピュータ等が用いられてもよい。

【0030】

次に図２を参照して、本実施形態におけるフィンガープリント特定装置１の一例を説明する。図２（ａ）は、本実施形態におけるフィンガープリント特定装置１の構成の一例を示す模式図であり、図２（ｂ）は、本実施形態におけるフィンガープリント特定装置１の機能の一例を示す模式図である。

【0031】

フィンガープリント特定装置１は、例えば図２（ａ）に示すように、筐体１０と、ＣＰＵ（Central Processing Unit）１０１と、ＲＯＭ（Read Only Memory）１０２と、ＲＡＭ（Random Access Memory）１０３と、保存部１０４と、Ｉ／Ｆ１０５～１０７とを備える。ＣＰＵ１０１と、ＲＯＭ１０２と、ＲＡＭ１０３と、保存部１０４と、Ｉ／Ｆ１０５～１０７とは、内部バス１１０により接続される。

【0032】

ＣＰＵ１０１は、フィンガープリント特定装置１全体を制御する。ＲＯＭ１０２は、ＣＰＵ１０１の動作コードを格納する。ＲＡＭ１０３は、ＣＰＵ１０１の動作時に使用される作業領域である。保存部１０４は、パケット等の各種情報が保存される。保存部１０４は、例えばＨＤＤ（Hard Disk Drive）の他、ＳＳＤ（Solid State Drive）やＳＤカード、ｍｉｎｉＳＤカード等のデータ保存装置が用いられる。なお、例えばフィンガープリント特定装置１は、図示しないＧＰＵ（Graphics Processing Unit）を有してもよい。

【0033】

Ｉ／Ｆ１０５は、通信網４を介して各種情報の送受信を行うためのインターフェースである。Ｉ／Ｆ１０６は、入力部１０８との情報の送受信を行うためのインターフェースである。入力部１０８として、例えばキーボードが用いられ、フィンガープリント特定装置１を利用するユーザ等は、入力部１０８を介して、各種情報又はフィンガープリント特定装置１の制御コマンド等を入力する。Ｉ／Ｆ１０７は、表示部１０９との各種情報の送受信を行うためのインターフェースである。表示部１０９は、保存部１０４に保存された特定結果等の各種情報、またはフィンガープリント特定装置１の処理状況等を出力する。表示部１０９として、ディスプレイが用いられ、例えばタッチパネル式でもよい。

【0034】

保存部１０４は、例えばホスト２から受信したパケット、フィンガープリントの特定及び分類に用いられるアルゴリズム等が記憶される。

【0035】

表示部１０９は、各種情報を表示する。表示部１０９は、例えば特定結果及び分類結果等を表示する。

【0036】

図２（ｂ）は、フィンガープリント特定装置１の機能の一例を示す模式図である。フィンガープリント特定装置１は、取得部１１と、生成部１２と、特定部１３と、記憶部１４と、出力部１５と、分類部１６とを備える。なお、図２（ｂ）に示した取得部１１と、生成部１２と、特定部１３と、記憶部１４と、出力部１５と、分類部１６とは、ＣＰＵ１０１が、ＲＡＭ１０３を作業領域として、保存部１０４等に保存されたプログラムを実行することにより実現され、例えば人工知能により制御されてもよい。

【0037】

取得部１１は、パケットを取得する。取得部１１は、ホスト２から送信されたパケットを、通信網４を介して取得する他、例えばフィンガープリント特定装置１と通信網４を介して接続された図示しないサーバからパケットを取得してもよい。なお、取得部１１が各種情報を取得する頻度、及び周期は、任意である。

【0038】

生成部１２は、取得部１１により取得されたパケットのフィンガープリントを特定するために用いる、パケットの特徴量を生成するＴＣＰ写像を生成する。

【0039】

特定部１３は、生成部１２により生成されたＴＣＰ写像の特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出し、抽出した有効サインに基づいて、フィンガープリントを特定する。

【0040】

分類部１６は、特定部１３により特定されたフィンガープリントを分類する。

【0041】

記憶部１４は、保存部１０４に保存された各種情報を必要に応じて取り出す。記憶部１４は、取得部１１と、生成部１２と、特定部１３と、分類部１６とにより取得又は出力された各種情報を、保存部１０４に保存する。

【0042】

出力部１５は、各種情報を出力する。出力部１５は、Ｉ／Ｆ１０７を介して表示部１０９に特定結果及び分類結果を送信する。

【0043】

次に、本実施形態におけるフィンガープリント特定システム１００の動作の一例について説明する。図３（ａ）は、本実施形態におけるフィンガープリント特定システム１００がフィンガープリントを特定するために用いるＴＣＰ写像の生成の動作の一例を示すフローチャートである。図３（ｂ）は、本実施形態におけるフィンガープリント特定システム１００の動作の一例を示すフローチャートである。

【0044】

まず、フィンガープリント特定システム１００がパケットのフィンガープリントを特定するために用いるＴＣＰ写像の生成の動作について説明する。

【0045】

パケットは、通信回線やネットワークにより通信するデータを一定の長さ毎に区切り、送信元や宛先等の制御情報を付加したデータの集合である。パケットは、制御情報が記述された先頭のヘッダ部と、ヘッダ部に続く送りたいデータ本体であるペイロード部とにより構成される。また、パケットは、末尾に制御情報又はデータ長を調整するための埋め草データが連結されてもよい。パケットは、例えばＩＰ（Internet Protocol）上のデータの集合であるＩＰパケット、及びＴＣＰ（Transmission Control Protocol）上のデータの集合であるＴＣＰパケット等が含まれる。

【0046】

ヘッダ部は、例えばＩＰパケットのヘッダ部であるＩＰヘッダ、及びＴＣＰパケットのヘッダ部であるＴＣＰヘッダ等が含まれる。

【0047】

制御情報は、例えばＩＰヘッダの宛先ＩＰアドレス、ＩＰヘッダの識別子、ＴＣＰヘッダのシーケンス番号、及びＴＣＰヘッダのウィンドウサイズ、送信元ポート、宛先ポート、チェックサム、データオフセット等の情報である。制御情報は、例えば送信元のボットネット等の種類毎により、それぞれ特有の特徴であるフィンガープリントが含まれる。また、制御情報は、宛先ポートの番号等であってもよい。

【0048】

フィンガープリントはパケットに含まれる特徴を示す。フィンガープリントは、例えばパケットに含まれる制御情報の特徴を示す。フィンガープリントは、例えば制御情報に含まれる情報毎の特徴を示し、例えばパケットに含まれるＴＣＰヘッダのウィンドウサイズが１４６００を満たすことである。また、フィンガープリントは、パケットの特徴量を生成するＴＣＰ写像と、ＴＣＰ写像の値との組み合わせを示すサインであってもよい。また、フィンガープリントは、複数のサインによって構成された命題論理式であってもよい。フィンガープリントは、例えばｔｃｐ．ｗｉｎｄｏｗ＝１４６００△（ｆ_Ｆ２Ｂ（ｔｃｐ．ｓｅｑ）＝０▽ｆ_Ｌ２Ｂ（ｔｃｐ．ｓｅｑ）＝０）で示される。また、フィンガープリントは、ペイロード部のデータの特徴であってもよい。ここで△は、論理積を示し、▽は、論理和を示す。フィンガープリントは、ボットネット等の送信元の種類毎に異なる。

【0049】

ＴＣＰ写像は、例えば制御情報に含まれる各種情報の特徴に基づく関数である。ＴＣＰ写像は、例えば表１に示すような記号であってもよい。また、ＴＣＰ写像は、各種情報の上位又は下位のｋバイトを抽出したものであってもよい。かかる場合、ＴＣＰ写像は、例えばＴＣＰヘッダのシーケンス番号の上位２バイトをｆ_Ｆ２Ｂ（ｔｃｐ．ｓｅｑ）で示し、ＴＣＰヘッダのシーケンス番号の下位２バイトをｆ_Ｌ２Ｂ（ｔｃｐ．ｓｅｑ）で示してもよい。また、ＴＣＰ写像は、複数の情報の特徴を含んでいてもよい。ＴＣＰ写像は、例えばｉｐ．ｉｄ＋ｆ_Ｌ２Ｂ（ｔｃｐ．ｓｅｑ）で示される。ここで＋は、ビット毎の排他的論理和を示す。

【表1】

【0050】

サインは、ＴＣＰ写像と、ＴＣＰ写像の値域上の１点との組み合わせを示す。サインは、例えばｆ_Ｆ２Ｂ（ｔｃｐ．ｓｅｑ）＝０である。

【0051】

まず、図３（ａ）に示すように、ステップＳ１０において、初期のＴＣＰ写像を複数生成する。初期のＴＣＰ写像は、予め生成されたものを用いてもよい。初期のＴＣＰ写像は、例えばｔｃｐ．ｗｉｎｄｏｗ等のＴＣＰ写像である。

【0052】

次に 、ステップＳ２０において、生成部１２は、ステップＳ１０において生成した初期のＴＣＰ写像に基づいて、ＴＣＰ写像を生成する。

【0053】

ステップＳ２０において、生成部１２は、例えば生成したＴＣＰ写像とバイナリを入出力する関数とに基づく第２ＴＣＰ写像をさらに生成する。第２ＴＣＰ写像は、ＴＣＰ写像とバイナリを入出力する関数との合成関数である。例えば生成部１２は、ｔｃｐ．ｓｅｑというＴＣＰ写像と、ｆ_Ｆ１Ｂという入力されたバイナリの上位１バイトを出力する関数との合成関数であるｆ_Ｆ１Ｂ（ｔｃｐ．ｓｅｑ）を第２ＴＣＰ写像としてもよい。かかる場合、生成部１２は、この操作を繰り返して第２ＴＣＰ写像をさらに生成してもよい。また、生成部１２は、各ＴＣＰ写像及び各関数を用いて第２ＴＣＰ写像を生成したときの各ＴＣＰ写像及び各関数を用いた回数に基づいて、第２ＴＣＰ写像を生成するために用いるＴＣＰ写像と関数を選択してもよい。かかる場合、例えば第２ＴＣＰ写像を生成するために各ＴＣＰ写像及び各関数を用いた回数と第２ＴＣＰ写像を生成するために用いるＴＣＰ写像と関数を選択する確率が反比例するように設定してもよい。これにより、用いた回数がより少ないＴＣＰ写像と関数を選択する確率が高くなるため、単純なＴＣＰ写像から順に生成することが可能となる。

【0054】

また、ステップＳ２０において、生成部１２は、例えば生成した２以上のＴＣＰ写像に基づく第３ＴＣＰ写像をさらに生成してもよい。生成部１２は、例えば２以上のＴＣＰ写像の二項演算により、第３ＴＣＰ写像をさらに生成してもよい。また、ステップＳ２０において、生成部１２は、３以上のＴＣＰ写像に対して、複数回の二項演算を用いて、第３ＴＣＰ写像を生成してもよい。第３ＴＣＰ写像は、複数のＴＣＰ写像に基づくＴＣＰ写像である。第３ＴＣＰ写像は、例えば、ｉｐ．ｉｄというＴＣＰ写像と、ｆ_Ｌ２Ｂ（ｔｃｐ．ｓｅｑ）というＴＣＰ写像との排他的論理和であるｉｐ．ｉｄ＋ｆ_Ｌ２Ｂ（ｔｃｐ．ｓｅｑ）であってもよい。かかる場合、第３ＴＣＰ写像を生成するために用いるＴＣＰ写像は、ランダムに選択されたものを用いてもよいが、この限りではなく、任意の方法で選択された任意の数のＴＣＰ写像を用いてもよい。また、生成部１２は、２以上の各ＴＣＰ写像を用いて第３ＴＣＰ写像を生成したときの各ＴＣＰ写像を用いた回数に基づいて、第３ＴＣＰ写像を生成するために用いるＴＣＰ写像を選択してもよい。かかる場合、例えば第３ＴＣＰ写像を生成するために各ＴＣＰ写像を用いた回数と第３ＴＣＰ写像を生成するために用いるＴＣＰ写像を選択する確率が反比例するように設定してもよい。これにより、用いた回数がより少ないＴＣＰ写像を選択する確率が高くなるため、単純なＴＣＰ写像から順に生成することが可能となる。ステップＳ２０において、生成部１２は、これらのＴＣＰ写像の合成を複数回繰り返し行ってもよい。

【0055】

フィンガープリント特定システム１００は、ステップＳ２０により生成されたＴＣＰ写像を用いて、実際にパケットのフィンガープリントを特定する。

【0056】

図３（ｂ）は、本実施形態におけるフィンガープリント特定システム１００の動作の一例を示すフローチャートである。まず、ステップＳ１１０において、フィンガープリント特定装置１は、パケットを受信する。フィンガープリント特定装置１は、例えばホスト２（２ａ、２ｂ、２ｃ）から送信されたパケットを受信する。かかる場合、ホスト２は、パケットを送信するホスト２に対してプロトコル毎に用意されている宛先ポートを用いてパケットを送信する。また、ホスト２は、複数の宛先ポートを用いて、フィンガープリント特定装置１にパケットを送信してもよい。なお、有効サインを保有するパケットを１つ以上送信しているホスト２を有効サインを保有するホストとする。また、有効サインのＴＣＰ写像にパケットを入力した時の出力が有効サインのバイナリと一致した場合に、パケットは有効サインを保有するとする。

【0057】

また、ステップＳ１１０において、フィンガープリント特定装置１は、同一のボットネット等の送信元が、複数のホスト２（２ａ、２ｂ、２ｃ）を用いて送信されたパケットをそれぞれ受信してもよい。

【0058】

また、ステップＳ１２０において、特定部１３は、パケットを送信する送信元ホスト２と、有効サインとに基づいて、フィンガープリントを特定する。例えば、特定部１３は、送信元ホスト２の数と有効サインを保有する送信元ホスト２の数とに基づいて、抽出する有効サインを決定してもよい。例えば特定部１３は、送信元ホスト数２に対する有効サインを保有する送信元ホスト２の数の割合が閾値以上となる有効サインを抽出してもよい。

【0059】

また、ステップＳ１２０において、特定部１３は、ＴＣＰ写像ｆの任意の特徴量ｂに対して（１）式で示される出現率ｒ（ｂ）を算出し、算出した出現率ｒ（ｂ）に基づいて（２）式を満たす整数ｋの最大値を算出し、算出したｋの最大値に基づき、ＴＣＰ写像ｆと特徴量ｂとの組み合わせを示す有効サインを抽出してもよい。また、Ｉは、パケットを送信するホストｉの集合を示す。かかる場合、例えば特定部１３は、（ｆ、ｂ_１）、（ｆ、ｂ_２）、（ｆ、ｂ_３）・・・（ｆ、ｂ_{ｋｍａｘ－１}）、（ｆ、ｂ_ｋｍａｘ）の有効サインを抽出してもよい。

【数1】

また、Ｉは、前記パケットを送信するホストｉの集合を示す。Ｐ_ｉは、ホストｉが送信するパケットの集合を示す。

【数2】

ここで、Ｂ＝(ｂ_１、ｂ_２、…)は、ｆ（Ｐ）をｒ（ｂ）の降順に並べたものを示し、Ｂ_≧ｋ＝(ｂ_ｋ、ｂ_ｋ+１、…)である。σ^２（Ｂ_≧ｋ）は 、Ｂ_≧ｋの母分散を示し、αは正の実数を示し、βは自然数を示す。

【0060】

次に、ステップＳ１２０において、特定部１３は、ステップＳ１１０により受信されたパケットにおいて、ステップＳ２０により生成されたＴＣＰ写像のパケットの特徴量が基準値となる、ＴＣＰ写像と特徴量との組み合わせを示す有効サインを抽出する。特定部１３は、例えば基準値を０として、ＴＣＰ写像の値が０となるサインを有効サインとして抽出してもよい。

【0061】

また、ステップＳ１２０において、特定部１３は、パケットと、有効サインとに基づいて、抽出する有効サインを決定してもよい。例えば特定部１３は、パケットの数に対する有効サインを保有するパケットの数の割合が閾値以上となる有効サインを抽出してもよい。また、ステップＳ１２０において、特定部１３は、ＴＣＰ写像ｆの任意の特徴量ｂに対して（３）式で示される出現率ｒ（ｂ）を算出し、算出した出現率ｒ（ｂ）に基づいて（２）式を満たす整数ｋの最大値を算出し、算出したｋの最大値に基づき、ＴＣＰ写像ｆと特徴量ｂとの組み合わせを示す有効サインを抽出してもよい。かかる場合、ＴＣＰ写像ｆと特徴量（ｂ_１、ｂ_２、・・・ｂ_ｋｍａｘ）との組み合わせの有効サインを抽出することにより、共通している有効サインを自動的に抽出することが可能となる。

【数3】

ここで、♯は、集合の要素の数を示し、Ｐは、パケットｐの集合を示す。

【0062】

次に、ステップＳ１３０において、特定部１３は、ステップＳ１２０により抽出された有効サインに基づいて、フィンガープリントを特定する。特定部１３は、ステップＳ１２０により抽出された有効サインをフィンガープリントとしてもよい。特定部１３は、ステップＳ１２０により抽出された有効サインの論理和をフィンガープリントとして特定してもよい。これにより、受信したパケットが、特定したフィンガープリントを満たす場合、この受信したデータは、特定のボットネット等により送信されたデータであることが判断することが可能となる。

【0063】

次に、ステップＳ１４０において、分類部１６は、ステップＳ１３０より特定されたフィンガープリントを分類する。分類部１６は、例えばステップＳ１３０より特定されたフィンガープリントを、パケットを受信したＰＣ等の端末情報を抽出するための調査目的か、受信したＰＣ等を攻撃するための攻撃目的かに分類する。

【0064】

ステップＳ１４０において、分類部１６は、宛先ポートのうちパケットの数が多い順から、予め設定された設定値の数の宛先ポートであるトップポートにより送信されるパケットの数とに基づいて、フィンガープリントを分類する。分類部１６は、例えばステップＳ１１０により受信したパケットの数に対する、トップポートにより送信されるパケットの数の割合に基づいて、フィンガープリントを分類する。例えば分類部１６は、設定値を５とすると、パケットを送信する数が多いポートの上位５の宛先ポートをトップポートとしてもよい。分類部１６は、パケットの数に対する、トップポートにより送信されるパケットの数の割合が閾値以上場合、フィンガープリントを攻撃目的に分類してもよい。

【0065】

図４は、トップポートがパケットに占める割合をフィンガープリント毎に１つの棒グラフで示したグラフである。表２は、フィンガープリントと送信目的との表である。図４に示すように、ＭａｓｓｃａｎやＺＭａｐ等の調査目的と考えられるフィンガープリントは、上位１０ポート以外が占める割合が比較的大きい。このことから、トップポート以外が占める割合が小さいものは攻撃目的スキャンだと考えられる。このため、パケットの数に対する、パケットを送信するポートから選択されたトップポートにより送信されるパケットの数の割合に基づいて、フィンガープリントを分類することが可能となる。

【表2】

【0066】

また、ステップＳ１４０において、分類部１６は、パケットを送信するホストの数と、パケットを送信するための宛先ポートの数毎のホストの数とに基づいて、フィンガープリントを分類する。分類部１６は、例えばパケットを送信するホスト２の数に対する、宛先ポートの数毎のホスト２の数の割合に基づいて、フィンガープリントを分類する。分類部１６は、ホスト２の数に対する、パケットを送信するためにホスト２が使用する宛先ポートの数が閾値以下となるホスト２の数の割合が、予め定めた値以下の場合、フィンガープリントを攻撃目的に分類してもよい。

【0067】

図５は、ホスト２が使用する宛先ポート数の割合をフィンガープリント毎に一つの棒グラフで示すグラフである。♯ｄｐｏｒｔは、宛先ポートの種類の数を示す。図５に示すように、ＭｉｒａｉやＨａｊｉｍｅなど攻撃目的と考えられるフィンガープリントは、宛先ポート数が比較的小さい。このことから、宛先ポートの数が小さいものは攻撃目的スキャンだと考えられる。このため、ホスト２の数に対する、パケットを送信するためにホスト２が使用するポート数が閾値以下となるホスト２の数の割合に基づいて、フィンガープリントを分類することが可能となる。

【0068】

上述した動作を実施することで、本実施形態におけるフィンガープリント特定システム１００の動作は終了する。これにより、豊かな表現能力を備えたＴＣＰ写像を用いて、フィンガープリントを特定することができるため、様々な式で表現されたフィンガープリントを自動で特定することが可能となる。

【0069】

本発明の実施形態を説明したが、この実施形態は例として提示したものであり、発明の範囲を限定することは意図していない。このような新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。この実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0070】

１ ：フィンガープリント特定装置
２ ：ホスト
４ ：通信網
１０ ：筐体
１１ ：取得部
１２ ：生成部
１３ ：特定部
１４ ：記憶部
１５ ：出力部
１６ ：分類部
１００ ：フィンガープリント特定システム
１０１ ：ＣＰＵ
１０２ ：ＲＯＭ
１０３ ：ＲＡＭ
１０４ ：保存部
１０５ ：Ｉ／Ｆ
１０６ ：Ｉ／Ｆ
１０７ ：Ｉ／Ｆ
１０８ ：入力部
１０９ ：表示部
１１０ ：内部バス

【図1】

【図2】

【図3】

【図4】

【図5】