目的
系列データ間の類似性を高精度に検査する手法を創出し、それによって広域ネットワークにおけるインシデントの解析結果と、各マルウェアの特性とを効率よく比較し、両者の相関を得ることを可能にする。同時に、同様の特徴を有する系列データの汎用的な類似性検査方法を提供する。
効果
複数の数値の列からなる系列データにおいて、その類似性を高精度に検査する検査方法及び装置を提供できる。特に、系列データの遷移に着目するものであり、各系列データ間の値が異なる値域にあったり、系列データの要素の数が異なったり、系列中で多少の入れ違いが生じていても、正規化処理、整形処理によって良好に類似性を検査できる。
技術概要
ネットワーク上で他のコンピュータに対して不正処理を行うマルウェアが送信する系列データと、検査対象のソフトウェアが送信する系列データとを比較してその類似性を検査する類似性検査方法である。不正処理結果検知手段２０が、マルウェアの系列データを得るとともに、検査対象処理結果検知手段２１が、検査対象の系列データを得る。系列データ変換処理手段２２が、両系列データをフーリエ変換して正規化した後に、相関係数算出手段２４が両者の相関係数を算出する。この装置１のＣＰＵ１０には、順に不正処理結果検知部２０、検査対象処理結果検知部２１、系列データ変換処理部２２、データ整形部２３、相関関数算出部２４、出力部２５を備えている。まず系列データ変換処理部２２において入力された系列データを離散フーリエ変換する。単にフーリエ変換するのみならず、これを最適な方法によって正規化処理し、相関係数算出部２３で相関関数を得る。このために、図２に示すように、系列データ変換処理部２２にはさらに、離散フーリエ変換処理部２２０、高周波数成分除去処理部２２１、出現位置系列取得部２２２、出現位置値正規化処理部２２３、調波構造正規化処理部２２４を備えている。
改善効果１
マルウェアの挙動のうち、ＩＰアドレスなどのネットワークアドレスを連続してスキャンする構成が知られているが、この系列データとしてスキャンされたＩＰアドレスを用いることで、２つのマルウェアの類似性検査にも用いることができる。特に、ハニーポッドなど閉じられたネットワーク空間におけるマルウェアの検体における挙動と、広域ネットワークで生じているインシデントにおける挙動とを比較することで、マルウェアの特定のための検査方法として用いることもできる。
基本情報
開放特許情報
)
)
登録者情報
その他の情報
