[論文レビュー] Characterizing Internet Worm Infection Structure

Qian Wang, Zesheng Chen+1 more|arXiv (Cornell University)|Jan 8, 2010

Network Security and Intrusion Detection参考文献 34被引用数 4

ひとこと要約

本稿は、確率的モデリングと逐次的成長モデルを用いてインターネットワームの感染構造を特徴づけ、1ノードあたりの感染ホスト数（子供）がパラメータ 0.5 の幾何分布に従うことが明らかになった。一方、世代はポアソン分布に従う。主な発見は、半数の感染ホストがさらに感染を広げず、98%以上が5人未満の子供を持つこと、平均経路長が感染サイズに従って対数的に増加することであり、これによりP2Pボットネットワーク（例：Conficker C）における標的型ボット検出が非常に高い効率で可能となる。

ABSTRACT

Internet worm infection continues to be one of top security threats and has been widely used by botnets to recruit new bots. In this work, we attempt to quantify the infection ability of individual hosts and reveal the key characteristics of the underlying topology formed by worm infection, i.e., the number of children and the generation of the worm infection family tree. Specifically, we first apply probabilistic modeling methods and a sequential growth model to analyze the infection tree of a wide class of worms. We analytically and empirically find that the number of children has asymptotically a geometric distribution with parameter 0.5. As a result, on average half of infected hosts never compromise any vulnerable host, over 98% of infected hosts have no more than five children, and a small portion of infected hosts have a large number of children. We also discover that the generation follows closely a Poisson distribution and the average path length of the worm infection family tree increases approximately logarithmically with the total number of infected hosts. Next, we empirically study the infection structure of localized-scanning worms and surprisingly find that most of the above observations also apply to localized-scanning worms. Finally, we apply our findings to develop bot detection methods and study potential countermeasures for a botnet (e.g., Conficker C) that uses scan-based peer discovery to form a P2P-based botnet. Specifically, we demonstrate that targeted detection that focuses on the nodes with the largest number of children is an efficient way to expose bots. For example, our simulation shows that when 3.125% nodes are examined, targeted detection can reveal 22.36% bots. However, we also point out that future botnets may limit the maximum number of children to weaken targeted detection, without greatly slowing down the speed of worm infection.

研究の動機と目的

• 標的ホストが形成する感染ファミリーツリーを分析することで、ワーム感染のマイクロレベルトポロジーを理解すること。
• 個々のホストの感染能力を、生成する子供（感染性後代）の数によって定量化すること。
• 感染ツリーの世代構造をモデル化し、平均経路長が全感染数にどのようにスケーリングするかを特定すること。
• ランダムスキャンワームの知見が、局所スキャンワームに対しても一般化可能かどうかを評価すること。
• 構造的知見を応用して、Conficker C などのP2Pボットネットワーク向けに標的型検出手法を開発すること。

提案手法

• 感染ツリーにおける子供と世代の同時確率分布を導出するため、確率的モデリングと逐次的成長モデルを適用した。
• z変換と差分方程式を用いて、期待される子供数と世代数を解析的に導出し、E[C] = (n−1)/n および E[G] = Hₙ − 1 を示した。
• 子供数が漸近的にパラメータ 0.5 の幾何分布に従うことを証明し、P(C=i) = (1/2)^(i+1) であることを示した。
• 世代分布が漸近的にパラメータ Hₙ − 1 のポアソン分布に従うことを示した。
• 局所スキャンワームのシミュレーションおよび実データ分析を通じて、解析的結果の妥当性を検証した。
• 子供数が最も多いノードに注目する標的型検出を提案し、子供分布のパワー・ラウの尾部特性を活用した。

実験結果

リサーチクエスチョン

• RQ1 ワーム感染ツリーにおける1感染ホストあたりの子供数の統計的分布は何か？
• RQ2 感染ホストの世代（レベル）はどのように分布するか？ また、平均経路長は全感染ホスト数にどのようにスケーリングするか？
• RQ3 ランダムスキャンワームの構造的特性は、局所スキャンワームに対しても成立するか？
• RQ4 感染ツリー構造を活用して、Conficker C などのP2Pボットネットワークにおける効率的なボット検出メカニズムを設計できるか？
• RQ5 最大子供数を制限すると、標的型検出の有効性にどのような影響を与えるか？

主な発見

• 1感染ホストあたりの子供数は、漸近的にパラメータ 0.5 の幾何分布に従い、50%の感染ホストがさらに感染を広げないことを意味する。
• 98%以上の感染ホストが5人未満の子供を持つため、感染拡散の大部分を担うのはホストのわずか少数であることが示された。
• 感染ホストの世代は、Hₙ（n番目の調和数）をパラメータとするポアソン分布に従う。
• 感染ツリーの平均経路長は、全感染ホスト数に従って概ね対数的に増加する。
• 子供数上位 3.125% のノードに注目することで、シミュレーションで22.36%のボットを特定できることが示され、検出効率が極めて高いことが明らかになった。
• 将来のボットネットワークは、標的型検出を回避するために最大子供数を制限する可能性があり、感染速度の著しい低下を伴わずに済む。