[論文レビュー] Evaluating the Impact of AbuseHUB on Botnet Mitigation

Michel van Eeten, Qasim Lone+3 more|arXiv (Cornell University)|Dec 9, 2016

Network Security and Intrusion Detection参考文献 4被引用数 3

ひとこと要約

本研究は、オランダのISPが主導する不正利用データ共有プラットフォームであるAbuseHUBの有効性を評価する。オランダの加盟ISPと非加盟ISPにおけるボットネット感染率を分析し、国際的な比較も行っている。複数のデータソースから得た正規化された感染指標を用いて、AbuseHUB加盟ISPは非加盟ISPや国際的な主要ISPと比較して著しく低い感染レベルを示していることが判明した。これは、連携されたデータ共有と自動化されたクリーンアップが、ボットネット対策の効果を高めることを示している。

ABSTRACT

This documents presents the final report of a two-year project to evaluate the impact of AbuseHUB, a Dutch clearinghouse for acquiring and processing abuse data on infected machines. The report was commissioned by the Netherlands Ministry of Economic Affairs, a co-funder of the development of AbuseHUB. AbuseHUB is the initiative of 9 Internet Service Providers, SIDN (the registry for the .nl top-level domain) and Surfnet (the national research and education network operator). The key objective of AbuseHUB is to improve the mitigation of botnets by its members. We set out to assess whether this objective is being reached by analyzing malware infection levels in the networks of AbuseHUB members and comparing them to those of other Internet Service Providers (ISPs). Since AbuseHUB members together comprise over 90 percent of the broadband market in the Netherlands, it also makes sense to compare how the country as a whole has performed compared to other countries. This report complements the baseline measurement report produced in December 2013 and the interim report from March 2015. We are using the same data sources as in the interim report, which is an expanded set compared to the earlier baseline report and to our 2011 study into botnet mitigation in the Netherlands.

研究の動機と目的

• AbuseHUBが加盟ISPにおけるボットネット感染率を非加盟ISPと比較して低下させているかどうかを評価すること。
• AbuseHUBの国内的影響を評価するため、オランダ全体のボットネットパフォーマンスを他の国と比較すること。
• AbuseHUB加盟ISP間のパフォーマンスのばらつきを分析し、ベストプラクティスを同定すること。
• ボットネット対策プログラム（ABIs）を導入している国におけるその有効性を評価すること。
• データ共有と政策的インcentivesを活用した不正利用対策のスケーリングに向けた、証拠に基づく提言を提供すること。

提案手法

• グローバルおよびオランダ国内のソース（Shadowserver、Spamhaus、シンコールフィードなど）からマルウェア感染データを収集・分析した。
• 地理的特定とASN解像度を用いて、感染IPアドレスをISPにマッピングし、加入者数で正規化することで、公平な比較を可能にした。
• ネットワーク規模の違いを補正するため、100万人あたりの平均日次独自感染IP数に基づいてISPおよび国をランク付けした。
• 2014年から2015年の感染トレンドの時系列分析を用いて、AbuseHUB加盟ISPと非加盟ISP、およびグローバルISPを比較した。
• 非加盟ISPの中で最も感染率の高い上位10社を特定し、非加盟による影響を評価した。
• 散布図と正規化された指標を用いて、ISP間およびボットネットタイプごとのパフォーマンス差を可視化した。

実験結果

リサーチクエスチョン

• RQ1 オランダにおけるAbuseHUB加盟ISPは、非加盟ISPと比較して著しく低いボットネット感染率を示しているか？
• RQ2 ボットネット感染レベルにおいて、オランダは他の国と比較してどうなっているか。特に、ボットネット対策プログラム（ABIs）の有無と関連して。
• RQ3 個々のAbuseHUB加盟ISPのパフォーマンスはどのように異なるのか。また、どのISPが最も効果的な対策を実施しているか？
• RQ4 データ共有と自動化されたクリーンアップは、オランダISP市場全体の感染率低下にどの程度寄与しているか？
• RQ5 非加盟ISPは全体の感染率にどの程度貢献しているのか。また、彼らを対策活動に参加させるインcentiveは可能か？

主な発見

• AbuseHUB加盟ISPは非加盟ISPと比較して著しく低い感染率を示しており、2015年の1日平均感染IP数（100万人あたり）は30〜50％低い水準だった。
• オランダは、国際的にも感染率が低い上位10カ国にランクインしており、正式なボットネット対策プログラムを有する国々を含め、大多数の国と比較して優れたパフォーマンスを示した。
• オランダで感染率が最も高い上位10の非加盟ISPは、AbuseHUB加盟ISPの平均と比較して、最大5倍の感染率を示した。
• AbuseHUB加盟ISPの中でもパフォーマンスに大きなばらつきが見られた。一部のISPは100万人あたり10件未満の感染IPにまで低下させたが、他のISPは50件以上を維持していた。
• 他の国で導入されているABIsが、オランダのモデルよりも優れた成果を上げている証拠は得られなかった。これは、AbuseHUBの効果が単に国家政策によるものではないことを示唆している。
• 中央集権的なクリーンアップツールとデータ共有は、顧客対応コストを著しく削減し、対策の効率性を向上させることを、ドイツのbotfrei.deモデルが実証している。