[論文レビュー] New Multi-step Worm Attack Model

Robiah Yunus, S. Siti Rahayu+4 more|arXiv (Cornell University)|Jan 20, 2010

Network Security and Intrusion Detection被引用数 5

ひとこと要約

本稿では、ブレーラー・ワームの変種を分析したもとに、ネットワーク層にわたる感染パターンを要約することで、より良いアラート相関およびデジタルフォレンジックスを可能にする、新しいマルチステップワーム攻撃モデルを提案する。このモデルは、スキャン、標的撃破、拡散、恒常化の順序の攻撃フェーズを捉え、リアルタイムのネットワーク環境におけるマルチステージワーム行動の検出および調査のための構造的フレームワークを提供する。

ABSTRACT

The traditional worms such as Blaster, Code Red, Slammer and Sasser, are still infecting vulnerable machines on the internet. They will remain as significant threats due to their fast spreading nature on the internet. Various traditional worms attack pattern has been analyzed from various logs at different OSI layers such as victim logs, attacker logs and IDS alert log. These worms attack pattern can be abstracted to form worms' attack model which describes the process of worms' infection. For the purpose of this paper, only Blaster variants were used during the experiment. This paper proposes a multi-step worm attack model which can be extended into research areas in alert correlation and computer forensic investigation.

研究の動機と目的

• ブレーラー、コードレッド、スラムマー、サッサーなどの高速拡散ワームの継続的脅威に対処するため、そのマルチフェーズ感染プロセスをモデル化すること。
• 実際のネットワークログ（被害者、攻撃者、IDS）から得られるワーム攻撃パターンを形式化された攻撃モデルに要約し、研究用途に適したものとする。
• 順序付けられた攻撃行動を捉えることで、将来のアラート相関およびコンピュータフォレンジックス分野の研究を支援するスケーラブルなフレームワークを開発すること。
• 具体的には、ブレーラー変種に焦点を当て、モデルの既知のワーム行動への適用可能性を検証すること。
• 構造的かつレイヤー別ネットワーク行動モデリングを通じて、マルチステップ攻撃の検出および分析の基盤を提供すること。

提案手法

• 被害者マシン、攻撃者システム、IDSアラートなど複数のソースからのネットワークログを分析し、攻撃シーケンスを抽出する。
• スキャン、標的撃破、ペイロード配布、恒常化のフェーズを特定・分類する。
• ネットワーク層にわたる状態遷移の系列として、ワームのライフサイクルを表すマルチステップ攻撃モデルを構築する。
• ブレーラー変種からの実証データを用いて、モデルの構造と行動パターンの妥当性を検証する。
• アラート相関エンジンおよびデジタルフォレンジックツールへの統合を想定し、拡張可能な形でモデルを設計する。
• OSI層の異なるレベルで、タイミングと出来事の順序に注目しながら、ワーム行動のシミュレーションと分析を実施する。

実験結果

リサーチクエスチョン

• RQ1 実際のネットワークログデータを用いて、マルチステップワーム攻撃の順序的フェーズを形式的にモデル化する方法は何か？
• RQ2 複数のOSI層で分析した場合、異なるワーム変種間に共通して見られる行動パターンは何か？
• RQ3 構造的な攻撃モデルは、インシデント検出システムにおけるアラート相関の正確性をどの程度向上できるか？
• RQ4 このようなモデルは、分散ログソースからの攻撃タイムライン再構築を支援することで、デジタルフォレンジック調査をどのように支援できるか？
• RQ5 このモデルは、ブレーラー変種を超えた他の高速拡散ワームに対しても一般化可能か？

主な発見

• マルチステップワーム攻撃モデルは、ブレーラー変種のスキャン、標的撃破、拡散フェーズにわたる順序的進行を効果的に捉えている。
• 被害者、攻撃者、IDSの複数ソースからのログ分析により、ワーム行動に一貫したパターンが確認され、モデルの構造的妥当性が裏付けられた。
• モデルは、ネットワーク層にわたる離散的で観察可能な段階としてのワーム感染を明確なフレームワークで表現可能である。
• モデルは、時間的およびシステム的相関を有する関連イベントを統合することで、アラート相関システムにおける誤検出の低減を支援するように拡張可能である。
• 分散ログソースからの攻撃タイムライン再構築を可能にすることで、モデルはデジタルフォレンジック調査を支援するフレームワークを提供する。
• 本研究では、ブレーラー変種が予測可能なマルチフェーズ攻撃パターンに従うことが示され、研究および検出のための再利用可能なモデルに要約可能であることが明らかになった。