[論文レビュー] Peer to Peer Networks for Defense Against Internet Worms

Srinivas Shakkottai, R. Srikant|ArXiv.org|May 8, 2006

Network Security and Intrusion Detection参考文献 21被引用数 12

ひとこと要約

本稿では、ペア・ツー・ペア（P2P）ネットワークを活用して、急速に広がるインターネットワームの感染拡大を迅速に抑制する手法を提案する。流体モデルとシミュレーションを通じて、P2Pシステムが固定型パッチサーバー構造と比較して、感染の抑制に要する時間と最大感染ホスト数の両方を著しく削減することを示している。

ABSTRACT

Internet worms, which spread in computer networks without human mediation, pose a severe threat to computer systems today. The rate of propagation of worms has been measured to be extremely high and they can infect a large fraction of their potential hosts in a short time. We study two different methods of patch dissemination to combat the spread of worms. We first show that using a fixed number of patch servers performs woefully inadequately against Internet worms. We then show that by exploiting the exponential data dissemination capability of P2P systems, the spread of worms can be halted very effectively. We compare the two methods by using fluid models to compute two quantities of interest: the time taken to effectively combat the progress of the worm and the maximum number of infected hosts. We validate our models using Internet measurements and simulations.

研究の動機と目的

• 急速に広がるインターネットワームを効果的に抑制できない固定型パッチサーバー・アーキテクチャの欠陥を是正すること。
• P2Pネットワークが従来のクライアント・サーバー・モデルと比較して、指数関数的に高速なパッチ配布を可能にするかを調査すること。
• 早期ワーム検出のための監視要件を定量化し、大規模ネットワーク監視の実現可能性を評価すること。
• 固定型パッチサーバーとP2Pベースのパッチ配布の両者を、感染抑制までの時間と最大感染レベルの観点から比較すること。

提案手法

• 著者は、確定的微分方程式に基づく流体モデルを用いて、ワームの拡散とパッチ配布のダイナミクスをシミュレートする。
• 感染率を解析的妥当性を高めるために1に正規化した、古典的なSIR型の疫学的フレームワークを用いてワームの拡散をモデル化する。
• 固定型パッチサーバーのパフォーマンスは、感染を抑制するまでの時間をΘ(ln N)として導出する。ここでNはホストの総数を表す。
• P2Pパッチ配布の場合は、指数関数的配布能力をモデル化し、ペア・ツー・ペアの迅速な伝播により、抑制時間はΘ(ln ln N)に比例することを示す。
• 感染ホストからのスキャントラフィックを仮定して、早期検出のための監視ホスト数を導出する。この際、スキャン行動は一様であると仮定する。
• 理論的予測を確認するために、実際のインターネット測定とシミュレーションを用いてモデルを検証する。

実験結果

リサーチクエスチョン

• RQ1 固定数のパッチサーバーは、急速に広がるインターネットワームを効果的に抑制できるか？
• RQ2 従来のパッチサーバー・モデルと比較して、P2Pネットワークはワームの発生抑制までの時間を顕著に短縮できるか？
• RQ3 所定の時間窓内でワームを検出するために必要な監視ホスト数はどれくらいか？また、ネットワークサイズに応じてその数はどのようにスケーリングされるか？
• RQ4 固定型サーバーとP2Pパッチ配布アーキテクチャの両者において、最大感染ホスト数はどのように異なるか？
• RQ5 指数関数的パッチ配布が、ネットワーク監視と早期検出に与える影響は何か？

主な発見

• 固定型パッチサーバーでは、感染抑制までの時間がΘ(ln N)に達し、スラムラーのような急速に広がるワームには不十分である。
• P2Pベースのパッチ配布により、感染抑制までの時間がΘ(ln ln N)に短縮され、ワーム拡散のほぼ指数関数的抑制が可能になる。
• ln ln Nの時間内にワームを検出するために必要な監視ホスト数はΘ(N / ln ln N)であり、これは現在のインターネットでは現実的ではない。
• 85,000台のホストを持つスラムラーに類似したワームの場合、1.6分以内に検出するには約7,500台（全体の約10％）のホストを監視する必要がある。
• 現在のIPv4インターネット（2^32アドレス）では、3単位時間以内にワームを検出するには約2^27アドレスを監視する必要があり、これは/8プレフィックスを超過する。したがって、協力体制なしでは大規模監視は非現実的である。
• 結果から、有効なワーム監視にはホストまたはネットワーク運用者の積極的協力が不可欠であり、P2Pベースの検出・報告システムの導入が好ましいことが示唆される。