JP6063340B2 - 指令元特定装置、指令元特定方法、及び指令元特定プログラム - Google Patents
指令元特定装置、指令元特定方法、及び指令元特定プログラム Download PDFInfo
- Publication number
- JP6063340B2 JP6063340B2 JP2013096603A JP2013096603A JP6063340B2 JP 6063340 B2 JP6063340 B2 JP 6063340B2 JP 2013096603 A JP2013096603 A JP 2013096603A JP 2013096603 A JP2013096603 A JP 2013096603A JP 6063340 B2 JP6063340 B2 JP 6063340B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- server
- grouping
- command source
- opposing
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
Description
前記取得手段により取得されたパケットの情報に基づき、前記通信が所定の条件に合致するか否かに応じて前記対向装置をグループ分けするグループ分け手段と、
前記グループ分け手段によるグループ分けにより得られたグループのうち、属する装置数が他のグループよりも少ないグループに属する対向装置を、当該対向装置以外の対向装置に対して前記所定のサーバ経由で指令を行う指令者装置の候補であると特定する特定手段と、を備えることを特徴とする指令元特定装置として構成される。
図1に、本発明の実施の形態に係るシステムの全体構成図を示す。図1に示す例では、マルウェアに感染した感染装置10、C&Cサーバ20、及び指令者装置30が通信ネットワーク40(例:インターネット)に接続されている。また、本発明に係る指令者装置特定のための解析処理等を実行する指令元特定装置100が通信ネットワーク40に接続されている。図1に示すように、指令者装置30がC&Cサーバ20経由で感染装置に指令を送る。
以下、図3のフローチャートの手順に沿って指令元特定装置100の動作を説明する。なお、指令元特定装置100は、様々なC&Cサーバに対しての指令装置の特定を行うことができるが、以下の例では、特定のC&Cサーバ20に着目した処理を示している。
上記のように、本実施の形態では、C&Cサーバ20と対向装置との間の通信を監視し、対向装置とC&Cサーバ20との間の通信に係るパケットの情報に基づいて、C&Cサーバ20との通信パターンを解析し、当該通信パターンにより対向装置をグループ分けすることにより指令者装置30を抽出し、指令者装置30とC&Cサーバ20との間の接続を断つこととした。これにより、感染装置10が遠隔操作により被害を受けることを迅速に停止することが可能となる。
20 C&Cサーバ
30 指令者装置30
40 通信ネットワーク
100 指令元特定装置
101 パケット情報取得部
102 対象パケット情報抽出部
103 グループ分け処理部
104 指令者装置特定部
105 通信切断処理部
106 パケット情報格納部
107 C&Cサーバ情報格納部
Claims (7)
- 所定のサーバと通信を行う対向装置と当該所定のサーバとの間の通信に係るパケットの情報を取得する取得手段と、
前記取得手段により取得されたパケットの情報に基づき、前記通信が所定の条件に合致するか否かに応じて前記対向装置をグループ分けするグループ分け手段と、
前記グループ分け手段によるグループ分けにより得られたグループのうち、属する装置数が他のグループよりも少ないグループに属する対向装置を、当該対向装置以外の対向装置に対して前記所定のサーバ経由で指令を行う指令者装置の候補であると特定する特定手段と、
を備えることを特徴とする指令元特定装置。 - 前記特定手段は、前記取得手段により取得されたパケットの情報に基づいて、前記候補とされた対向装置が前記所定のサーバにパケットを送信した後に、当該所定のサーバが、前記候補とされた対向装置以外の対向装置にパケットを送信する動作を行うか否かを判定し、当該動作を行う場合に前記候補とされた対向装置を前記指令者装置であると判定する
ことを特徴とする請求項1に記載の指令元特定装置。 - 前記所定の条件は、送信バイト数、送信周期、httpヘッダ、又は、ポート番号に基づく条件である
ことを特徴とする請求項1又は2に記載の指令元特定装置。 - 前記所定のサーバは、C&Cサーバであり、前記候補とされた対向装置以外の対向装置は、マルウェア感染装置である
ことを特徴とする請求項1ないし3のうちいずれか1項に記載の指令元特定装置。 - 前記グループ分け手段は、
対向装置から前記所定のサーバに送信されるパケットのポート番号が特定の値である場合に、もしくは、対向装置から送信されるパケットのバイト数に対し、前記所定のサーバからの応答パケットのバイト数が所定の閾値以上大きい場合に、当該対向装置を前記グループ分けの対象から除外する
ことを特徴とする請求項1ないし4のうちいずれか1項に記載の指令元特定装置。 - 指令元特定装置が実行する指令元特定方法であって、
所定のサーバと通信を行う対向装置と当該所定のサーバとの間の通信に係るパケットの情報を取得する取得ステップと、
前記取得ステップにより取得されたパケットの情報に基づき、前記通信が所定の条件に合致するか否かに応じて前記対向装置をグループ分けするグループ分けステップと、
前記グループ分けステップによるグループ分けにより得られたグループのうち、属する装置数が他のグループよりも少ないグループに属する対向装置を、当該対向装置以外の対向装置に対して前記所定のサーバ経由で指令を行う指令者装置の候補であると特定する特定ステップと、
を備えることを特徴とする指令元特定方法。 - コンピュータを、請求項1ないし5のうちいずれか1項に記載の指令元特定装置の各手段として機能させるための指令元特定プログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2013096603A JP6063340B2 (ja) | 2013-05-01 | 2013-05-01 | 指令元特定装置、指令元特定方法、及び指令元特定プログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2013096603A JP6063340B2 (ja) | 2013-05-01 | 2013-05-01 | 指令元特定装置、指令元特定方法、及び指令元特定プログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2014219741A JP2014219741A (ja) | 2014-11-20 |
JP6063340B2 true JP6063340B2 (ja) | 2017-01-18 |
Family
ID=51938152
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2013096603A Active JP6063340B2 (ja) | 2013-05-01 | 2013-05-01 | 指令元特定装置、指令元特定方法、及び指令元特定プログラム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP6063340B2 (ja) |
Families Citing this family (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2016093182A1 (ja) | 2014-12-09 | 2016-06-16 | 日本電信電話株式会社 | 特定装置、特定方法および特定プログラム |
WO2019222880A1 (zh) | 2018-05-21 | 2019-11-28 | 华为技术有限公司 | 网络设备的配置方法及装置、存储介质 |
Family Cites Families (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP5119059B2 (ja) * | 2008-06-25 | 2013-01-16 | 株式会社Kddi研究所 | 情報処理装置、情報処理システム、プログラム、および記録媒体 |
-
2013
- 2013-05-01 JP JP2013096603A patent/JP6063340B2/ja active Active
Also Published As
Publication number | Publication date |
---|---|
JP2014219741A (ja) | 2014-11-20 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US10104124B2 (en) | Analysis rule adjustment device, analysis rule adjustment system, analysis rule adjustment method, and analysis rule adjustment program | |
US10686814B2 (en) | Network anomaly detection | |
US9860278B2 (en) | Log analyzing device, information processing method, and program | |
CN105099821B (zh) | 基于云的虚拟环境下流量监控的方法和装置 | |
CN108293039B (zh) | 处理网络威胁的计算设备、方法和存储介质 | |
US20170295193A1 (en) | Adaptive anomaly context description | |
KR20140088340A (ko) | 오픈플로우 스위치에서의 디도스 공격 처리 장치 및 방법 | |
JP6502902B2 (ja) | 攻撃検知装置、攻撃検知システムおよび攻撃検知方法 | |
US11546356B2 (en) | Threat information extraction apparatus and threat information extraction system | |
CN103905415A (zh) | 一种防范远控类木马病毒的方法及*** | |
CN111049784B (zh) | 一种网络攻击的检测方法、装置、设备及存储介质 | |
JP2018007179A (ja) | 監視装置、監視方法および監視プログラム | |
WO2020027250A1 (ja) | 感染拡大攻撃検知装置、攻撃元特定方法及びプログラム | |
JP6063340B2 (ja) | 指令元特定装置、指令元特定方法、及び指令元特定プログラム | |
WO2019043804A1 (ja) | ログ分析装置、ログ分析方法及びコンピュータ読み取り可能記録媒体 | |
US11595419B2 (en) | Communication monitoring system, communication monitoring apparatus, and communication monitoring method | |
CN111131180B (zh) | 一种大规模云环境中分布式部署的http协议post拦截方法 | |
CN110381082B (zh) | 基于Mininet的电力通信网络的攻击检测方法和装置 | |
JP5531064B2 (ja) | 通信装置、通信システム、通信方法、および、通信プログラム | |
KR100920528B1 (ko) | Arp 스푸핑 탐지 및 방어 방법 및 그에 따른 시스템 | |
CN116723020A (zh) | 网络服务模拟方法、装置、电子设备及存储介质 | |
KR20150026187A (ko) | 드로퍼 판별을 위한 시스템 및 방법 | |
US9049170B2 (en) | Building filter through utilization of automated generation of regular expression | |
JP2016127391A (ja) | ネットワーク監視システム及び方法 | |
KR102156600B1 (ko) | 네트워크에서 수집된 패킷과 엔드포인트 컴퓨팅 장치의 프로세스 간의 연관관계를 생성하는 시스템 및 방법 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20160122 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20161122 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20161216 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6063340 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |