[3Win5] ポスターセッション3

[3Win5-96] レスポンスを考慮した VPC フローログによる IoT デバイスの異常通信検知に関する検討

〇飯澤 優太朗¹、奥井 宣広²、秋元 裕介¹、福嶋 昌太郎¹、窪田 歩²、吉田 琢也³ (1.株式会社 ARISE analytics、2.株式会社KDDI総合研究所、3.トヨタ自動車株式会社)

キーワード：異常検知、サイバーセキュリティ、IoT

IoTデバイスへのサイバー攻撃の対策技術として，IPFIX 等のフローデータを対象とした異常通信検知に関する研究が行われている．稼働中のシステムで IPFIX や PCAP 等の通信データを取得するにはソフトウェアの追加が必要となり，サービスへの影響の観点から取得が困難な場合がある．AWS等のクラウドサービスには VPC Flow Logs等のフローログを取得する機能があり，サービスへの影響を抑えてデータを取得することができる．しかし、これらのフローログは単方向のパケット数やバイト数のみの情報を保持し，セッション情報が複数のレコードに分割されるなどフローデータより扱いが難しい．先行研究では，VPC Flow Logsを用いた異常通信検知の精度向上を目的として，VPC Flow Logsに対して適切なセッション単位のレコードの結合と双方向化されたデータに変換する手法が提案された．しかし，この手法はリクエストに対するレスポンスの有無を考慮しておらず，レスポンスの有無によって検知精度が変化する可能性がある．本研究では，レスポンスの有無を考慮したセッション単位化・双方向化の手法を提案する．