特許ウォッチ

公開番号2025164063
公報種別公開特許公報(A)
公開日2025-10-30
出願番号2024067801
出願日2024-04-18
発明の名称情報処理装置およびボットネット分析方法
出願人NTT株式会社
代理人弁理士法人酒井国際特許事務所
主分類H04L 12/22 20060101AFI20251023BHJP(電気通信技術)
要約【課題】ボットネットにおける司令塔サーバを高精度に特定し、ボットネットの分類等の詳細な分析を行う。
【解決手段】情報処理装置10は、ダークネットで観測されるパケットを分析することにより、ボットネットを構成するボットを検知する。そして、情報処理装置10は、検知したボットから送信されたパケットに基づき、当該ボットをボットの種類ごとに分類し、分類したボットの共通する通信先を当該ボットの司令塔サーバとして特定する。
【選択図】図2
特許請求の範囲【請求項１】
ダークネットで観測されるパケットを分析することにより、ボットネットを構成するボットを検知するボット検知部と、
検知された前記ボットから送信されたパケットに基づき、当該ボットをボットの種類ごとに分類した分類結果を示す情報を出力するボット分類部と、
ネットワークフローデータにおける、分類された前記ボットの共通する通信先を前記ボットの司令塔サーバとして特定し、特定した司令塔サーバの情報を出力するサーバ特定部と、
を備えることを特徴とする情報処理装置。
続きを表示（約 530 文字）【請求項２】
前記ボット検知部は、
前記ダークネットで観測されるパケットのうち、スキャンツールで生成されたパケットおよびデータ収集機関から送信されたパケットを除外したパケットを、前記ボットから送信されたパケットとして検知する
ことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記司令塔サーバの情報に、当該司令塔サーバの配下のボットおよび前記配下のボットの種類を示す情報を付加する情報付加部をさらに備える
ことを特徴とする請求項１に記載の情報処理装置。
【請求項４】
情報処理装置により実行されるボットネット分析方法であって、
ダークネットで観測されるパケットを分析することにより、ボットネットを構成するボットを検知する工程と、
検知された前記ボットから送信されたパケットに基づき、当該ボットをボットの種類ごとに分類した分類結果を示す情報を出力する工程と、
ネットワークフローデータにおける、分類された前記ボットの共通する通信先を前記ボットの司令塔サーバとして特定し、特定した司令塔サーバの情報を出力する工程と、
を含むことを特徴とするボットネット分析方法。

発明の詳細な説明【技術分野】
【０００１】
本発明は、ボットネットの分析技術に関する。
続きを表示（約 1,200 文字）【背景技術】
【０００２】
従来、脆弱なホストをボットとして司令塔サーバの制御下に置き、司令塔サーバから命令を行うことで攻撃やボットネット（上記のボットにより構成されるネットワーク）の拡大を行うことが行われている。
【０００３】
上記のボットの検知手法として、ネットワークフローデータの通信関係を分析する手法がある。また、司令塔サーバを検知する手法として、ネットワークフローデータの通信関係を分析する手法、マルウェアを静的解析・動的解析する手法等がある。
【０００４】
ボットネットを特定することで、例えば、司令塔サーバの通信遮断、ボットとなっているホストの管理者への通知等の対策、攻撃分析を行うことができる。
【先行技術文献】
【特許文献】
【０００５】
特許第７２１５５７１号公報
【非特許文献】
【０００６】
Bo Hu, Kazunori Kamiya, Kenji Takahashi, Akihiro Nakao, "Piper: A Unified Machine Learning Pipeline for Internet-scale Traffic Analysis," 2020 IEEE Global Communications Conference
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかし、ネットワークフローデータにより司令塔サーバを特定する技術は、精度が不十分である。また、従来技術はいずれも、ボットネットがどのような攻撃を行うものかを特定することは困難であるため、対策やその後の分析が難しいという問題があった。
【０００８】
そこで、本発明は、前記した問題を解決し、ボットネットの司令塔サーバを高精度に特定し、ボットネットの分類等の詳細な分析を行うことを課題とする。
【課題を解決するための手段】
【０００９】
前記した課題を解決するため、本発明は、ダークネットで観測されるパケットを分析することにより、ボットネットを構成するボットを検知するボット検知部と、検知された前記ボットから送信されたパケットに基づき、当該ボットをボットの種類ごとに分類した分類結果を示す情報を出力するボット分類部と、ネットワークフローデータにおける、分類された前記ボットの共通する通信先を前記ボットの司令塔サーバとして特定し、特定した司令塔サーバの情報を出力するサーバ特定部と、を備えることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、ボットネットの司令塔サーバを高精度に特定し、ボットネットの分類等の詳細な分析を行うことできる。
【図面の簡単な説明】
（【００１１】以降は省略されています）

関連特許