ワーム感染ホスト特定処理における最適値設定方法および最適値設定システム
【課題】新規に出現したワームに対するパッチやワクチンが開発されるまでの間、アクティブな感染ホスト数の全脆弱ホスト数に対する比率が事前に定めた上限値以下となるように、測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を設計する。
【解決手段】フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定し、規制するワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適値に設定するワーム感染ホスト特定処理における最適値設定方法であって、全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、前記ワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定する。
【解決手段】フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定し、規制するワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適値に設定するワーム感染ホスト特定処理における最適値設定方法であって、全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、前記ワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ワーム感染ホスト特定処理における最適値設定方法および最適値設定システムに係り、特に、フロー計測から得られたデータを用いて、ワームに感染したホストを特定し、規制する処理に関する。
【背景技術】
【０００２】
近年インターネットでは、ワームの感染拡大が問題となっている。ワームに感染したホストは次に感染させる脆弱なホストを探すため、ランダムやシーケンシャルに生成したアドレスに対してスキャンのためのパケットを送付する。
中でも、Bandwidth limited型と呼ばれるワームに感染したホストは、使用可能なネットワークの伝送帯域とホストのＣＰＵ能力を最大限用いてスキャンを行うため、感染が爆発的に拡大する特徴がある。例えば、代表的なBandwidth limited型のワームであるSlammerの場合、感染ホストは平均で4000回ものスキャンを１秒間に行い、わずか１０分程度でネットワーク全体に感染が拡大したことが報告されている。
これまでの新種のワームの出現に対しては、ＯＳやアプリケーションソフトの脆弱性を修復するためのパッチや、感染プログラムを除去するためのワクチンプログラムを開発し、一般利用者に配布するとこで対策がとられてきた。
しかし、Bandwidth limited型といった感染レートの高いワームは、パッチやワクチンが開発されるまでにネットワークの大部分に感染が拡大するために、このような対策だけでは十分でない。
Bandwidth limited型のような感染レートの高いワームに対しては、ワームの出現を可能な限り早期に検知し、自動的にワーム感染ホストを特定し、感染ホストのパケット送出レート規制等によりワームの感染が拡大する速度を抑え、パッチやワクチンが開発されるまでの時間を稼ぐことが重要となる。
【０００３】
ワームの出現を検知する手法としては、トラヒック量の変化から検知するもの、無効アドレス空間にパケットを送出したホストの発生間隔の変化から検知するもの、スキャン数の増加傾向から検知するものなどが提案されている。
一方、ワーム感染ホストを特定する手法として、以前、本発明者らは、短時間に大量のフローを生成するホストをSuperspreaderとして特定する方法を提案した。以後、本方式をSuperspreader特定法と表記する。
本方式は、長さがφ秒の任意の測定期間Φ内に測定ポイントで観測されたフロー数ｍが明示的に定めた閾値ｍ＊以上のホストをSuperspreaderと定義し、ｍ＝ｍ＊のホストが特定される確率Η＊を明示的に与える。本方式を用いることで、限られたメモリを最大限に活用してSuperspreaderを高精度に特定することが可能となる。
Superspreaderにはワーム感染ホストに加え、ＤＮＳサーバといった正常なホストで大量のフローを生成するホストも含まれる。ＤＮＳサーバといった正常なホストで大量のフローを生成するホストは、連続した複数の測定期間でSuperspreaderとなる傾向がある。そこで、本発明者らは、正常期間中には特定されたホストのＩＰアドレスをホワイトリスト（ＷＬ）に収容し、ワーム出現検知後は、特定されたホストをホワイトリスト（ＷＬ）と照合することで、ワーム感染ホストを絞り込む方法を提案した。以後、Superspreader特定法とホワイトリスト（ＷＬ）を用いた感染ホスト法絞込み法を組合せて用いる方法を、ワーム感染ホスト特定法と表記する。
【０００４】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【非特許文献１】N.Kamiyama,T.Mori,and R.Kawahara,“Simple and Adaptive Identification of Superspreaders by Flow Sampling,”INFOCOM 2007 Minisymposium.
【非特許文献２】上山，森，川原，原田，吉野，“ホワイトリストを用いたワーム感染ホスト特定法，”信学技報IN,2007-6.
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ワーム感染ホスト特定法をアクセスルータ等に実装することにより、ワーム感染ホストを高精度でリアルタイムに特定することが可能となる。特定されたホストに対してフローやパケットの送出レートを規制することにより、ワーム感染が拡大する速度を抑えることができる。そのため、Bandwidth limited型のワームに対してパッチやワクチンの開発に要する時間を稼ぐことが期待できる。
しかし、三つのパラメタφ，ｍ＊，Η＊をどのように設計するかが問題である。一般に、未知のワームのスキャンレートを事前に予測することはできず、また測定周期は実装コストや特定精度に影響を与えることから、これらパラメタを事前に適切に設定することは容易でない。
ところで、ワーム感染ホストのスキャンによって生じる異常トラヒックの総量を抑え、ワームの感染が拡大する速度を抑えるためには、アクティブな（未特定の）感染ホスト数を抑えることが重要である。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、ワーム感染ホスト特定処理における最適値設定方法および最適値設定システムにおいて、新規に出現したワームに対するパッチやワクチンが開発されるまでの間、アクティブな感染ホスト数の全脆弱ホスト数に対する比率が事前に定めた上限値以下となるように、測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適に設計することが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００６】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定し、規制するワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適値に設定するワーム感染ホスト特定処理における最適値設定方法であって、全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、前記ワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定する。
（２）（１）において、前記設定した測定期間長φに基づき、前記特定閾値η＊に対する制約式から、前記特定閾値η＊を設定する。
（３）（２）において、前記設定した測定期間長φ、および前記設定した特定閾値η＊に基づき、前記特定確率Η＊に対する制約式を満足する値の中で、最小の値を前記特定確率Η＊として設定する。
【発明の効果】
【０００７】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、新規に出現したワームに対するパッチやワクチンが開発されるまでの間、アクティブな感染ホスト数の全脆弱ホスト数に対する比率が事前に定めた上限値以下となるように、測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適に設計することが可能となる。
【発明を実施するための最良の形態】
【０００８】
以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
［Superspreader特定法の概要］
始めに、Superspreader特定法の概要について説明する。
大量フロー生成ホストを特定するには、パケット単位ではなく、フローを単位にサンプリングを行い、ホスト毎に生成フロー数を集計することが有効である。Superspreader特定法では、サンプルフロー数が、特定判断閾値Ｙ以上の大量フロー生成ホストを、Superspreaderとして特定する。
フローを、発着ＩＰアドレス、発着ポート番号が共通のパケットの集合と定義する。そして、長さがφ（ｓ）の任意の測定期間Φを定め、各ホストに対して測定期間Φ内に着目リンクに到着したフロー数をｍとするとき、任意に定めた閾値ｍ＊に対して、ｍ≧ｍ＊のホストを大量フロー生成ホストと定義し、着目リンクにおいて、大量フロー生成ホストを測定期間Φ内で特定することを考える。
【０００９】
今、測定期間Φ内に着目リンクを流れたフロー数がｍのホストに着目する。
測定期間Φ内で着目ホストのｍ本のフローからｄ本のフローがサンプルされる確率ｆｄは、フローサンプルレートｒを用いて、下記（１）式で表される。
【数１】
よって、サンプルフロー数が、Ｙ以上のホストを特定するとき、このホストが特定される確率Ｈは、下記（２）式で得られる。
また、下記（２）式に、ｍ＝ｍ＊を代入することによって得られる、下記（３）式を数値的に解くことによって、ｍ＊とＨ＊が与えられたときに、Ｙかｒの任意の一方を定めたときに対応するもう一方のパラメタを設定することができる。
【００１０】
【数２】
【数３】
【００１１】
［ワーム感染ホスト特定法の概要］
ネットワークの状態として、（１）正常状態、（２）ワーム出現状態、の二つを定義する。
ユーザ自身がワームの感染に気がつかない場合や、気がついてもパッチやワクチンを用いるなどの対処を取らない場合もあり、インターネットには、常時、様々な種類のワームが観測されており、その意味では常にワーム出現状態にあると言える。
ここでは、Slammerといった非常に感染レートが高く、短時間にネットワーク全体に蔓延する可能性の高いワームが新規に出現し、急激に感染ホストが増加している状態をワーム出現状態と定義する。そして、このような被害の大きいワームに対してパッチやワクチンを開発するまでの時間を稼ぐため、自動的にワーム感染ホストを特定し規制を行うことを最終的な目標とする。
前述した方法により、測定期間長φ、大量フロー生成ホストを定義する生成フロー数の閾値ｍ＊、そしてｍ＝ｍ＊のホストが特定される確率Ｈ＊を与え、ネットワークの状態とは無関係に、常時、連続した各測定期間Φの各々において大量フロー生成ホストの特定処理を実施する。
【００１２】
新種のワーム検出後、ワームの解析によりパッチやワクチンが作成されワームに対する根本的な解決が可能になった段階で、再度、ネットワークは正常状態に移行する。
正常状態において特定された大量フロー生成ホストは全てホワイトリスト（ＷＬ）に収容される。
一方、ワーム出現状態の間は、ホワイトリスト（ＷＬ）の更新は行わず、特定された大量フロー生成ホストを直前の正常状態において作成されたホワイトリスト（ＷＬ）と比較し、ホワイトリスト（ＷＬ）に存在しない場合にのみワーム感染ホストと見なしてレート規制等を行う。
ワーム出現状態中に大量フロー生成ホストとして特定されたホストのうち正常なものは、直前の正常状態においても大量フロー生成ホストとして特定されている可能性が高い。一方、ワームに感染したホストは、感染以後、大量フロー生成ホストとなるため、ワームが検知された時点で既に感染しているホストを除きホワイトリスト（ＷＬ）には存在しない。
そのため、ホワイトリスト（ＷＬ）を用いることで、特定された大量フロー生成ホストから、効果的にワーム感染ホストを絞り込むことが可能となる。
【００１３】
［実施例］
図１は、本発明の実施例のワーム感染ホスト特定処理における最適値設定システムの概略構成を示すブロック図である。図１において、１０１は設定条件入力装置、１０２はパラメタ設計装置、１０３はワーム感染ホスト特定装置、１０４はワーム感染ホストリスト、１０５はパケットフィルタ装置である。
設定条件入力装置１０１により設定条件が入力され、パラメタ設計装置１０２によりパラメタが設計される。そして設計されたパラメタを用いてワーム感染ホスト特定装置１０３がワーム感染ホストを特定し、ワーム感染ホストリスト１０４に特定されたホストのＩＤが出力される。本リストに基づき、パケットフィルタ装置１０５がパケットのフィルタリングを実施する。
【００１４】
次に、本発明の実施の形態に係るワーム感染ホスト特定処理における最適値設定方法について、最適パラメタ設計、数値評価をそれぞれ説明する。
［最適パラメタ設計の概要］
新しいワームが活動を開始した後、ある時刻（この時刻をｔ＝０とする）に、このワームの出現が検知され、ワーム感染ホストの検出・規制処理が開始される。このワームに対するパッチやワクチンが開発され、根源的な対応が可能となるまでに要する時間をＴとする。
０≦ｔ≦Ｔにおいて、アクティブなワーム感染ホスト（スキャンによる異常トラヒックの生成源となる）数の上限が、このワームに対して脆弱な全ホスト数Ｎのε倍（εは０＜ε＜１の任意の実数）に抑えられるよう、ワーム感染ホストの特定・規制処理を行うことを目指す。すなわち、時刻ｔにおけるアクティブ感染ホスト数をＩｔとすると、０≦ｔ≦Ｔの任意のｔに対して、Ｉｔ≦εＮを制約条件に考える。
感染ホストのスキャンレートηは、ワームの種別に依存するが、スキャンレートηが低いワームは感染力が弱く、特定・規制処理を行わなくてもパッチやワクチンの開発を十分に行えるだけの時間的余裕がある。スキャンレートηが高いワームは感染力が強く、特定・規制処理が必要となる。
【００１５】
このような観点から、どのようなスキャンレートηを有するワームが出現した場合にも、０≦ｔ≦Ｔにおいて、Ｉｔ≦εＮが満たされるよう、パラメタφ，ｍ＊，Η＊を設計することを考える（η＝ｍ／φであり、ｍ＊に対応するη＊も同時に設計される）。
特定閾値η＊に対して、ｍ＊＝φη＊より定まる整数ｍ＊を用いて特定処理が行われる。すなわち、特定閾値は１／φの粒度で丸め込まれるため、測定周期長φが大きなほど特定されるホストのスキャンレートηにおける粒度が細かくなり、ワーム感性ホストの特定・規制処理の精度が向上する。また、φ，ｍ＊，Η＊以外のパラメタは測定周期ごとに算出されるが、φが大きなほど、パラメタ更新に許容される計算時間の余裕が大きくなる。よって制約条件を満たすφの最大値をφに設定する。
また、システム全体で使用可能なメモリ量Ｂが一定であるため、ホワイトリスト（ＷＬ）のために要するメモリ量Ｂｗｌが小さなほど、Superspreader特定処理に使用できるメモリ量が増加し特定精度が向上する。
特定閾値η＊が大きなほど、特定対象となるホスト数が減少するためメモリ量Ｂｗｌが減少する。さらに、特定閾値η＊が大きなほど特定・規制対象となるホストが少数に限定されることから、正常ホストの誤特定による影響を抑えることができる。
以上のことから、特定閾値η＊は大きなほど望ましい。−方で、特定閾値η＊の増加は、見逃されるホスト数が増加することを意味するため、Ｉｔの増加速度が高まる。よって、やはり制約条件を満たすη＊の最大値をη＊に設定する。
また、Η＊が小さなほど、特定されるホスト数が減少するためメモリ量Ｂｗｌが減少するが、一方、やはり見逃されるホスト数が増加するためＩｔの増加速度が高まる。よって制約条件を満たすΗ＊の最小値をΗ＊に設定する。
【００１６】
［仮定］
（１）着目するワームに感染したホストは、すべて、同一のスキャンレートηでスキャンを行う。ホストの処理能力を最大限、利用してスキャンを行うBandwidth limited型のワームのスキャンレートηが想定されるηの最大値となるが、ηの想定最大値をηｍａｘと表記し、η≦ηｍａｘの任意のスキャンレートηを有するワームを対象とする。
（２）ネットワークの状態として、正常状態とワーム出現状態の二つを考える。ワーム感染ホスト特定法を、双方の状態において常時、適用する。任意のワーム検知方式によってワームの出現がネットワーク全体で検知された際に、正常状態からワーム出現状態に移行する。そして出現したワームに対するパッチやワクチンが開発された段階で、正常状態に復帰する。
（３）ワーム出現状態において特定された感染ホストに対しては、全パケットをフィルタリングする（quarantine）。ワーム検出時点（ｔ＝０）で既に感染しているＩ０個のホストはホワイトリスト（ＷＬ）に収容されているため、以後、感染ホストとしての特定対象には含めない。
【００１７】
（４）時間を、長さがφの測定周期Фで離散化する。ある測定周期内で新たに感染したホストは、次の測定周期の開始点からスキャンを開始する。また、ある測定周期内で特定されたワーム感染ホストは、次の測定周期の開始点から規制される。
（５）ワームの出現が検知された後の最初の測定周期を測定周期０とし、その開始点における感染ホスト数をＩ０とし、以後、制御周期ｋの開始時点における感染ホスト数をＪｋ、さらにアクティブな感染ホスト（未特定でスキャンによる異常トラヒックを生成）数をＩｋとする。Ｋ≡Ｔ／φと定義すると、０≦ｋ≦Ｋの任意のｋに対してＩｋ＜εＮを満たすことを考える。
（６）ワーム感染ホストはランダムに生成したＩＰアドレスに対してスキャンを行う。該当ホストが実際に存在し、かつ着目ワームに対して脆弱であり、かつ未感染である場合にのみ、一つのスキャンに対して感染ホストが一つ増加する。一つのスキャンにおけるホストの感染確率をβとし、ＩＰＶ４を想定すると、β＝（Ｎ−Ｊｋ）／２３２となるが、感染初期ではＪｋがＮと比較して十分に小さいので、β＝Ｎ／２３２と近似する。
【００１８】
流体モデルを用いて、ワーム感染ホストによって生成されるスキャンの異常トラヒックをモデル化する。これは、伝染病の拡大といった感染が拡大する現象をモデル化する際によく用いられる手法であり、感染パターンに地理的依存性のない均一性が成立する場合にはよい近似を与える。必ずしも全てのワームがランダムに生成したアドレスに対してスキャンを行うとは限らないが、ランダムに行う場合には地理的依存性を無視することができ、ワーム感染ホストの拡大についても本モデルでモデル化が可能である。
ワーム感染ホストを特定・規制しない場合、ワーム感染拡大の初期段階における感染ホスト数Ｉｋの離散時間モデルはＩｋ＝（１＋βηφ）Ｉｋ−１で与えられる。
スキャンレートがηのワーム感染ホストが一つの測定周期Φ内で特定される確率をΗ（η）とする。時刻ｋ＝０において特定されたＩ０個のワーム感染ホストはホワイトリスト（ＷＬ）に登録されるため、感染ホスト特定処理期間中は特定されない。よって、Ｉｋは、下記（４）式で表される。
【数４】
この（４）式を解くと、Η（η）≠βηφのとき、Ｉｋは、下記（５）式となり、Η（η）＝βηφのとき、Ｉｋは、下記（６）式となる。
【００１９】
【数５】
【数６】
【００２０】
Superspreader特定方式では、η＊＝ｍ＊／φのホストが、確率Η＊で特定されるよう、フローサンプルレートｒと特定判断閾値Ｙを設計する。Ｙは、１≦Ｙ≦ｍ＊の範囲の整数値をとるが、実装メモリ量から特定精度が最適化するようＹが自動的に設計される。
以下、η≧η＊と、η＜η＊の場合にわけて考える。
［η≧η＊の場合］
（５）、（６）式より、Ｈ（η）が最小値をとるとき、ｋ≧０の任意のｋに対して、Ｉｋは最大となる。Superspreader特定方式は、実装メモリ量とトラヒック量に応じて、η≧η＊のホストの見逃し確率を最小化するように、Ｙとｒを動的に設定する。
Η（η）はＹに依存するが、η≧η＊のときΗ（η）はＹの増加に伴い単調に増加するため、Ｙ＝１の場合に制約式を満たせば、任意のＹに対しても制約式を満たす。よって、Ｙ＝１の場合を考える。
Η（η）は、ｍを下記（７）として、下記（８）式で与えられる。
【００２１】
【数７】
【００２２】
よって、Ｙ＝１のとき、Ｈ（η）＝１−（１−ｒ）ｍとなるが、η＝η＊のホストに対して、Ｈ＝Ｈ＊となるようにパラメタ設計を行うため、１−ｒ＝（１−Ｈ＊）１／ｍ＊である。したがって、下記（９）式が得られる。
【数８】
Η（η）＝βηφのとき、（６）式に（９）式を代入して、下記（１０）式が得られる。
【数９】
よって、ηが最大値ηｍａｘをとるとき、Ｉｋは最大となるので、η＝ηｍａｘの場合のみ考えればよい。
一方、Η（η）≠βηφのとき、（５）式に（９）式を代入して、下記（１１）式が得られる。
但し、ｚ≡βηφ＋（１−Η＊）η／η＊である。Η（η）≠βηφを想定しているので、ｚ≠１であるが、０≦ｚ＜１のとき、ｋの増加に伴いＩｋは減少するため、ｋ＝０のときＩｋは最大値Ｉ０をとる。よって、Ｉ０≦εＮであれば制約条件を満足する。
【００２３】
【数１０】
【００２４】
次に、ｚ＞１の場合について考える。ｆ（η）≡βηφ，ｇ（ｚ）≡（ｚｋ−１）／（ｚ−１）とすると、ｆ（η）はη＝ηｍａｘのとき最大値をとる。次に、ｇ（ｚ）について考える。明らかに、ｇ（ｚ）はｚが最大値をとるときに最大となる。
【００２５】
【数１１】
【００２６】
∂ｚ／∂ηは、（１２）式となるが、０＜Η＊＜１なので、ηの増加に対して、∂ｚ／∂ηは単調に増加する。よって、ｚはηに対して下に凸であり、η＊≦η≦ηｍａｘの範囲において、ｚは、η＝η＊もしくはη＝ηｍａｘにおいて最大値を取りえる。
以上のことから、η＝η＊とη＝ηｍａｘの二つの場合を各々調べればよい。
［η＝η＊における制約式］
Η＊≠βη＊φであり、ｚ＝βη＊φ＋１−Η＊＞１の場合を考えているので、（５）式より、Ｉｋはｋの増加に伴い単調に増加するため、ｋ＝Ｋにおいて制約式を満たせばよい。 （５）式にη＝η＊，Η（η）＝Η＊，ｋ＝Ｋを代入して、下記（１３）式の制約式が得られる。
【００２７】
【数１２】
【００２８】
［η＝ηｍａｘにおける制約式］
η＝ηｍａｘのとき、ηはη＊と比較して十分に大きいので、十分に小さい正の値δを用いて、Η（η）≧１−δと考えることができる。
但し、このとき、（９）式より、Η＊は、下記（１４）式を満たす必要がある。
【００２９】
【数１３】
【００３０】
以後、Ｉｋの上限を与えるΗ（η）＝１−δの場合を考える。βηｍａｘφ＋δ≠１のとき、（５）式に、η＝ηｍａｘとΗ（η）＝１−δを代入して、下記（１５）式が得られる。
【００３１】
【数１４】
【００３２】
Ｉｋは、ｋの増加に対して単調に増加するので、ｋ＝Ｋにおいて、ＩＫ≦εＮを満たすことを考えればよい。よって、φに対する制約式が下記（１６）式で得られる。
【数１５】
【００３３】
一方、βηｍａｘφ＋δ＝１のとき、（６）式に、η＝ηｍａｘと、Η（η）＝１−δを代入して、下記（１７）式が得られる。
【数１６】
やはり、Ｉｋはｋの増加に対して単調に増加するので、ｋ＝ＫにおいてＩＫ≦εＮを満たすことを考えればよい。
Ｋ＝Ｔ／φ＝βηｍａｘＴ／（１−δ）に注意すると、下記（１８）式の制約式が得られる。
【数１７】
（１６）式を、φに関して数値的に解くことにより、与えられたδに対してφの許容最大値を得ることができる。（１８）式を満たすＩ０の最大値をＩ＊０とすると、β＝Ｎ／２３２より、下記（１９）式が得られる。
【００３４】
【数１８】
【００３５】
（１５）式より、Ｉｋはφの増加に対して単調に増加する。Ｉ０＞Ｉ＊０のとき、βηｍａｘφ＋δ≧１の範囲でφを設定すると、η＊やΗ＊の設定値とは無関係に、Ｉｋが許容値εＮを超えるため、βηｍａｘφ＋δ＜１となるように、φを設定する必要がある。
βηｍａｘφ＋δ≧１のとき、感染レートが、η＝ηｍａｘのワームによって、測定周期内で新たに増加する感染ホスト数が、感染ホストの特定・規制により減少する数よりも平均的に大きいが、そのような状況でもＩｋ≦εＮを満たせるＩ０の臨界値がＩ＊０であると解釈することができる。
以上まとめると、φ＊≡（１−δ）／（βηｍａｘ）と定義すると、Ｉ０＞Ｉ＊０のとき、（１６）式を満たすφの最大値をφ＜φ＊の範囲で解き、Ｉ０≦Ｉ＊０のとき、（１６）式を満たすφの最大値をφ＞φ＊の範囲で解くことによりφが設計できる。
【００３６】
［η＜η＊の場合］
η＜η＊のとき、Ｙの増加に伴い特定確率Η（η）は減少する。よって、Ｙが最大値ｍ＊（ただしη＊＝ｍ＊／φ）のとき、Ｉｋは最大となるため、Ｙ＝ｍ＊の場合のみ考えれば十分である。
以下、［η≦（ｍ＊−１）／φ］と、［（ｍ＊−１）／φ＜η＜η＊］の二つの場合に分けて考える。
［η≦（ｍ＊−１）／φの場合］
Ｙ＝ｍ＊のとき、Η（η）は、η＝η＊において不連続な単位ステップ関数に近く、η≦（ｍ＊−１）／φのとき、Η（η）＝０と近似できる。よって、（５）式より、下記（２０）式が得られる。
【数１９】
Ｉｋは、ηの増加に伴い単調に増加するため、η＝（ｍ＊−１）／φについてのみ考えればよい。また、Ｉｋはｋの増加に対しても単調に増加するので、ｋ＝Ｋについてのみ考えればよい。
ｍ＊は整数値のみをとることから、Ｉｋ≦εＮと、（２０）式より、ｍ＊の許容最大値が下記（２１）式で得られる。
【００３７】
【数２０】
【００３８】
［（ｍ＊−１）／φ＜η＜η＊の場合］
便宜上、０＜ρ＜１／φの範囲の値をとるパラメタρを導入すると、η＝（ｍ＊−１）／φ＋ρと表すことができる。近似的に、ワーム感染ホストは一定の間隔１／ηでスキャンを行うと考えると、感染ホストは各測定期間Φ内に（ｍ＊−１）回もしくはｍ＊回のスキャンを行う。
ｍ＊回のスキャンが実施される測定期間がｘ個の連続する測定周期ごとに出現すると考えると、下記（２２）式が成立する。
【００３９】
【数２１】
【００４０】
（２２）式を、ｘについて解くと、ｘ＝１／（φρ）が得られる。よって、着目ホストは、φρの割合の測定周期内で、ｍ＊回のスキャンを、（１−φρ）の割合の測定周期内で（ｍ＊−１）回のスキャンを行うと考えることができる。
着目ホストは、ｍ＊回のスキャンを行った測定周期内で、確率Η＊で特定され、（ｍ＊−１）回のスキャンを行った測定周期内では全く特定されない。よって、長い時間で見たときの特定確率は、Η（η）＝φρΗ＊となる。
（５）式に、η＝（ｍ＊−１）／φ＋ρ、Η（η）＝φρΗ＊を代入すると、下記（２３）式が得られる。
【００４１】
【数２２】
【００４２】
但し、Ｘ≡１−Η（η）＋βηφ＝１＋β（ｍ＊−１）＋（β−Η＊）φρである。
Ｘ＞１なので、Ｉｋはｋの増加に伴い単調に増加する。よってｋ＝Ｋの場合のみを考える。ｋ＝Ｋのとき、下記（２４）式が得られ、（２４）式を、ρについて偏微分すると、下記（２５）式が得られる。
【００４３】
【数２３】
【数２４】
【００４４】
よって、β≧Η＊のとき、０＜ρ＜１／φの範囲の任意のρに対して、∂ＩＫ／∂ρ＞０となり、ρ→１／φのときＩＫは最大となる。
一方、β＜Η＊のとき、∂ＩＫ／∂ρは、ρの増加に対して単調に減少するが、∂ＩＫ／∂ρ＝０を満たすρの解は、下記（２６）式となるため、０＜ρ＜１／φの範囲の任意のρに対しては、∂ＩＫ／∂ρ＜０となる。よって、ρ→０のときＩＫは最大となる。
以上のことから、ρ＝０とρ＝１／φについて調べれば十分であるが、ρ＝０はη＝（ｍ＊−１）／φに相当し既に調べた。またρ＝１／φはη＝η＊に相当し、やはり既に調べた。
【００４５】
【数２５】
【００４６】
以上の考察から、ηｍａｘ以下の任意のスキャンレートηを有するワームの出現が検出された時刻（ｋ＝０）の感染ホスト数がＩ０であり、このワームに対するパッチやワクチンの生成に要する時間がＴであるとき、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）を許容値ε以下に抑えるためには、以下の手順でφ，ｍ＊，Η＊の三パラメタを設計すればよい。
（１）φの設定
Ｉ０＞Ｉ＊０のとき、φ＜φ＊の範囲で、Ｉ０≦Ｉ＊０のとき、φ＞φ＊の範囲で、（１６）式を満たすφの最大値をφに設定
（２）ｍ＊の設定
φの設定値を、（２１）式に代入して、ｍ＊を設定（また、η＊＝ｍ＊／φに設定）
（３）Η＊の設定
φとη＊の設定値を、（１３）式と（１４）式に代入して得られる不等式を満たすΗ＊の最小値をΗ＊に設定
【００４７】
［パラメタ設計例］
以下、具体的なパラメタ設計例を示し、どのように三つのパラメタが設計されるかについて考察する。
Slammerのスキャンレートが約４０００／秒、脆弱な総ホスト数が約７５０００台であるとして、ηｍａｘ＝４０００、Ｎ＝１０５とした。また、パッチやワクチンの開発に要する時間をＴ＝８６４００秒（２４時間）とし、アクティブ感染ホスト数比率の許容値をε＝０.１とした。
三つのパラメタを設計するためには、η＝ηｍａｘのホストの特定確率を定めるパラメタδを事前に与える必要がある。そこでまず、δが三つのパラメタの設計値に与える影響を調べる。
図２に、初期感染ホスト数Ｉ０を１０もしくは１００とした場合の各々について、δを変化させたときの三つのパラメタの設計値を示す。ワームの感染レートが、η＝ηｍａｘの場合に感染ホストの増加と規制による減少が釣合うφの値がφ＊＝（１−δ）／（βηｍａｘ）であるが、φの設定値はδの全領域でφ＊に近い。
そのため、δが１に近づくとφは急減するが、δが０．１程度より小さい場合にはほとんど一定となる。また、δの全領域で、δがη＊に与える影響は小さい。
一方、Η＊は、（１４）の制約式によりδの減少に伴い減少するが、δの全領域で小さな値をとるためSuperspreader特定処理にδが与える影響は小さい。
φは大きな方が望ましいためδを０.１程度より小さく設定するのが望ましいが、δ＜０.１の領域ではδの影響は無視できるといえる。そこで以後はδ＝０.０１に設定する。
【００４８】
【００４９】
このことから、できるだけ早期にワームの出現が検知でき、Ｉ０を小さく抑えられるほど、規制対象とすべきワームの感染レートを大きくでき、正常ホストを誤って規制対象とするリスクを抑えることができる。
ところで、Ｉ０がεＮに近い場合、ｍ＊＝１となるが、それ以上、ｍ＊を小さくすることができず、一方でφが急減するため、η＊＝ｍ＊／φであることからη＊は急増する。またＮが大きなほどβが増加するため、ワームの感染速度が増大し、ｍ＊とη＊は減少する。
Η＊を定める２つの制約式のうち（１３）式は、η＝η＊のワームに対する制約条件から導出されたが、η＝η＊−１／φのワームに対してはΗ（η）＝０として制約式を導出しているため、この制約式から定まるΗ＊の下限値もゼロに近くなる。よって、Η＊はほとんど（１４）式の第２の制約式で決まり、η＊と同じ傾向を示す。
【００５０】
【００５１】
図５に、Ｙ＝１もしくはＹ＝７と強制的にＹを設定しワーム感染ホスト特定方式を適用した場合の、アクティブ感染ホスト数Ｉｋの時系列を示す（With I&Q）。ただし、η＝３.５（左図）とη＝１００（右図）とした。比較のため、特定・規制処理を行わない場合（Without I&Q）についても示す。
提案パラメタ設定法を用いることで、Ｙやηの値にかかわらずＩｋを低い値に抑え、０≦ｋ≦Ｋの任意のｋに対してＩｋ≦εＮが満たされている。
また、図６に、特定されたホストも含めた総感染ホスト数Ｊｋの時系列を同様に示す。感染ホストの多くを規制する結果、新たに感染するホスト数を抑えることができ、総感染ホスト数も大幅に抑えられることが確認できる。
以上説明したように、本発明によれば、フロー計測から得られたデータを用いて、ワームに感染したホストを特定し、規制することにより、ワームの感染拡大を抑えるという効果がある。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本
発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００５２】
【図１】本発明の実施例のワーム感染ホスト特定処理における最適値設定システムの概略構成を示すブロック図である。
【図２】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法において、パラメタδが与える影響を示す特性図である。
【図３】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法のパラメタ設計値の一例を示す図である。
【図４】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法の特定曲線と感染ホスト数の時系列を示す図である。
【図５】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法のアクティブ感染ホスト数の時系列を示す図である。
【図６】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法の感染ホスト数の時系列を示す図である。
【符号の説明】
【００５３】
１０１ 設定条件入力装置
１０２ パラメタ設計装置
１０３ ワーム感染ホスト特定装置
１０４ ワーム感染ホストリスト
１０５ パケットフィルタ装置
【技術分野】
【０００１】
本発明は、ワーム感染ホスト特定処理における最適値設定方法および最適値設定システムに係り、特に、フロー計測から得られたデータを用いて、ワームに感染したホストを特定し、規制する処理に関する。
【背景技術】
【０００２】
近年インターネットでは、ワームの感染拡大が問題となっている。ワームに感染したホストは次に感染させる脆弱なホストを探すため、ランダムやシーケンシャルに生成したアドレスに対してスキャンのためのパケットを送付する。
中でも、Bandwidth limited型と呼ばれるワームに感染したホストは、使用可能なネットワークの伝送帯域とホストのＣＰＵ能力を最大限用いてスキャンを行うため、感染が爆発的に拡大する特徴がある。例えば、代表的なBandwidth limited型のワームであるSlammerの場合、感染ホストは平均で4000回ものスキャンを１秒間に行い、わずか１０分程度でネットワーク全体に感染が拡大したことが報告されている。
これまでの新種のワームの出現に対しては、ＯＳやアプリケーションソフトの脆弱性を修復するためのパッチや、感染プログラムを除去するためのワクチンプログラムを開発し、一般利用者に配布するとこで対策がとられてきた。
しかし、Bandwidth limited型といった感染レートの高いワームは、パッチやワクチンが開発されるまでにネットワークの大部分に感染が拡大するために、このような対策だけでは十分でない。
Bandwidth limited型のような感染レートの高いワームに対しては、ワームの出現を可能な限り早期に検知し、自動的にワーム感染ホストを特定し、感染ホストのパケット送出レート規制等によりワームの感染が拡大する速度を抑え、パッチやワクチンが開発されるまでの時間を稼ぐことが重要となる。
【０００３】
ワームの出現を検知する手法としては、トラヒック量の変化から検知するもの、無効アドレス空間にパケットを送出したホストの発生間隔の変化から検知するもの、スキャン数の増加傾向から検知するものなどが提案されている。
一方、ワーム感染ホストを特定する手法として、以前、本発明者らは、短時間に大量のフローを生成するホストをSuperspreaderとして特定する方法を提案した。以後、本方式をSuperspreader特定法と表記する。
本方式は、長さがφ秒の任意の測定期間Φ内に測定ポイントで観測されたフロー数ｍが明示的に定めた閾値ｍ＊以上のホストをSuperspreaderと定義し、ｍ＝ｍ＊のホストが特定される確率Η＊を明示的に与える。本方式を用いることで、限られたメモリを最大限に活用してSuperspreaderを高精度に特定することが可能となる。
Superspreaderにはワーム感染ホストに加え、ＤＮＳサーバといった正常なホストで大量のフローを生成するホストも含まれる。ＤＮＳサーバといった正常なホストで大量のフローを生成するホストは、連続した複数の測定期間でSuperspreaderとなる傾向がある。そこで、本発明者らは、正常期間中には特定されたホストのＩＰアドレスをホワイトリスト（ＷＬ）に収容し、ワーム出現検知後は、特定されたホストをホワイトリスト（ＷＬ）と照合することで、ワーム感染ホストを絞り込む方法を提案した。以後、Superspreader特定法とホワイトリスト（ＷＬ）を用いた感染ホスト法絞込み法を組合せて用いる方法を、ワーム感染ホスト特定法と表記する。
【０００４】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【非特許文献１】N.Kamiyama,T.Mori,and R.Kawahara,“Simple and Adaptive Identification of Superspreaders by Flow Sampling,”INFOCOM 2007 Minisymposium.
【非特許文献２】上山，森，川原，原田，吉野，“ホワイトリストを用いたワーム感染ホスト特定法，”信学技報IN,2007-6.
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ワーム感染ホスト特定法をアクセスルータ等に実装することにより、ワーム感染ホストを高精度でリアルタイムに特定することが可能となる。特定されたホストに対してフローやパケットの送出レートを規制することにより、ワーム感染が拡大する速度を抑えることができる。そのため、Bandwidth limited型のワームに対してパッチやワクチンの開発に要する時間を稼ぐことが期待できる。
しかし、三つのパラメタφ，ｍ＊，Η＊をどのように設計するかが問題である。一般に、未知のワームのスキャンレートを事前に予測することはできず、また測定周期は実装コストや特定精度に影響を与えることから、これらパラメタを事前に適切に設定することは容易でない。
ところで、ワーム感染ホストのスキャンによって生じる異常トラヒックの総量を抑え、ワームの感染が拡大する速度を抑えるためには、アクティブな（未特定の）感染ホスト数を抑えることが重要である。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、ワーム感染ホスト特定処理における最適値設定方法および最適値設定システムにおいて、新規に出現したワームに対するパッチやワクチンが開発されるまでの間、アクティブな感染ホスト数の全脆弱ホスト数に対する比率が事前に定めた上限値以下となるように、測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適に設計することが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００６】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定し、規制するワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適値に設定するワーム感染ホスト特定処理における最適値設定方法であって、全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、前記ワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定する。
（２）（１）において、前記設定した測定期間長φに基づき、前記特定閾値η＊に対する制約式から、前記特定閾値η＊を設定する。
（３）（２）において、前記設定した測定期間長φ、および前記設定した特定閾値η＊に基づき、前記特定確率Η＊に対する制約式を満足する値の中で、最小の値を前記特定確率Η＊として設定する。
【発明の効果】
【０００７】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、新規に出現したワームに対するパッチやワクチンが開発されるまでの間、アクティブな感染ホスト数の全脆弱ホスト数に対する比率が事前に定めた上限値以下となるように、測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適に設計することが可能となる。
【発明を実施するための最良の形態】
【０００８】
以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
［Superspreader特定法の概要］
始めに、Superspreader特定法の概要について説明する。
大量フロー生成ホストを特定するには、パケット単位ではなく、フローを単位にサンプリングを行い、ホスト毎に生成フロー数を集計することが有効である。Superspreader特定法では、サンプルフロー数が、特定判断閾値Ｙ以上の大量フロー生成ホストを、Superspreaderとして特定する。
フローを、発着ＩＰアドレス、発着ポート番号が共通のパケットの集合と定義する。そして、長さがφ（ｓ）の任意の測定期間Φを定め、各ホストに対して測定期間Φ内に着目リンクに到着したフロー数をｍとするとき、任意に定めた閾値ｍ＊に対して、ｍ≧ｍ＊のホストを大量フロー生成ホストと定義し、着目リンクにおいて、大量フロー生成ホストを測定期間Φ内で特定することを考える。
【０００９】
今、測定期間Φ内に着目リンクを流れたフロー数がｍのホストに着目する。
測定期間Φ内で着目ホストのｍ本のフローからｄ本のフローがサンプルされる確率ｆｄは、フローサンプルレートｒを用いて、下記（１）式で表される。
【数１】
よって、サンプルフロー数が、Ｙ以上のホストを特定するとき、このホストが特定される確率Ｈは、下記（２）式で得られる。
また、下記（２）式に、ｍ＝ｍ＊を代入することによって得られる、下記（３）式を数値的に解くことによって、ｍ＊とＨ＊が与えられたときに、Ｙかｒの任意の一方を定めたときに対応するもう一方のパラメタを設定することができる。
【００１０】
【数２】
【数３】
【００１１】
［ワーム感染ホスト特定法の概要］
ネットワークの状態として、（１）正常状態、（２）ワーム出現状態、の二つを定義する。
ユーザ自身がワームの感染に気がつかない場合や、気がついてもパッチやワクチンを用いるなどの対処を取らない場合もあり、インターネットには、常時、様々な種類のワームが観測されており、その意味では常にワーム出現状態にあると言える。
ここでは、Slammerといった非常に感染レートが高く、短時間にネットワーク全体に蔓延する可能性の高いワームが新規に出現し、急激に感染ホストが増加している状態をワーム出現状態と定義する。そして、このような被害の大きいワームに対してパッチやワクチンを開発するまでの時間を稼ぐため、自動的にワーム感染ホストを特定し規制を行うことを最終的な目標とする。
前述した方法により、測定期間長φ、大量フロー生成ホストを定義する生成フロー数の閾値ｍ＊、そしてｍ＝ｍ＊のホストが特定される確率Ｈ＊を与え、ネットワークの状態とは無関係に、常時、連続した各測定期間Φの各々において大量フロー生成ホストの特定処理を実施する。
【００１２】
新種のワーム検出後、ワームの解析によりパッチやワクチンが作成されワームに対する根本的な解決が可能になった段階で、再度、ネットワークは正常状態に移行する。
正常状態において特定された大量フロー生成ホストは全てホワイトリスト（ＷＬ）に収容される。
一方、ワーム出現状態の間は、ホワイトリスト（ＷＬ）の更新は行わず、特定された大量フロー生成ホストを直前の正常状態において作成されたホワイトリスト（ＷＬ）と比較し、ホワイトリスト（ＷＬ）に存在しない場合にのみワーム感染ホストと見なしてレート規制等を行う。
ワーム出現状態中に大量フロー生成ホストとして特定されたホストのうち正常なものは、直前の正常状態においても大量フロー生成ホストとして特定されている可能性が高い。一方、ワームに感染したホストは、感染以後、大量フロー生成ホストとなるため、ワームが検知された時点で既に感染しているホストを除きホワイトリスト（ＷＬ）には存在しない。
そのため、ホワイトリスト（ＷＬ）を用いることで、特定された大量フロー生成ホストから、効果的にワーム感染ホストを絞り込むことが可能となる。
【００１３】
［実施例］
図１は、本発明の実施例のワーム感染ホスト特定処理における最適値設定システムの概略構成を示すブロック図である。図１において、１０１は設定条件入力装置、１０２はパラメタ設計装置、１０３はワーム感染ホスト特定装置、１０４はワーム感染ホストリスト、１０５はパケットフィルタ装置である。
設定条件入力装置１０１により設定条件が入力され、パラメタ設計装置１０２によりパラメタが設計される。そして設計されたパラメタを用いてワーム感染ホスト特定装置１０３がワーム感染ホストを特定し、ワーム感染ホストリスト１０４に特定されたホストのＩＤが出力される。本リストに基づき、パケットフィルタ装置１０５がパケットのフィルタリングを実施する。
【００１４】
次に、本発明の実施の形態に係るワーム感染ホスト特定処理における最適値設定方法について、最適パラメタ設計、数値評価をそれぞれ説明する。
［最適パラメタ設計の概要］
新しいワームが活動を開始した後、ある時刻（この時刻をｔ＝０とする）に、このワームの出現が検知され、ワーム感染ホストの検出・規制処理が開始される。このワームに対するパッチやワクチンが開発され、根源的な対応が可能となるまでに要する時間をＴとする。
０≦ｔ≦Ｔにおいて、アクティブなワーム感染ホスト（スキャンによる異常トラヒックの生成源となる）数の上限が、このワームに対して脆弱な全ホスト数Ｎのε倍（εは０＜ε＜１の任意の実数）に抑えられるよう、ワーム感染ホストの特定・規制処理を行うことを目指す。すなわち、時刻ｔにおけるアクティブ感染ホスト数をＩｔとすると、０≦ｔ≦Ｔの任意のｔに対して、Ｉｔ≦εＮを制約条件に考える。
感染ホストのスキャンレートηは、ワームの種別に依存するが、スキャンレートηが低いワームは感染力が弱く、特定・規制処理を行わなくてもパッチやワクチンの開発を十分に行えるだけの時間的余裕がある。スキャンレートηが高いワームは感染力が強く、特定・規制処理が必要となる。
【００１５】
このような観点から、どのようなスキャンレートηを有するワームが出現した場合にも、０≦ｔ≦Ｔにおいて、Ｉｔ≦εＮが満たされるよう、パラメタφ，ｍ＊，Η＊を設計することを考える（η＝ｍ／φであり、ｍ＊に対応するη＊も同時に設計される）。
特定閾値η＊に対して、ｍ＊＝φη＊より定まる整数ｍ＊を用いて特定処理が行われる。すなわち、特定閾値は１／φの粒度で丸め込まれるため、測定周期長φが大きなほど特定されるホストのスキャンレートηにおける粒度が細かくなり、ワーム感性ホストの特定・規制処理の精度が向上する。また、φ，ｍ＊，Η＊以外のパラメタは測定周期ごとに算出されるが、φが大きなほど、パラメタ更新に許容される計算時間の余裕が大きくなる。よって制約条件を満たすφの最大値をφに設定する。
また、システム全体で使用可能なメモリ量Ｂが一定であるため、ホワイトリスト（ＷＬ）のために要するメモリ量Ｂｗｌが小さなほど、Superspreader特定処理に使用できるメモリ量が増加し特定精度が向上する。
特定閾値η＊が大きなほど、特定対象となるホスト数が減少するためメモリ量Ｂｗｌが減少する。さらに、特定閾値η＊が大きなほど特定・規制対象となるホストが少数に限定されることから、正常ホストの誤特定による影響を抑えることができる。
以上のことから、特定閾値η＊は大きなほど望ましい。−方で、特定閾値η＊の増加は、見逃されるホスト数が増加することを意味するため、Ｉｔの増加速度が高まる。よって、やはり制約条件を満たすη＊の最大値をη＊に設定する。
また、Η＊が小さなほど、特定されるホスト数が減少するためメモリ量Ｂｗｌが減少するが、一方、やはり見逃されるホスト数が増加するためＩｔの増加速度が高まる。よって制約条件を満たすΗ＊の最小値をΗ＊に設定する。
【００１６】
［仮定］
（１）着目するワームに感染したホストは、すべて、同一のスキャンレートηでスキャンを行う。ホストの処理能力を最大限、利用してスキャンを行うBandwidth limited型のワームのスキャンレートηが想定されるηの最大値となるが、ηの想定最大値をηｍａｘと表記し、η≦ηｍａｘの任意のスキャンレートηを有するワームを対象とする。
（２）ネットワークの状態として、正常状態とワーム出現状態の二つを考える。ワーム感染ホスト特定法を、双方の状態において常時、適用する。任意のワーム検知方式によってワームの出現がネットワーク全体で検知された際に、正常状態からワーム出現状態に移行する。そして出現したワームに対するパッチやワクチンが開発された段階で、正常状態に復帰する。
（３）ワーム出現状態において特定された感染ホストに対しては、全パケットをフィルタリングする（quarantine）。ワーム検出時点（ｔ＝０）で既に感染しているＩ０個のホストはホワイトリスト（ＷＬ）に収容されているため、以後、感染ホストとしての特定対象には含めない。
【００１７】
（４）時間を、長さがφの測定周期Фで離散化する。ある測定周期内で新たに感染したホストは、次の測定周期の開始点からスキャンを開始する。また、ある測定周期内で特定されたワーム感染ホストは、次の測定周期の開始点から規制される。
（５）ワームの出現が検知された後の最初の測定周期を測定周期０とし、その開始点における感染ホスト数をＩ０とし、以後、制御周期ｋの開始時点における感染ホスト数をＪｋ、さらにアクティブな感染ホスト（未特定でスキャンによる異常トラヒックを生成）数をＩｋとする。Ｋ≡Ｔ／φと定義すると、０≦ｋ≦Ｋの任意のｋに対してＩｋ＜εＮを満たすことを考える。
（６）ワーム感染ホストはランダムに生成したＩＰアドレスに対してスキャンを行う。該当ホストが実際に存在し、かつ着目ワームに対して脆弱であり、かつ未感染である場合にのみ、一つのスキャンに対して感染ホストが一つ増加する。一つのスキャンにおけるホストの感染確率をβとし、ＩＰＶ４を想定すると、β＝（Ｎ−Ｊｋ）／２３２となるが、感染初期ではＪｋがＮと比較して十分に小さいので、β＝Ｎ／２３２と近似する。
【００１８】
流体モデルを用いて、ワーム感染ホストによって生成されるスキャンの異常トラヒックをモデル化する。これは、伝染病の拡大といった感染が拡大する現象をモデル化する際によく用いられる手法であり、感染パターンに地理的依存性のない均一性が成立する場合にはよい近似を与える。必ずしも全てのワームがランダムに生成したアドレスに対してスキャンを行うとは限らないが、ランダムに行う場合には地理的依存性を無視することができ、ワーム感染ホストの拡大についても本モデルでモデル化が可能である。
ワーム感染ホストを特定・規制しない場合、ワーム感染拡大の初期段階における感染ホスト数Ｉｋの離散時間モデルはＩｋ＝（１＋βηφ）Ｉｋ−１で与えられる。
スキャンレートがηのワーム感染ホストが一つの測定周期Φ内で特定される確率をΗ（η）とする。時刻ｋ＝０において特定されたＩ０個のワーム感染ホストはホワイトリスト（ＷＬ）に登録されるため、感染ホスト特定処理期間中は特定されない。よって、Ｉｋは、下記（４）式で表される。
【数４】
この（４）式を解くと、Η（η）≠βηφのとき、Ｉｋは、下記（５）式となり、Η（η）＝βηφのとき、Ｉｋは、下記（６）式となる。
【００１９】
【数５】
【数６】
【００２０】
Superspreader特定方式では、η＊＝ｍ＊／φのホストが、確率Η＊で特定されるよう、フローサンプルレートｒと特定判断閾値Ｙを設計する。Ｙは、１≦Ｙ≦ｍ＊の範囲の整数値をとるが、実装メモリ量から特定精度が最適化するようＹが自動的に設計される。
以下、η≧η＊と、η＜η＊の場合にわけて考える。
［η≧η＊の場合］
（５）、（６）式より、Ｈ（η）が最小値をとるとき、ｋ≧０の任意のｋに対して、Ｉｋは最大となる。Superspreader特定方式は、実装メモリ量とトラヒック量に応じて、η≧η＊のホストの見逃し確率を最小化するように、Ｙとｒを動的に設定する。
Η（η）はＹに依存するが、η≧η＊のときΗ（η）はＹの増加に伴い単調に増加するため、Ｙ＝１の場合に制約式を満たせば、任意のＹに対しても制約式を満たす。よって、Ｙ＝１の場合を考える。
Η（η）は、ｍを下記（７）として、下記（８）式で与えられる。
【００２１】
【数７】
【００２２】
よって、Ｙ＝１のとき、Ｈ（η）＝１−（１−ｒ）ｍとなるが、η＝η＊のホストに対して、Ｈ＝Ｈ＊となるようにパラメタ設計を行うため、１−ｒ＝（１−Ｈ＊）１／ｍ＊である。したがって、下記（９）式が得られる。
【数８】
Η（η）＝βηφのとき、（６）式に（９）式を代入して、下記（１０）式が得られる。
【数９】
よって、ηが最大値ηｍａｘをとるとき、Ｉｋは最大となるので、η＝ηｍａｘの場合のみ考えればよい。
一方、Η（η）≠βηφのとき、（５）式に（９）式を代入して、下記（１１）式が得られる。
但し、ｚ≡βηφ＋（１−Η＊）η／η＊である。Η（η）≠βηφを想定しているので、ｚ≠１であるが、０≦ｚ＜１のとき、ｋの増加に伴いＩｋは減少するため、ｋ＝０のときＩｋは最大値Ｉ０をとる。よって、Ｉ０≦εＮであれば制約条件を満足する。
【００２３】
【数１０】
【００２４】
次に、ｚ＞１の場合について考える。ｆ（η）≡βηφ，ｇ（ｚ）≡（ｚｋ−１）／（ｚ−１）とすると、ｆ（η）はη＝ηｍａｘのとき最大値をとる。次に、ｇ（ｚ）について考える。明らかに、ｇ（ｚ）はｚが最大値をとるときに最大となる。
【００２５】
【数１１】
【００２６】
∂ｚ／∂ηは、（１２）式となるが、０＜Η＊＜１なので、ηの増加に対して、∂ｚ／∂ηは単調に増加する。よって、ｚはηに対して下に凸であり、η＊≦η≦ηｍａｘの範囲において、ｚは、η＝η＊もしくはη＝ηｍａｘにおいて最大値を取りえる。
以上のことから、η＝η＊とη＝ηｍａｘの二つの場合を各々調べればよい。
［η＝η＊における制約式］
Η＊≠βη＊φであり、ｚ＝βη＊φ＋１−Η＊＞１の場合を考えているので、（５）式より、Ｉｋはｋの増加に伴い単調に増加するため、ｋ＝Ｋにおいて制約式を満たせばよい。 （５）式にη＝η＊，Η（η）＝Η＊，ｋ＝Ｋを代入して、下記（１３）式の制約式が得られる。
【００２７】
【数１２】
【００２８】
［η＝ηｍａｘにおける制約式］
η＝ηｍａｘのとき、ηはη＊と比較して十分に大きいので、十分に小さい正の値δを用いて、Η（η）≧１−δと考えることができる。
但し、このとき、（９）式より、Η＊は、下記（１４）式を満たす必要がある。
【００２９】
【数１３】
【００３０】
以後、Ｉｋの上限を与えるΗ（η）＝１−δの場合を考える。βηｍａｘφ＋δ≠１のとき、（５）式に、η＝ηｍａｘとΗ（η）＝１−δを代入して、下記（１５）式が得られる。
【００３１】
【数１４】
【００３２】
Ｉｋは、ｋの増加に対して単調に増加するので、ｋ＝Ｋにおいて、ＩＫ≦εＮを満たすことを考えればよい。よって、φに対する制約式が下記（１６）式で得られる。
【数１５】
【００３３】
一方、βηｍａｘφ＋δ＝１のとき、（６）式に、η＝ηｍａｘと、Η（η）＝１−δを代入して、下記（１７）式が得られる。
【数１６】
やはり、Ｉｋはｋの増加に対して単調に増加するので、ｋ＝ＫにおいてＩＫ≦εＮを満たすことを考えればよい。
Ｋ＝Ｔ／φ＝βηｍａｘＴ／（１−δ）に注意すると、下記（１８）式の制約式が得られる。
【数１７】
（１６）式を、φに関して数値的に解くことにより、与えられたδに対してφの許容最大値を得ることができる。（１８）式を満たすＩ０の最大値をＩ＊０とすると、β＝Ｎ／２３２より、下記（１９）式が得られる。
【００３４】
【数１８】
【００３５】
（１５）式より、Ｉｋはφの増加に対して単調に増加する。Ｉ０＞Ｉ＊０のとき、βηｍａｘφ＋δ≧１の範囲でφを設定すると、η＊やΗ＊の設定値とは無関係に、Ｉｋが許容値εＮを超えるため、βηｍａｘφ＋δ＜１となるように、φを設定する必要がある。
βηｍａｘφ＋δ≧１のとき、感染レートが、η＝ηｍａｘのワームによって、測定周期内で新たに増加する感染ホスト数が、感染ホストの特定・規制により減少する数よりも平均的に大きいが、そのような状況でもＩｋ≦εＮを満たせるＩ０の臨界値がＩ＊０であると解釈することができる。
以上まとめると、φ＊≡（１−δ）／（βηｍａｘ）と定義すると、Ｉ０＞Ｉ＊０のとき、（１６）式を満たすφの最大値をφ＜φ＊の範囲で解き、Ｉ０≦Ｉ＊０のとき、（１６）式を満たすφの最大値をφ＞φ＊の範囲で解くことによりφが設計できる。
【００３６】
［η＜η＊の場合］
η＜η＊のとき、Ｙの増加に伴い特定確率Η（η）は減少する。よって、Ｙが最大値ｍ＊（ただしη＊＝ｍ＊／φ）のとき、Ｉｋは最大となるため、Ｙ＝ｍ＊の場合のみ考えれば十分である。
以下、［η≦（ｍ＊−１）／φ］と、［（ｍ＊−１）／φ＜η＜η＊］の二つの場合に分けて考える。
［η≦（ｍ＊−１）／φの場合］
Ｙ＝ｍ＊のとき、Η（η）は、η＝η＊において不連続な単位ステップ関数に近く、η≦（ｍ＊−１）／φのとき、Η（η）＝０と近似できる。よって、（５）式より、下記（２０）式が得られる。
【数１９】
Ｉｋは、ηの増加に伴い単調に増加するため、η＝（ｍ＊−１）／φについてのみ考えればよい。また、Ｉｋはｋの増加に対しても単調に増加するので、ｋ＝Ｋについてのみ考えればよい。
ｍ＊は整数値のみをとることから、Ｉｋ≦εＮと、（２０）式より、ｍ＊の許容最大値が下記（２１）式で得られる。
【００３７】
【数２０】
【００３８】
［（ｍ＊−１）／φ＜η＜η＊の場合］
便宜上、０＜ρ＜１／φの範囲の値をとるパラメタρを導入すると、η＝（ｍ＊−１）／φ＋ρと表すことができる。近似的に、ワーム感染ホストは一定の間隔１／ηでスキャンを行うと考えると、感染ホストは各測定期間Φ内に（ｍ＊−１）回もしくはｍ＊回のスキャンを行う。
ｍ＊回のスキャンが実施される測定期間がｘ個の連続する測定周期ごとに出現すると考えると、下記（２２）式が成立する。
【００３９】
【数２１】
【００４０】
（２２）式を、ｘについて解くと、ｘ＝１／（φρ）が得られる。よって、着目ホストは、φρの割合の測定周期内で、ｍ＊回のスキャンを、（１−φρ）の割合の測定周期内で（ｍ＊−１）回のスキャンを行うと考えることができる。
着目ホストは、ｍ＊回のスキャンを行った測定周期内で、確率Η＊で特定され、（ｍ＊−１）回のスキャンを行った測定周期内では全く特定されない。よって、長い時間で見たときの特定確率は、Η（η）＝φρΗ＊となる。
（５）式に、η＝（ｍ＊−１）／φ＋ρ、Η（η）＝φρΗ＊を代入すると、下記（２３）式が得られる。
【００４１】
【数２２】
【００４２】
但し、Ｘ≡１−Η（η）＋βηφ＝１＋β（ｍ＊−１）＋（β−Η＊）φρである。
Ｘ＞１なので、Ｉｋはｋの増加に伴い単調に増加する。よってｋ＝Ｋの場合のみを考える。ｋ＝Ｋのとき、下記（２４）式が得られ、（２４）式を、ρについて偏微分すると、下記（２５）式が得られる。
【００４３】
【数２３】
【数２４】
【００４４】
よって、β≧Η＊のとき、０＜ρ＜１／φの範囲の任意のρに対して、∂ＩＫ／∂ρ＞０となり、ρ→１／φのときＩＫは最大となる。
一方、β＜Η＊のとき、∂ＩＫ／∂ρは、ρの増加に対して単調に減少するが、∂ＩＫ／∂ρ＝０を満たすρの解は、下記（２６）式となるため、０＜ρ＜１／φの範囲の任意のρに対しては、∂ＩＫ／∂ρ＜０となる。よって、ρ→０のときＩＫは最大となる。
以上のことから、ρ＝０とρ＝１／φについて調べれば十分であるが、ρ＝０はη＝（ｍ＊−１）／φに相当し既に調べた。またρ＝１／φはη＝η＊に相当し、やはり既に調べた。
【００４５】
【数２５】
【００４６】
以上の考察から、ηｍａｘ以下の任意のスキャンレートηを有するワームの出現が検出された時刻（ｋ＝０）の感染ホスト数がＩ０であり、このワームに対するパッチやワクチンの生成に要する時間がＴであるとき、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）を許容値ε以下に抑えるためには、以下の手順でφ，ｍ＊，Η＊の三パラメタを設計すればよい。
（１）φの設定
Ｉ０＞Ｉ＊０のとき、φ＜φ＊の範囲で、Ｉ０≦Ｉ＊０のとき、φ＞φ＊の範囲で、（１６）式を満たすφの最大値をφに設定
（２）ｍ＊の設定
φの設定値を、（２１）式に代入して、ｍ＊を設定（また、η＊＝ｍ＊／φに設定）
（３）Η＊の設定
φとη＊の設定値を、（１３）式と（１４）式に代入して得られる不等式を満たすΗ＊の最小値をΗ＊に設定
【００４７】
［パラメタ設計例］
以下、具体的なパラメタ設計例を示し、どのように三つのパラメタが設計されるかについて考察する。
Slammerのスキャンレートが約４０００／秒、脆弱な総ホスト数が約７５０００台であるとして、ηｍａｘ＝４０００、Ｎ＝１０５とした。また、パッチやワクチンの開発に要する時間をＴ＝８６４００秒（２４時間）とし、アクティブ感染ホスト数比率の許容値をε＝０.１とした。
三つのパラメタを設計するためには、η＝ηｍａｘのホストの特定確率を定めるパラメタδを事前に与える必要がある。そこでまず、δが三つのパラメタの設計値に与える影響を調べる。
図２に、初期感染ホスト数Ｉ０を１０もしくは１００とした場合の各々について、δを変化させたときの三つのパラメタの設計値を示す。ワームの感染レートが、η＝ηｍａｘの場合に感染ホストの増加と規制による減少が釣合うφの値がφ＊＝（１−δ）／（βηｍａｘ）であるが、φの設定値はδの全領域でφ＊に近い。
そのため、δが１に近づくとφは急減するが、δが０．１程度より小さい場合にはほとんど一定となる。また、δの全領域で、δがη＊に与える影響は小さい。
一方、Η＊は、（１４）の制約式によりδの減少に伴い減少するが、δの全領域で小さな値をとるためSuperspreader特定処理にδが与える影響は小さい。
φは大きな方が望ましいためδを０.１程度より小さく設定するのが望ましいが、δ＜０.１の領域ではδの影響は無視できるといえる。そこで以後はδ＝０.０１に設定する。
【００４８】
【００４９】
このことから、できるだけ早期にワームの出現が検知でき、Ｉ０を小さく抑えられるほど、規制対象とすべきワームの感染レートを大きくでき、正常ホストを誤って規制対象とするリスクを抑えることができる。
ところで、Ｉ０がεＮに近い場合、ｍ＊＝１となるが、それ以上、ｍ＊を小さくすることができず、一方でφが急減するため、η＊＝ｍ＊／φであることからη＊は急増する。またＮが大きなほどβが増加するため、ワームの感染速度が増大し、ｍ＊とη＊は減少する。
Η＊を定める２つの制約式のうち（１３）式は、η＝η＊のワームに対する制約条件から導出されたが、η＝η＊−１／φのワームに対してはΗ（η）＝０として制約式を導出しているため、この制約式から定まるΗ＊の下限値もゼロに近くなる。よって、Η＊はほとんど（１４）式の第２の制約式で決まり、η＊と同じ傾向を示す。
【００５０】
【００５１】
図５に、Ｙ＝１もしくはＹ＝７と強制的にＹを設定しワーム感染ホスト特定方式を適用した場合の、アクティブ感染ホスト数Ｉｋの時系列を示す（With I&Q）。ただし、η＝３.５（左図）とη＝１００（右図）とした。比較のため、特定・規制処理を行わない場合（Without I&Q）についても示す。
提案パラメタ設定法を用いることで、Ｙやηの値にかかわらずＩｋを低い値に抑え、０≦ｋ≦Ｋの任意のｋに対してＩｋ≦εＮが満たされている。
また、図６に、特定されたホストも含めた総感染ホスト数Ｊｋの時系列を同様に示す。感染ホストの多くを規制する結果、新たに感染するホスト数を抑えることができ、総感染ホスト数も大幅に抑えられることが確認できる。
以上説明したように、本発明によれば、フロー計測から得られたデータを用いて、ワームに感染したホストを特定し、規制することにより、ワームの感染拡大を抑えるという効果がある。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本
発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００５２】
【図１】本発明の実施例のワーム感染ホスト特定処理における最適値設定システムの概略構成を示すブロック図である。
【図２】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法において、パラメタδが与える影響を示す特性図である。
【図３】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法のパラメタ設計値の一例を示す図である。
【図４】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法の特定曲線と感染ホスト数の時系列を示す図である。
【図５】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法のアクティブ感染ホスト数の時系列を示す図である。
【図６】本発明の実施例のワーム感染ホスト特定処理における最適値設定方法の感染ホスト数の時系列を示す図である。
【符号の説明】
【００５３】
１０１ 設定条件入力装置
１０２ パラメタ設計装置
１０３ ワーム感染ホスト特定装置
１０４ ワーム感染ホストリスト
１０５ パケットフィルタ装置
【特許請求の範囲】
【請求項１】
フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定し、規制するワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適値に設定するワーム感染ホスト特定処理における最適値設定方法であって、
全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、前記ワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定することを特徴とするワーム感染ホスト特定処理における最適値設定方法。
【請求項２】
前記設定した測定期間長φに基づき、前記特定閾値η＊に対する制約式から、前記特定閾値η＊を設定することを特徴とする請求項１に記載のワーム感染ホスト特定処理における最適値設定方法。
【請求項３】
前記設定した測定期間長φ、および前記設定した特定閾値η＊に基づき、前記特定確率Η＊に対する制約式を満足する値の中で、最小の値を前記特定確率Η＊として設定することを特徴とする請求項２に記載のワーム感染ホスト特定処理における最適値設定方法。
【請求項４】
フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定するワーム感染ホスト特定装置と、
前記ワーム感染ホスト特定装置におけるワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊の３つのパラメタを設定するパラメタ設計装置とを有するワーム感染ホスト特定処理における最適値設定システムであって、
全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、このワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、前記パラメタ設計装置は、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定することを特徴とするワーム感染ホスト特定処理における最適値設定システム。
【請求項５】
前記パラメタ設計装置は、前記設定した測定期間長φに基づき、前記特定閾値η＊に対する制約式から、前記特定閾値η＊を設定することを特徴とする請求項４に記載のワーム感染ホスト特定処理における最適値設定システム。
【請求項６】
前記パラメタ設計装置は、前記設定した測定期間長φ、および前記設定した特定閾値η＊に基づき、前記特定確率Η＊に対する制約式を満足する値の中で、最小の値を前記特定確率Η＊として設定することを特徴とする請求項５に記載のワーム感染ホスト特定処理における最適値設定システム。
【請求項１】
フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定し、規制するワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊を最適値に設定するワーム感染ホスト特定処理における最適値設定方法であって、
全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、前記ワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定することを特徴とするワーム感染ホスト特定処理における最適値設定方法。
【請求項２】
前記設定した測定期間長φに基づき、前記特定閾値η＊に対する制約式から、前記特定閾値η＊を設定することを特徴とする請求項１に記載のワーム感染ホスト特定処理における最適値設定方法。
【請求項３】
前記設定した測定期間長φ、および前記設定した特定閾値η＊に基づき、前記特定確率Η＊に対する制約式を満足する値の中で、最小の値を前記特定確率Η＊として設定することを特徴とする請求項２に記載のワーム感染ホスト特定処理における最適値設定方法。
【請求項４】
フローサンプリングによって得られた統計データのみを用いて、ワーム感染ホストを特定するワーム感染ホスト特定装置と、
前記ワーム感染ホスト特定装置におけるワーム感染ホスト特定処理に必要となる測定期間長φ、特定閾値η＊、特定閾値における特定確率Η＊の３つのパラメタを設定するパラメタ設計装置とを有するワーム感染ホスト特定処理における最適値設定システムであって、
全ホスト数をＮ、任意のスキャンレートηを有するワームの出現が検出された時刻をｋ＝０、このワームに対するパッチやワクチンの生成に要する時間をＴとしたとき、前記パラメタ設計装置は、０≦ｋ≦Ｋ（Ｋ＝Ｔ／φ）の任意時点におけるアクティブ感染ホスト数比率（Ｉｋ／Ｎ）が許容値ε以下となる制約条件下での前記測定期間長φに対する制約式を満足する値の中で、最大の値を前記測定期間長φとして設定することを特徴とするワーム感染ホスト特定処理における最適値設定システム。
【請求項５】
前記パラメタ設計装置は、前記設定した測定期間長φに基づき、前記特定閾値η＊に対する制約式から、前記特定閾値η＊を設定することを特徴とする請求項４に記載のワーム感染ホスト特定処理における最適値設定システム。
【請求項６】
前記パラメタ設計装置は、前記設定した測定期間長φ、および前記設定した特定閾値η＊に基づき、前記特定確率Η＊に対する制約式を満足する値の中で、最小の値を前記特定確率Η＊として設定することを特徴とする請求項５に記載のワーム感染ホスト特定処理における最適値設定システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２００９−１５４２７（Ｐ２００９−１５４２７Ａ）
【公開日】平成２１年１月２２日（２００９．１．２２）
【国際特許分類】
【出願番号】特願２００７−１７４０６４（Ｐ２００７−１７４０６４）
【出願日】平成１９年７月２日（２００７．７．２）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２１年１月２２日（２００９．１．２２）
【国際特許分類】
【出願日】平成１９年７月２日（２００７．７．２）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]