サイバーセキュリティ対策の自動化に向けた機械学習技術の活用 [TTCセミナー, 2017/9/12]
•
2 gefällt mir•398 views
TTCセミナー「AI技術の適用事例とイノベーション創出」にて発表した際のスライド。本スライドでは、サイバーセキュリティの現状を鑑み、AIがどのように貢献していくかについて議論する。その中で、我々の現在の取り組みについても紹介する。尚、本イベントの詳細は次のリンクより入手可能: http://www.ttc.or.jp/j/info/topics/rep20170912/
Empfohlen
Weitere ähnliche Inhalte
Was ist angesagt?
Was ist angesagt? (18)
Ähnlich wie サイバーセキュリティ対策の自動化に向けた機械学習技術の活用 [TTCセミナー, 2017/9/12]
Ähnlich wie サイバーセキュリティ対策の自動化に向けた機械学習技術の活用 [TTCセミナー, 2017/9/12] (20)
Mehr von Takeshi Takahashi
Mehr von Takeshi Takahashi (7)
サイバーセキュリティ対策の自動化に向けた機械学習技術の活用 [TTCセミナー, 2017/9/12]
- 3. Agenda 1. サイバーセキュリティ分野の現状 2. サイバーセキュリティにおける機械学習技術の現状 3. NICTでの取り組み 4. 人工知能活用にむけた課題と、当面の方向性 3
- 4. Source: Web, “Trends 2016”(ESET) ランサムウェア数が増加 標的型攻撃も増加 Haxposure脅威が台頭 サイバー攻撃は自動化されており、脅威は増大傾向 4 IoTデバイスのボットネット化 MiraiによるIoT機器の ボットネット化 KrebsへのDDoS攻撃 (2016.9) DynへのDDoS攻撃 (2016.10) 攻撃は高度に自動化されており、大量の機器が連携して実施されている
- 6. • 全ての攻防戦が、コンピュータにより自動で実施され、ヒトは見ているのみ • 自動で脆弱性を発見し、パッチを作成し、対処 • カーネギーメロン大学の ForAllSecure チームの「Mayhem」というシステム が優勝。優勝賞金 200 万ドル（約 2 億円）を取得 Cyber Grand Challengeでは全自動の攻防戦を実施
- 7. 今後のセキュリティ対策にAIは必要不可欠 AIの重要性 1. AIの活用はオペレーションの自動化に必要不可欠 2. 但し、単一の万能AIソリューションは存在しない サイバーセキュリティにおけるAI活用の方向性 1. 多段にセキュリティオペレーションを実施 2. 各オペレーションの中で、最大限AIを活用 3. そのためには、人間のオペレータのドメインナレッジを共有知化・見える化 することが重要 7 AIにすべてを丸投げするのではなく、各システム毎に必要なセキュリティ オペレーションを設計し、その中でAIを活用した自動化を推進する
- 8. Agenda 1. サイバーセキュリティ分野の現状 2. サイバーセキュリティにおける機械学習技術の現状 3. NICTでの取り組み 4. 人工知能活用にむけた課題と、当面の方向性 8
- 9. 機械学習を用いたセキュリティ技術は従来から存在 1. 従来から機械学習を用いたセキュリティ技術は存在しており、機械学習技 術の活用自体は真新しいことではない – スパムメールフィルタ – トラフィックの異常検知 – マルウェアの検知、など 1. とはいえ、サイバーセキュリティ業界での機械学習活用の幅や深さは急速 に拡大してきている – 近年は機械学習、特に深層学習がブーム – その結果、各種ツールや論文が容易に入手可能となってきている 9
- 11. サイバーセキュリティの世界でのAIとは？ 11 AI = 自動化(機械学習, ドメインナレッジ) 注) 独自の解釈です
- 12. ドメインナレッジをしっかりと活用していくことが重要 12 AI = 自動化(機械学習, ドメインナレッジ) 注) 独自の解釈です しっかりと活用
- 14. Agenda 1. サイバーセキュリティ分野の現状 2. サイバーセキュリティにおける機械学習技術の現状 3. NICTでの取り組み a. データセットの構築 b. 機械学習の活用 4. 人工知能活用にむけた課題と、当面の方向性 14
- 15. サイバーセキュリティ研究のベースはやはりデータ 15 我々が保持している主要データ 1. ダークネットトラフィック 2. ライブネットトラフィック 3. マルウェア検体 4. Android APKとそのメタ情報
- 16. 独自のネットワーク観測技術を用いてデータを蓄積 2017/9/13 16 NICTER Operation Room 大規模なダークネット空間を観測 NICTERやDAEDALUSなどのシステムを構築
- 17. Agenda 1. サイバーセキュリティ分野の現状 2. サイバーセキュリティにおける機械学習技術の現状 3. NICTでの取り組み a. データセットの構築 b. 機械学習の活用 4. 人工知能活用にむけた課題と、当面の方向性 17
- 18. NICTでも各種取り組みを実施している 18 2 通信の傾向変化の検出 4 DDoSの継続性判定 5 ボットネットの特定 6 トラフィックの特徴分析 P2P通信の検出1 7 マルウェア検知 8 パッカーの特定 3 DDoSの早期検知 トラフィック 分析 コード 分析
- 23. EP Feature 1: イベント発生時(EP)に観測されたホストからのパケットレート Feature 2: イベント発生時のパケット数の標準偏差値 Time (in min.) #UniquesourceIPsIndexofsourceIPs ボットネットに属するIPアドレスを特定 5
- 25. 特徴選択により、パフォーマンスを向上 • 合計43887 features • トップ1247個のfeatureを利用することで、パフォーマンスを最大化可能 • 今回の実験では、API callが最も影響力の高いfeature。Categoryと permissionも影響力があるものの、clusterは正の影響力を持たない 7
- 26. 機械学習を活用してPackerを特定 • Packerとは、ソフトウェアを圧縮し、解凍プログラムと共に一つのファイルに 再構成するツール • 複数のパッカーを多段に用いることも可能 • マルウェア分析が困難になる(難読化されている) • 様々なPackerが存在 • 80-90%の現在のマルウェアはパッキングされている 8 図 良く利用されるPackerであるUPXの動作概要 PE Header Code Section Data Section ・・・ Pack PE Header (UPX) Empty Packed data Unpack Routine Entry point decompress
- 27. Agenda 1. サイバーセキュリティ分野の現状 2. サイバーセキュリティにおける機械学習技術の現状 3. NICTでの取り組み 4. 人工知能活用にむけた課題と、当面の方向性 27
- 28. 機械学習は当然ながら、攻撃者も活用可能 • 現時点では、機械学習を用いた攻撃は未だ報告されていないが、攻撃者が 機械学習を活用する、もしくはすでに活用していることは、想像に難しくない – Ex1: 効果的なフィッシングメールを構成・送付 • Web検索履歴より、ユーザの嗜好性に応じたメールを作成 • メール受信者の属性情報などに基づくプロファイル別のメールを作成 – Ex2: 攻撃対象の絞り込み・特定 • Web閲覧履歴などのユーザのbehaviorやプロファイルに基づき、弱 点のあるユーザを抽出 • さらには、有効な攻撃手法を学習により選択 • これにより、攻撃に失敗する確率が最小化され、異常検知率が低下 – Ex3: 機械学習ベースのスパムメールフィルタを惑わす入力 28
- 29. 攻撃者に負けない防御を構築するには? 防御側が攻撃側に対峙していくためには、少なくとも下記3点を考慮しなければ ならない 1. ユーザのセキュリティ意識向上 2. ドメインナレッジと機械学習技術に基づくオペレーションの自動化 3. 情報共有と学習データの拡充 29
- 30. まとめ 1. セキュリティ業界では機械学習は昔から用いられているものの、その 適用範囲は今後急速に拡大 2. その際には、ドメインナレッジを機械学習が適用可能な形で抽出するこ とが必要不可欠 3. 同時に、機械学習を効率的かつ効果的に実施するにはデータを継続 的に蓄積していくことが重要 4. AIが発展しても、セキュリティオペレーションを着実に実装・実践するこ とは必要不可欠 5. その各オペレーションを着実かつ効率的・効果的に実施するのに、AIを 用いた自動化技術を積極的に開発していきたい 30