Dark TRACER
1.0.0
このリポジトリには、マルウェア活動の早期異常検出のためのフレームワークである Dark-TRACER の R 実装が含まれています。以下の論文で紹介されました。詳細はPDFとスライドをご覧ください。また、論文で使用されているデータセットは公開されています。
C. Han 、J. 竹内、T. 高橋、D. 井上、「 Dark-TRACER : 異常な時空間パターンに基づくマルウェア活動の早期検出フレームワーク」、 IEEE ACCESS 、2022 年。 [DOI] [PDF] [関連スライド] [データセット] [コード]
Dark-TRACER は、3 つの機械学習手法を活用して、ダークネット トラフィックで観察される時空間パターンの同期を推定することにより、マルウェア活動の異常を早期に検出するためのフレームワークです。以下の3つのモジュールで構成されています
ダークネットはインターネットの未使用の IP アドレス空間であり、観測されるトラフィックのほとんどが悪意のある通信である観測ネットワークです。世界的なサイバー攻撃の傾向を理解するのに役立ちます。ダークネットはネットワーク望遠鏡としても知られており、Tor などのダークウェブと混同しないでください。
| エンジン | 入力データ形式 |
|---|---|
| ダークグラッソ | テキストデータ |
| ダークNMF | テキストデータ |
| ダークNTD | pcapデータ |
| チェンジファインダー | テキストデータ |
ChangeFinder は従来の手法であり、論文では比較評価のために使用されました。
| エンジン | ソースコード |
|---|---|
| ダークグラッソ | オンラインポート情報.r / オンラインポート情報.r |
| ダークNMF | DarkNMF.r / DarkNMF_alertonly.r / DarkNMF-port.r / DarkNMF-port_alertonly.r |
| ダークNTD | オンライン_スクリプト.R |
| チェンジファインダー | 2021_cpd.ipynb |
1. If you have the result of the previous run, do the following. If not, do 2.
1.1 Create ${output_filespace}density_old_${theta}
1.2 Copy the previous results into
$ cp -r ${data_filespace}sensor${ID}/${Lasttime_YEAR}${Lasttime_MONTH}/${Lasttime_YEAR}${Lasttime_MONTH}${Lasttime_DAY}/${Lasttime_TIME}/result_M12/density_${theta}/* ${output_filespace}density_old_${theta}/
2. run online_density.r
3. (number of density files) == 6 and RT_density file has no 0 bytes
3.1 Run online_portinfo.r
4. delete input data from 6 days ago
5. when execution is finished, delete unnecessary files such as input data
1 Run DarkNMF.r
2 Run DarkNMF_alertonly.r
3 When execution is finished, delete unnecessary files such as input data.
1 Create ${data_filespace}sensor${ID}/Anomaly_dstPort_list
2 portlist_file="${data_filespace}sensor${ID}/Anomaly_dstPort_list/${START_YEAR}${START_MONTH}_Anomaly_dstPort_list_ver${ver}.txt
3 Write 0 to portlist_file
4 Execute DarkNMF.r
5 Execution of DarkNMF_alertonly.r
6 When portlist_file is non-zero
6.1 Execution of DarkNMF-port.r
6.2 Execution of DarkNMF-port_alertonly.r
7 When execution is finished, delete unnecessary files such as input data.
1 Execution of online_script.
2 When execution is finished, delete unnecessary files such as input data.
It can be run from 2021_cpd.ipynb. (includes sample data)
