攻撃の対処要否を自動判断するための学習データ生成技術を開発のニュースについて

最近に始まったことではないですが、機械学習は最近物凄い人気ですよね。

私の知り合いでも機械学習を脆弱性診断に取り入れられないかを研究している人がいますね。

皆さんの周りでも機械学習（Deep Learning）を使用して何かをしようとしたりしてる人もきっといますよね。

今回はその機械学習を使用した技術についてのニュースの紹介です。

ニュースの概要

富士通研究所は、サイバー攻撃を受けた際、対処の要否を自動判断するために必要な学習データを、少ない攻撃ログより生成する技術をあらたに開発した。
判定モデルの生成にあたり、大量のログから標的型攻撃などサイバー攻撃のふるまいを示すログを特定して抽出する技術と、抽出された少量の攻撃学習データを拡張し、十分な量の学習データを生成、確保できる技術をあらたに開発したもの。
抽出した標的型攻撃による諜報活動に対して、攻撃性の高さを算出し、重要なコマンドを特定。その引数を攻撃パターンデータベースに存在する範囲で変化させることで、攻撃性を保ったまま、あらたな諜報活動のデータを疑似的に生成。学習データの量を4倍に拡張できる。
参考：http://www.security-next.com/101917

実際に富士通研究所のサイトへ確認しに行きました。（リンクはそのページへのリンクです。）

課題もかなりあったとのことです。

①正規ログと攻撃のログをどう判断するのか？特に標的型攻撃後はOSコマンドを使用するために正規ログとの見分けがしにくい

⇒学習データの抽出を行い、自社のノウハウを使用し標的型攻撃の際のコマンドや引数のパターンを攻撃パターンデータベースとして構築、データベースを利用しログからの一連の諜報活動を正確に特定・抽出可能に

②膨大なログからの少量の攻撃ログの抽出とそれを学習データとして利用するのは困難。データ量を加工して増やすのはできるが、単純な加工では攻撃性が失われる場合があり、データ拡張が難しい

⇒抽出した標的型攻撃の一連の諜報活動に対して、攻撃性の高さを算出し重要なコマンドを特定後、その引数を攻撃パターンデータベースに存在する範囲で変化させることで、攻撃性を失うことなく、新たな諜報活動（標的型攻撃の亜種）を疑似的に生成

検証結果

12,000件に上る約4カ月分のデータを活用してシミュレーションを行った結果、セキュリティの専門家が手動で分析した結果との一致率が約95％と、ほぼ同等の対処要否判断を実現することができた。
また、NICT（国立研究開発法人情報通信研究機構）との協力し、企業を狙った実際のサイバー攻撃を使用した実証実験を行ったところ、対処が必要な攻撃事案であると自動判断し、その有用性を確認した。

この技術を使用することで、通常専門が数時間から数日かかっていた攻撃を受けてからの対処の要否を数分から数秒にすることが可能とのことです。

以下の図は富士通研究所のサイト（http://pr.fujitsu.com/jp/news/2019/01/22-2.html）より引用しています。