「Automated Port-scan Classification with Decision Tree and Distributed Sensors」

［論文概要］

　Computer worms randomly perform port scans to find vulnerable hosts to intrude over the Internet. Malicious software varies its port-scan strategy, e.g., some hosts intensively perform scans on a particular target and some hosts scan uniformly over IP address blocks. In this paper, we propose a new automated worm classification scheme from distributed observations. Our proposed scheme can detect some statistics of behavior with a simple decision tree consisting of some nodes to classify source addresses with optimal threshold values. The choice of thresholds is automated to minimize the entropy gain of the classification. Once a tree has been constructed, the classification can be done very quickly and accurately.



［推薦理由］

　ポートスキャンを実行するcomputer wormに対する対策は重要であるが，本論文では，インターネット上の分散センサの情報からそのスキャン戦略を分類し，多量のパケットをclassifyするための最適なthresholdを速度と正確性の点から決定するdecision tree learning algorithmを適用する．本手法は数量自体が非常に多く，かつソースアドレスがspoofされているかもしれない，非決定的な挙動をするwormからのパケットを解析するのに有効である事を示す．以上のように有効性に優れた高いクオリティを持つ事から，本論文を論文賞に推薦する．