GEODIST – ピアの地理的分布異常

メソッドの説明

この検知メソッドは、通信パートナーの地理的分布異常を発見します。分布はエントロピーとして表現されます。現在のエントロピーが特定のタイムウィンドウの平均および標準偏差の倍数を超える場合に、イベントが生成されます。この検知メソッドで考慮されるのは、少なくともパラメータによって与えられたデータがすでに送信されている通信パートナーのみです。

このメソッドは、以下のサブメソッドで構成されます。

• EnthropyChange: 監視対象のネットワーク内で個々のデバイスが通信する通信パートナの地理的分散の著しい変化についてレポートします。

メソッド設定

このメソッドは、ユーザのネットワーク内にあるクライアントのIPアドレスのみに適用することをお勧めします。トラフィックの適切な監視場所はインターネット接続回線です。

メソッドパラメータ

• MinimalTransfer: 5分間で1つの通信ピア宛てに送信されたデータの最小量。

• WindowLength: 移動タイムウィンドウの長さ(時間単位)。

• Increase: 閾値を計算するために平均エントロピーに加算される標準偏差の倍数。

• ExcludeCountries: 無視する国のリスト。

フィルタの割り当て

送信元IPアドレスがフィルタの割り当てに一致し、宛先IPアドレスが一致しないフローのみが処理されます。

結果の解釈

この検知メソッドでは、通信パートナーの地理的分布の変化を示します。これは、マルウェアの感染やボットネットの存在を示唆している可能性があります。