インターネットトラフィックからのオペレーティングシステムの識別に向けて - フィンガープリンティングとクラスタリングによるIPFIXモニタリング

本論文では、インターネットトラフィックからのオペレーティングシステム（OS）の識別について扱います。ネットワークに注入された各パケットには、ホストのオペレーティングシステムの初期設定を反映する特定の情報がパケットヘッダーに含まれています。このような特徴の集合がフィンガープリントを形成します。OSフィンガープリントは通常、初期TTL時間、TCP初期ウィンドウ時間、一連の特定のTCPオプション、およびIPおよびTCPヘッダーから得られた他の値を含みます。OSの識別は、ローカルネットワーク上のトラフィックの監視やセキュリティ目的に役立つ可能性があります。本論文では、IPFIXプローブに組み込まれたTCP SYNパケットを使用したパッシブフィンガープリンティングに焦点を当てています。我々のツールは、OSに関する追加情報を用いて標準IPFIXレコードを強化します。その後、ネットワーク統計が保存され、ネットワーク管理者に提示されるIPFIXコレクターにレコードを送信します。識別が成功しない場合、さらにHTTPヘッダーの確認が行われ、フィンガープリンティングデータベースが使用されます。