[論文レビュー] A Framework for BGP Abnormal Events Detection

Anisa Allahdadi, Ricardo Morla+1 more|arXiv (Cornell University)|Aug 11, 2017

Network Security and Intrusion Detection参考文献 5被引用数 5

ひとこと要約

本論文では、BGP更新メッセージからの特徴抽出、選択、生成を用いて、BGPの異常イベントを検出する機械学習ベースのフレームワークを提案する。正常なBGP動作を学習したサポートベクターマシン（SVM）モデルを用い、その偏差を測定することで、高い検出精度と正確性を達成しており、先行研究を上回る性能を発揮し、ウイルス攻撃とブラックアウトの種類など、類似したBGP異常を効果的にグループ化可能である。

ABSTRACT

Detection of abnormal BGP events is of great importance to preserve the security and robustness of the Internet inter-domain routing system. In this paper, we propose an anomaly detection framework based on machine learning techniques to identify the anomalous events by training a model for normal BGP-updates and measuring the extent of deviation from the normal model during the abnormal occasions. Our preliminary results show that the features generated and selected are capable of improving the classification results to distinguish between anomalies and normal BGP update messages. Furthermore, the clustering results demonstrate the effectiveness of formed models to detect the similar types of BGP anomalies. In a more general context, an interdisciplinary research is performed between network security and data mining to deal with real-world problems and the achieved results are promising.

研究の動機と目的

• インターネットの安定性とセキュリティを脅かすBGP異常を早期に検出するという重要なニーズに対応すること。
• 正常なBGP動作をモデル化し、顕著な偏差を同定することで、異常検出における誤検出を低減すること。
• 選択されたBGPメッセージ特徴間の相関に基づく新しい特徴の生成により、検出精度を向上させること。
• 類似したイベントに特化して訓練されたモデルを用いて、未観測のBGP異常を検出可能とし、特にウイルス攻撃とブラックアウトの原因ごとに異常をグループ化すること。

提案手法

• 時間的、パス関連、ポリシー関連のメトリクスを含む、BGP更新メッセージからの包括的な特徴セットを抽出する。
• 情報ゲインを用いた特徴選択により、正常な動作をモデル化する上で最も関連性の高い特徴を同定する。
• 選択された特徴のペアワイズ相関分析を通じて新しい特徴を生成し、モデルの識別能を向上させる。
• 選択および生成された特徴を用いてサポートベクターマシン（SVM）分類器を訓練し、正常なBGP更新パターンをモデル化する。
• 正解行列に基づく距離測度を用いて、異なる異常タイプで訓練されたモデル間の相互適合性を評価する。
• 距離行列を用いてk-meansクラスタリングを実行し、類似したBGP異常をグループ化し、モデルの転送可能性を検証する。

実験結果

リサーチクエスチョン

• RQ1 正常な更新動作をモデル化し、その偏差を同定することで、機械学習フレームワークがBGP異常を効果的に検出できるか？
• RQ2 特徴選択と生成は、ベースライン手法と比較して、BGP異常検出の精度と正確性をどの程度向上させるか？
• RQ3 ある異常タイプ（例：ウイルス攻撃）で訓練されたモデルが、再トレーニングなしで他の類似した異常をどの程度効果的に検出できるか？
• RQ4 モデル類似性に基づくクラスタリングは、根本的原因（例：ウイルスと広範なブラックアウト）ごとに意味のあるBGP異常のグループ化を明らかにできるか？

主な発見

• 提案されたフレームワークは、既存の最先端のBGP異常検出手法よりも高い検出精度と低い誤検出率を達成している。
• ペアワイズ相関に基づく特徴生成は分類性能を顕著に向上させ、正常なBGP更新と異常なBGP更新の区別をより明確に可能にしている。
• ある異常タイプ（例：Slammer）で訓練されたモデルは、類似した他の異常（例：Nimda）を効果的に検出でき、特にSlammerデータをNimdaモデルでテストした際に最高の検出精度が得られた。
• 交差正答率評価から得られた距離行列を用いたクラスタリングにより、異常は主に2つのカテゴリに分類された：ウイルス攻撃と広範なブラックアウトであり、k=3でさらに分離（例：Eastcoastが分離）が確認された。
• 式（3）で定義された距離測度は、モデル間の相互適合性を効果的に捉えており、類似したイベントで訓練されたモデルは低い距離と高い交差検出精度を示している。
• 結果から、同じ根本原因（例：ウイルス流行）を持つBGP異常は、類似したモデルによってより多く検出される傾向にあり、実用的なスケーラブルで転送可能な異常検出が可能であることが示された。