[論文レビュー] A Taxonomy of Network Threats and the Effect of Current Datasets on Intrusion Detection Systems

Hanan Hindy, David Brosset+5 more|Middlesex University Research Repository (Middlesex University Of London)|Jun 9, 2018

Network Security and Intrusion Detection参考文献 79被引用数 99

ひとこと要約

この論文は IDS データセットを調査し 脅威分類を提示しており、現行の IDS は脅威のごく一部しかカバーせず、データセットは現実世界の脅威表現を欠いており 偵知性能を妨げている。

ABSTRACT

As the world moves towards being increasingly dependent on computers and automation, building secure applications, systems and networks are some of the main challenges faced in the current decade. The number of threats that individuals and businesses face is rising exponentially due to the increasing complexity of networks and services of modern networks. To alleviate the impact of these threats, researchers have proposed numerous solutions for anomaly detection; however, current tools often fail to adapt to ever-changing architectures, associated threats and zero-day attacks. This manuscript aims to pinpoint research gaps and shortcomings of current datasets, their impact on building Network Intrusion Detection Systems (NIDS) and the growing number of sophisticated threats. To this end, this manuscript provides researchers with two key pieces of information; a survey of prominent datasets, analyzing their use and impact on the development of the past decade's Intrusion Detection Systems (IDS) and a taxonomy of network threats and associated tools to carry out these attacks. The manuscript highlights that current IDS research covers only 33.3% of our threat taxonomy. Current datasets demonstrate a clear lack of real-network threats, attack representation and include a large number of deprecated threats, which together limit the detection accuracy of current machine learning IDS approaches. The unique combination of the taxonomy and the analysis of the datasets provided in this manuscript aims to improve the creation of datasets and the collection of real-world data. As a result, this will improve the efficiency of the next generation IDS and reflect network threats more accurately within new datasets.

研究の動機と目的

• 利用可能なネットワークベースのデータセットの制限とそれがIDS開発に与える影響を評価する。
• 過去十年間のNIDS研究とその評価手法をレビューする。
• データセット作成を導くため、源泉・OSIレイヤ・アクティビティモードで分類した脅威分類を提示する。
• 現在の脅威を関連ツールに対応づけ、研究者がより代表的なデータセットを構築できるようにする。

提案手法

• 主要なIDSデータセットを調査し、過去10年間のIDS開発への利用と影響を分析する。
• 最近のML/NIDS研究をレビューし、アルゴリズム動向とデータセット依存性を特定する。
• OSIレイヤとアクティブ/パッシブ脅威特性に合わせた脅威分類を構築する。
• 脅威を攻撃ツールにマッピングしてデータセット構築とベンチマークを支援する。
• 現実味と再利用性を高めるデータセット生成の標準と基準を論じる。

実験結果

リサーチクエスチョン

• RQ1 IDS開発のために利用可能なネットワークベースデータセットの主な制限は何か？
• RQ2 現行のデータセットは現実世界のネットワーク脅威およびゼロデイ攻撃をどの程度反映しているか？
• RQ3 データセットと脅威カバレッジのギャップを踏まえて、最近のIDSアプローチはどの程度性能を発揮するか？
• RQ4 脅威分類とツール対応づけは、より代表的なデータセットの作成をどのように導けるか？

主な発見

• 現在のIDS研究は提案された脅威分類の約33.3%しかカバーしていない。
• 現行データセットは実ネットワークの脅威を欠き、攻撃の表現も欠如しており、多くの時代遅れの脅威を含んでいる。
• これらのデータセットの欠点は、現代のMLベースのIDSの検知精度を制限する。"
• 研究者は、ネットワークパターンの概念ドリフトに対処するために、拡張可能で標準化されたデータセット生成プラットフォームを開発すべきである。
• 分析は、特定のデータセット（例：KDD-99、DARPA）の支配と、現代の脅威を反映した更新されたベンチマークの必要性を強調している。
• 脅威をOSIレイヤと関連ツールにマッピングすることは、データセット作成を導き、IDSベンチマークを改善する。