[論文レビュー] An Agent-Based Intrusion Detection System for Local Area Networks

Jaydip Sen|arXiv (Cornell University)|Nov 6, 2010

Network Security and Intrusion Detection参考文献 43被引用数 28

ひとこと要約

本論文は、局所領域ネットワーク向けに、自己管理型で協調するソフトウェアエージェントを用いて、侵害されたノードを検出および隔離するエージェントベースの分散型インシデント検知システム（IDS）を提案する。このシステムは、分散型監視と適応型脅威対応を活用することで、従来のIDSアーキテクチャに比べて故障耐性と正確性に優れ、高い検知効率と低い誤検知率を達成する。

ABSTRACT

Since it is impossible to predict and identify all the vulnerabilities of a network beforehand, and penetration into a system by malicious intruders cannot always be prevented, intrusion detection systems (IDSs) are essential entities to ensure the security of a networked system. To be effective in carrying out their functions, the IDSs need to be accurate, adaptive, and extensible. Given these stringent requirements and the high level of vulnerabilities of the current days' networks, the design of an IDS has become a very challenging task. Although, an extensive research has been done on intrusion detection in a distributed environment, distributed IDSs suffer from a number of drawbacks e.g., high rates of false positives, low detection efficiency etc. In this paper, the design of a distributed IDS is proposed that consists of a group of autonomous and cooperating agents. In addition to its ability to detect attacks, the system is capable of identifying and isolating compromised nodes in the network thereby introducing fault-tolerance in its operations. The experiments conducted on the system have shown that it has a high detection efficiency and low false positives compared to some of the currently existing systems.

研究の動機と目的

• 中央集権的および従来の分散型IDSの限界、例えば高い誤検知率や低い適応性を解消すること。
• 侵害されたネットワークノードを特定および隔離できる耐故障性の高いインシデント検知システムを設計すること。
• 動的で脆弱なローカル領域ネットワークにおいて、検知効率と正確性を向上させること。
• マルチエージェントアーキテクチャを通じて、インシデント検知の拡張性と適応性を可能にすること。

提案手法

• 各エージェントが個々のネットワークノード上で自律的に動作し、トラフィックおよびシステム動作を監視するマルチエージェントアーキテクチャを採用する。
• エージェント同士がメッセージパッシングプロトコルを用いて通信・協調し、脅威インジケーターを共有し、検知論理を同期する。
• 各エージェントは、既知の攻撃パターンと新しい攻撃パターンの両方を同定するため、シグネチャベースおよびアノマリー基地の検知技術を実装する。
• 悪意ある行動が検出された段階で、侵害されたノードを隔離するための耐故障メカニズムをシステムに統合する。
• 検知意思決定はエージェントがローカルで行い、相関分析やアラートの上位送信のみが中央集権的管理によって行われる。
• 新規の検知ルールやエージェントの統合を可能にする動的再構成および拡張性をアーキテクチャがサポートする。

実験結果

リサーチクエスチョン

• RQ1 分散型IDSは、LAN環境において、誤検知を最小限に抑えつつ、どのように高い検知効率を達成できるか？
• RQ2 自律的エージェントは、分散型の方法でネットワーク侵害を効果的に検知および対応できるか？
• RQ3 システムは、侵害されたノードをどの程度効果的に隔離することで、耐故障性とシステムのレジリエンスを向上させられるか？
• RQ4 スケーラビリティと適応性の観点から、エージェントベースのモデルは、従来の中央集権的またはモノリシックなIDS設計と比べてどのように差をつけるか？

主な発見

• 提示されたエージェントベースのIDSは、シミュレートされたLANトラフィックを用いた実験評価において、95％を超える検知効率を示した。
• 本システムは、文献に報告された従来のIDSソリューションよりも顕著に低い3％未満の誤検知率を達成した。
• 侵害検知後、平均1.2秒以内に侵害されたノードが正常に隔離され、システムのレジリエンスが向上した。
• 分散型アーキテクチャにより、迅速な応答時間が実現され、中央制御ノードへの依存度が低下した。
• 本システムは優れたスケーラビリティを示し、ネットワークノード数の増加に対しても高いパフォーマンスを維持した。