[論文レビュー] Analysis of Internet Measurement Systems for Optimized Anomaly Detection System Design

Sean McPherson, Antonio Ortega|ArXiv.org|Jul 29, 2009

Network Traffic and Congestion Control参考文献 17被引用数 3

ひとこと要約

本稿では、割込み集約に影響を受けるソフトウェアベースのインターネット測定システムに特化した信号表現および検出手法、PDMMを提案する。測定タイミングが歪められる状況下でも、PADのような汎用的手法に比べて顕著に優れた性能を示す。ハイブリッド割込み集約メカニズムをモデル化し、到着間隔とパケット数の信号特性を活用することで、現実的なソフトウェア測定制約下でも周期的異常検出を向上させる。システムに配慮した設計が、高価なハードウェアを必要とせずに検出精度を向上させることを示している。

ABSTRACT

Although there exist very accurate hardware systems for measuring traffic on the internet, their widespread use for analysis tasks is limited by their high cost. On the other hand, less expensive, software-based systems exist that are widely available and can be used to perform a number of simple analysis tasks. The caveat with using such software systems is that application of standard analysis methods cannot proceed blindly because inherent distortions exist in the measurements obtained from software systems. The goal of this paper is to analyze common Internet measurement systems to discover the effect of these distortions on common analysis tasks. Then by selecting one specific task, periodic signal detection, a more in-depth analysis is conducted which derives a signal representation to capture the salient features of the measurement and develops a periodic detection mechanism designed for the measurement system which outperforms an existing detection method not optimized for the measurement system. Finally, through experiments the importance of understanding the relationship between the input traffic, measurement system configuration and detection method performance is emphasized.

研究の動機と目的

• ソフトウェアベースのインターネット測定システム、特に割込み集約を用いるものにおいて、信号タイミングがどのように歪められ、その後続分析にどのように影響を与えるかを分析すること。
• このようなシステムからの非一様なサンプリング測定に標準的なデジタル信号処理手法を適用した場合の限界を特定すること。
• ソフトウェア測定システムにおけるハイブリッド割込み集約によって生じる信号表現に特に最適化された検出手法を設計すること。
• 実験を通じて、現実的な測定条件下で、システムに配慮した検出戦略が汎用手法に比べて顕著に性能を向上させることを示すこと。

提案手法

• 割込みはパケット到着または絶対的時間間隔の両方によってトリガーされるソフトウェア測定システムにおけるハイブリッド割込み集約メカニズムをモデル化する。
• 到着間隔と各時間区間あたりのパケット数に注目した、測定出力の顕著な特徴を捉える信号表現を導出する。
• 非一様サンプリング信号の統計的性質を活用して周期的トラフィックを検出する、PDMM（測定モデルを用いた周期的検出）と呼ばれる検出アルゴリズムを設計する。
• 合成ポアソントラフィックと実世界の構成を用いて、汎用のPAD（検出を用いた周期的分析）手法と比較するための検出性能評価を定式化する。
• 入力トラフィックレートと測定システムパラメータの変動を想定した実験的検証により、PDMMとPADを比較する。
• 到着間隔の情報量と各時間区間あたりのパケット数の情報量のトレードオフを分析し、トラフィック負荷に応じた最適な検出戦略を特定する。

実験結果

リサーチクエスチョン

• RQ1 ソフトウェアベースの測定システムにおける割込み集約は、ネットワークトラフィック測定のタイミングをどのように歪め、信号表現にどのような影響を与えるか？
• RQ2 このようなシステムからの非一様サンプリング信号に標準的な周期的信号検出法（例：PAD）を適用した場合、性能がどの程度低下するか？
• RQ3 測定システムの挙動を明示的に考慮する検出手法を設計することで、検出精度を向上させることは可能か？
• RQ4 どのような入力トラフィックおよびシステム構成条件下でPDMMがPADを上回り、逆にPADが依然として好ましいか？
• RQ5 到着間隔と各時間区間あたりのパケット数の間で情報がどのように分配されるかが、検出性能に与える影響は何か？

主な発見

• 割込み集約によって測定が歪められる状況下でも、PDMMはPADという汎用手法に比べて、特に中程度から高負荷のトラフィック条件下で顕著に優れた性能を示す。
• 入力トラフィックレートが、ほとんどの割込みが絶対時間間隔（T_abs）によって生成されるほど高くなると、測定信号はより一様にサンプリングされ、到着間隔の変動が減少し、各時間区間あたりのパケット数がより有用な情報源となる。
• このような高レート条件下では、PADがPDMMよりも優れた性能を示す。これは、最適な検出手法がトラフィックレートと測定システムの構成に依存することを示している。
• 実験結果から、検出手法の選択は、入力トラフィック特性と測定システムのタイミング挙動の両方の知識に基づいて行われるべきであることが確認された。
• ハイブリッド割込み集約モデルから導出された信号表現は、検出に必要な特徴を効果的に捉えており、PDMMが汎用手法が無視するタイミングの変動を活用できることを可能にしている。
• 図10は、入力トラフィックレートが上昇するに従い、関連する情報が到着間隔（PDMMに有利）から各時間区間あたりのパケット数（PADに有利）へとシフトする様子を示しており、検出戦略間の動的トレードオフが裏付けられている。