[論文レビュー] APHRODITE: an Anomaly-based Architecture for False Positive Reduction

Damiano Bolzoni, Sandro Etalle|ArXiv.org|Apr 7, 2006

Network Security and Intrusion Detection参考文献 37被引用数 11

ひとこと要約

APHRODITE は、入力 NIDS からのアラートとシステムの出力トラフィックで検出された異常を相関させることで、ネットワークインライン検出システムにおける誤検出を低減する異常ベースのアーキテクチャである。最小限のセットアップですらも、誤検出を 50–100% 減少させる効果的で、標準ベンチマーク上、偽陰性を導入することなく、誤検出を低減する。

ABSTRACT

We present APHRODITE, an architecture designed to reduce false positives in network intrusion detection systems. APHRODITE works by detecting anomalies in the output traffic, and by correlating them with the alerts raised by the NIDS working on the input traffic. Benchmarks show a substantial reduction of false positives and that APHRODITE is effective also after a "quick setup", i.e. in the realistic case in which it has not been "trained" and set up optimally

研究の動機と目的

• ネットワークインライン検出システム（NIDS）における高い誤検出率という重要な問題に対処すること。これは管理者を圧迫し、システムの有効性を低下させる。
• 入力 NIDS が発行するアラートを検証または無効化するために、出力トラフィックの異常を活用するアーキテクチャを設計すること。
• 手作業によるデータクリーニングや最適なしきい値チューニングが不要な「クイックセットアップ」でも、誤検出低減が達成可能であることを示すこと。
• 署名ベースおよび異常ベースの両方の NIDS と互換性がある、即挿入即使用のソリューションを提供すること。

提案手法

• APHRODITE は、出力ネットワークトラフィックの通常行動からの逸脱を監視する出力異常検出器（OAD）を統合している。
• 入力 NIDS からのアラートと OAD が検出する出力の異常を相関させ、観察可能な出力異常を引き起こさないアラートを破棄する。
• OAD ではしきい値ベースの異常検出メカニズムを採用し、簡単なヒューリスティクスによるしきい値設定により、迅速な展開を可能にしている。
• 3つの例外ルールを含む：(1) 出力異常が検出されない場合、未処理のアラートは真のインシデントとみなされる、(2) 高いマグニチュードの入力アラームは保持される、(3) パケット数が多いアラートは保持される。
• 入力 NIDS の種別に依存しないアーキテクチャとして設計されており、署名ベース（例：Snort）および異常ベース（例：POSEIDON）の両方のシステムをサポートする。
• 訓練は最小限のデータセット（τ パケット）を用いて実施され、広範な手作業によるデータクリーニングの必要性がなくなる。

実験結果

リサーチクエスチョン

• RQ1 出力トラフィックの異常は、NIDS アラートにおける真陽性と偽陽性を信頼性高く区別するために利用可能か？
• RQ2 最小限の訓練とヒューリスティクスに基づくしきい値設定で、どれほどまで誤検出低減が達成可能か？
• RQ3 最適なチューニングやクリーニング済みトレーニングデータがなくても、アーキテクチャは効果を発揮するか？
• RQ4 アプリケーション固有のシグネチャや再設定を必要とせずに、OAD は出力トラフィックの異常を検出可能か？
• RQ5 公開および非公開データセットにおいて、APHRODITE のパフォーマンスは、既存の誤検出低減手法と比較してどうか？

主な発見

• DARPA 1999 データセットのベンチマークの7つのケースのうち6つにおいて、Snort や POSEIDON と組み合わせた APHRODITE は、誤検出を 50–100% 減少させた。
• システムはあらゆるテストシナリオで真陽性の 100% 検出を維持し、偽陰性は一切発生しなかった。
• クリーニングされていないトレーニングデータとヒューリスティクスに基づくしきい値設定でも、APHRODITE は効果的な誤検出低減を達成した。これは、迅速な展開における高い実用性を示している。
• プライベートデータセットでも、最適なトレーニングがなくても APHRODITE は効果的であり、実世界の環境における頑健性を確認した。
• 公開データにおいて、唯一公開ベンチマークが存在する競合他社よりも、APHRODITE は誤検出低減の面で優れていた。
• 未処理のアラートや高マグニチュードのアラームのための例外処理メカニズムにより、フィルタリング中に重要なアラートが失われることを防いだ。