[論文レビュー] Architectures for Detecting Real-time Multiple Multi-stage Network Attacks Using Hidden Markov Model.

Tawfeeq Shawly, Ali Elghariani+2 more|arXiv (Cornell University)|Jul 25, 2018

Network Security and Intrusion Detection参考文献 31被引用数 5

ひとこと要約

本稿では、攻撃シーケンスをモデル化するためのHMMテンプレートデータベースを活用して、マルチステージネットワーク攻撃を検出する2つのリアルタイムアーキテクチャを提案する。DARPA2000データセットを用いたシミュレーションマルチ攻撃シナリオにおいて、高い検出精度と低い誤り率を達成しており、攻撃進行の追跡と攻撃リスクの定量的評価の有効性が示された。

ABSTRACT

With the growing Cyber threats, the need to develop high assurance Cyber systems is becoming increasingly important. The objective of this paper is to address the challenges of modeling and detecting sophisticated and diversified network attacks. Using one of the important statistical machine learning (ML) techniques, Hidden Markov Models (HMM), we develop two architectures that can detect and track in real-time the progress of these organized attacks. These architectures are based on developing a database of HMM templates and exhibit varying performance and complexity. For performance evaluation, in the presence of multiple multi-stage attack scenarios, various metrics are proposed which include (1) attack risk probability, (2) detection error rate, and (3) the number of correctly detected stages. Extensive simulation experiments are used based on the DARPA2000 dataset to demonstrate the efficacy of the proposed architectures.

研究の動機と目的

• 複数の段階にわたる進化する複雑なネットワーク攻撃をモデル化・検出する課題に対処すること。
• 組織的でマルチステージのサイバー攻撃の進行を追跡できるリアルタイム検出アーキテクチャを開発すること。
• 複雑な攻撃パターンの早期かつ正確な同定を可能にすることで、サイバー・システムの信頼性を向上させること。
• 攻撃リスク確率、検出誤り率、正しく同定された攻撃段階といった指標を用いて検出性能を評価すること。

提案手法

• 攻撃行動の時間的順序をモデル化するために、主に隠れマルコフモデル（HMM）を統計的学習手法として採用する。
• 既知の攻撃パターンと段階を表すHMMテンプレートのデータベースを構築し、リアルタイムでの比較に活用する。
• 検出性能と複雑さのトレードオフを考慮した、異なる複雑さの2つのアーキテクチャを設計する。
• DARPA2000データセットに基づくシミュレーション実験を用いて、HMMベースの検出システムの学習と評価を行う。
• システム効果性を評価するために、攻撃リスク確率、検出誤り率、正しく検出された段階数といったパフォーマンス指標を適用する。
• ネットワーク運用中に攻撃状態推定を動的に監視・更新できるリアルタイム処理を統合する。

実験結果

リサーチクエスチョン

• RQ1 HMMベースのアーキテクチャは、リアルタイムで複数の同時に進行するマルチステージネットワーク攻撃をどの程度効果的に検出し、追跡できるか？
• RQ2 アーキテクチャ設計の違いが、マルチ攻撃シナリオにおける検出精度と計算複雑性に与える影響は何か？
• RQ3 提案された指標（攻撃リスク確率、検出誤り率、正しく検出された段階数）は、システムのパフォーマンスをどの程度適切に反映しているか？
• RQ4 HMMテンプレートは、現実のネットワーク環境における多様で進化する攻撃行動をどの程度正確にモデル化できるか？

主な発見

• 提案されたHMMベースのアーキテクチャは、リアルタイムで複数のマルチステージ攻撃の進行を効果的に検出し、追跡できた。
• 検出誤り率が顕著に低減され、攻撃シーケンスの同定において高い信頼性を示した。
• さまざまな攻撃シナリオにおいて、正しく検出された攻撃段階の数が一貫して高く維持されたことから、優れた追跡能力が裏付けられた。
• 攻撃リスク確率が効果的に定量化され、能動的な脅威評価と応答優先順位付けが可能になった。
• DARPA2000データセットを用いたシミュレーション結果から、複雑で現実的な攻撃環境においてHMMベースのアプローチの有効性が確認された。
• 2つのアーキテクチャは、パフォーマンスと複雑さのトレードオフを提供しており、多様なシステム制約に適した展開が可能であった。