[論文レビュー] Autonomic Intrusion Response in Distributed Computing using Big Data

Kleber Vieira, Fernando Koch+3 more|arXiv (Cornell University)|Jan 1, 2018

Network Security and Intrusion Detection参考文献 24被引用数 1

ひとこと要約

本論文は、ビッグデータ分析と自己管理コンピューティングの原則を活用して、サイバー脅威を検出・分類し、自律的に応答する分散コンピューティング環境向けの自律的インシデント応答システムを提案する。MapReduceに基づく並列処理を備えた監視・分析・計画・実行・知識（MAP-K）アーキテクチャを採用することで、低遅延かつスケーラブルな応答を実現し、パブリッククラウドテストにおいて950秒の処理時間と0.3403のユーティリティスコアを達成した。これにより、応答効果性が顕著に向上したことが示された。

ABSTRACT

We introduce a method for Intrusion Detection based on the classification, understanding and prediction of behavioural deviance and potential threats, issuing recommendations, and acting to address eminent issues. Our work seeks a practical solutions to automate the process of identification and response to Cybersecurity threats in hybrid Distributed Computing environments through the analysis of large datasets generated during operations. We are motivated by the growth in utilisation of Cloud Computing and Edge Computing as the technology for business and social solutions. The technology mix and complex operation render these environments target to attacks like hijacking, man-in-the-middle, denial of service, phishing, and others. The Autonomous Intrusion Response System implements innovative models of data analysis and context-aware recommendation systems to respond to attacks and self-healing. We introduce a proof-of-concept implementation and evaluate against datasets from experimentation scenarios based on public and private clouds. The results present significant improvement in response effectiveness and potential to scale to large environments.

研究の動機と目的

• 複雑で多様性のある分散コンピューティング環境におけるインシデント検知と自動応答の間の重要な技術的ギャップを埋める。
• 手動による干渉に依存しない自己修復的で文脈に配慮したシステムを構築する。
• ハイブリッドクラウドおよびエッジインfra構造からの大規模な監査データを、スケーラブルかつリアルタイムで分析可能にする。
• 提案されたアーキテクチャの実現可能性とパフォーマンスを、プライベートおよびパブリッククラウド環境の両方で実証する。
• 拡張可能な知識と学習機能を備えることで、将来の認知的インシデント検知システムの基盤を築く。

提案手法

• 自己管理と自動応答を可能にするために、自己管理コンピューティングにインspiredされた監視・分析・計画・実行・知識（MAP-K）アーキテクチャを採用する。
• 分散クラスタ上で並列処理が可能なMapReduceを活用したビッグデータ分析により、大規模なシステムログおよび監査データを処理する。
• 事前に定義された攻撃シグネチャを備えた知識ベースを用いて、パターンマッチングにより既知の脅威を検出する。
• コスト、効果性、文脈に基づいて最適な応答行動を選択するため、期待ユーティリティ理論を適用する。
• 応答効果性とリソースコストのバランスを取るために、ユーティリティ関数を用いた推薦エンジンを統合する。
• プライベートおよびパブリッククラウドのテストベッドに、監視、計画、実行、知識の各コンponentsを備えたプロトタイプシステムを実装する。

実験結果

リサーチクエスチョン

• RQ1 ビッグデータ分析を活用した自律的インシデント応答システムは、分散コンピューティング環境において応答時間を著しく短縮できるか？
• RQ2 自己管理コンピューティングの原則とビッグデータ分析を統合することで、検知および応答の正確性とスケーラビリティはどのように向上するか？
• RQ3 実際のクラウド環境における処理時間、応答遅延、および行動のユーティリティの観点から、提案されたシステムのパフォーマンスはいかがなものか？
• RQ4 異種のハイブリッドクラウドおよびエッジインfra構造にわたって、システムはどの程度スケーリング可能か？
• RQ5 リソース制約下で、ユーティリティベースの意思決定モデルは最適な応答行動をどの程度効果的に選択できるか？

主な発見

• パブリッククラウド環境において、合計処理時間が950秒に達し、リアルタイムの脅威応答に耐えうる遅延を示した。
• 最も効果的な応答行動は、0.340309094のユーティリティスコアを達成し、コストに比して高い効果性を示した。
• パブリッククラウド環境では、計算リソースの可用性が高いため、システムの各ステップ間の時間ラグが短く、スケーラビリティの利点が顕著に現れた。
• プロトタイプはプライベートおよびパブリッククラウド両方の環境で大規模なアクセスログを正常に処理でき、実世界のシナリオにおける実現可能性を確認した。
• システムは応答効果性に著しい向上を示し、大規模で複雑な分散環境へのスケーリングの強力な可能性を示した。
• 本アプローチにより、手動による干渉を効果的に削減し、ビッグデータおよび自己管理の原則を活用した自動的かつ文脈に配慮したサイバー脅威への応答が可能になった。