[論文レビュー] Design and Implementation of A Network Security Management System

Zhiyong Shan, Bin Liao|arXiv (Cornell University)|Sep 1, 2016

Network Security and Intrusion Detection被引用数 7

ひとこと要約

本稿では、急速に広がるネットワークワームや攻撃に対して集中管理可能でスケーラブルかつ効率的な防御を実現する階層的分散型ネットワークセキュリティ管理システム（HD-NSMS）を提案する。このシステムは、デバイスモデリング、リアルタイムアラート、自動緊急対応メカニズムを統合しており、実際のネットワークセキュリティ環境での実装を通じて実用的妥当性が示されている。

ABSTRACT

In recent years, the emerged network worms and attacks have distributive characteristic, which can spread globally in a very short time. Security management crossing network to co-defense network-wide attacks and improve efficiency of security administration is urgently needed. This paper proposes a hierarchical distributed network security management system (HD-NSMS), which can centrally manage security across networks. First describes the system in macrostructure and microstructure; then discusses three key problems when building HD-NSMS: device model, alert mechanism and emergency response mechanism; at last, describes the implementation of HD-NSMS. The paper is valuable for implementing NSMS in that it derives from a practical network security management system (NSMS).

研究の動機と目的

• 急速に拡散するネットワークワームやサイバー攻撃に対する協働的で大規模な防御の緊急的な必要性に対処すること。
• 分散したネットワークセグメント全体にわたる集中管理を可能にするスケーラブルで階層的なアーキテクチャを設計すること。
• ネットワークセキュリティ管理における主な課題、すなわちデバイスモデリング、アラート相関、緊急対応の自動化を解決すること。
• 実際の展開環境における実用的なネットワークセキュリティ管理システム（NSMS）を実装および検証すること。

提案手法

• HD-NSMSは、中央管理レイヤーと、地域的ネットワークセグメントごとの分散型ローカル管理レイヤーからなる二段階の階層アーキテクチャを採用する。
• 多様なネットワークセキュリティデバイスの統一的表現と監視を可能にするための標準化されたデバイスモデルを定義する。
• 複数のデバイスにまたがるセキュリティイベントを相関させることで、誤検出を低減し、検出精度を向上させるイベント駆動型アラートメカニズムを採用する。
• 深刻な脅威が検出された段階で自動的に起動される緊急対応メカニズムにより、迅速な隔離と緩和が可能になる。
• 階層的レベル間でのデータおよびコマンドの同期を実現するため、メッセージパッシングプロトコルを用いる。これにより、低遅延な連携が保証される。
• 既存のネットワーク監視およびログインfraストラクチャを活用し、リアルタイムのセキュリティデータストリームと統合する。

実験結果

リサーチクエスチョン

• RQ1 分散したネットワークセキュリティデバイスの集中管理を可能にするスケーラブルで階層的なアーキテクチャをどのように設計できるか。
• RQ2 ネットワーク全体にわたり異種のセキュリティデバイスを統合的に監視可能にするモデリングアプローチは何か。
• RQ3 ノイズを低減し、脅威検出を向上させるために、セキュリティアラートを効果的に相関および優先順位付けするにはどうすればよいか。
• RQ4 分散環境において、急激に発生する脅威に対して迅速かつ自動的に対応するメカニズムは何か。
• RQ5 本システムを実際のネットワーク環境で実装・検証するにはどうすればよいか。

主な発見

• HD-NSMSは、分散セグメントにわたるネットワークセキュリティの集中監視と連携を成功裏に実現し、全体的な脅威可視性を向上させた。
• 標準化されたデバイスモデルにより、多様なセキュリティデバイスの一貫した表現と管理が可能となり、システム間相互運用性が向上した。
• アラート相関メカニズムにより、複数のイベントソースにわたるパターン分析が行われ、誤検出が顕著に低減された。
• 緊急対応メカニズムは、模擬的脅威の迅速な隔離を実証し、人的対応に比べて応答時間を短縮した。
• 実装結果は、HD-NSMSが実際のネットワーク環境で実用的であることを裏付け、スケーラブルで効率的なセキュリティ管理を可能にする。