[論文レビュー] Discovering Signals from Web Sources to Predict Cyber Attacks

Palash Goyal, K. S. M. Tozammel Hossain+6 more|arXiv (Cornell University)|Jun 8, 2018

Network Security and Intrusion Detection参考文献 27被引用数 25

ひとこと要約

本論文は、ソーシャルメディア、ダークウェブフォーラム、脆弱性データベースなどの公開ウェブソースからの外部信号を活用する機械学習フレームワークを提案する。自己回帰モデルとゲート付き再帰ユニット（GRU）を、サイバー関連用語の頻度時系列と組み合わせることで、マルウェア、悪意あるメール、悪意ある宛先の予測においてF1スコアを顕著に向上させた。組織固有の信号が多様なオンラインソースから得られることで、予測の正確性が向上することが示された。

ABSTRACT

Cyber attacks are growing in frequency and severity. Over the past year alone we have witnessed massive data breaches that stole personal information of millions of people and wide-scale ransomware attacks that paralyzed critical infrastructure of several countries. Combating the rising cyber threat calls for a multi-pronged strategy, which includes predicting when these attacks will occur. The intuition driving our approach is this: during the planning and preparation stages, hackers leave digital traces of their activities on both the surface web and dark web in the form of discussions on platforms like hacker forums, social media, blogs and the like. These data provide predictive signals that allow anticipating cyber attacks. In this paper, we describe machine learning techniques based on deep neural networks and autoregressive time series models that leverage external signals from publicly available Web sources to forecast cyber attacks. Performance of our framework across ground truth data over real-world forecasting tasks shows that our methods yield a significant lift or increase of F1 for the top signals on predicted cyber attacks. Our results suggest that, when deployed, our system will be able to provide an effective line of defense against various types of targeted cyber attacks.

研究の動機と目的

• 公開可能なウェブソースから、予期されるサイバー攻撃の予測信号を自動的に同定するシステムを開発すること。
• 過去の攻撃データ以外の外部時系列信号を機械学習モデルに統合することで、サイバー脅威予測の精度を向上させること。
• 異なるウェブベースの信号が、サイバー攻撃の種別に応じて予測性能に与える影響を定量化すること。
• オンライン活動からの組織固有の高影響度信号を同定することで、サイバー防御に役立つ実用的知見を提供すること。
• プロアクティブなサイバーセキュリティポリシーとインcidnet緩和を支援する早期警戒システムを実現すること。

提案手法

• ダークウェブフォーラム、ソーシャルメディア、ブログ、脆弱性トラッカーを含む多様な公開ウェブソースからリアルタイムでデータを収集する。
• 各ソースからサイバーセキュリティ関連キーワード（例：'zero-day'、'ransomware'）の日次発生回数の時系列を抽出し、外部信号を構築する。
• 過去の攻撃データと外部信号を組み合わせた自己回帰モデル（ARIMAおよびARIMAX）を用いて予測を行う。
• 攻撃パターンと外部信号の時系列における時間的依存性をモデル化するために、ゲート付き再帰ニューラルネットワーク（GRU）を採用する。
• 2つの組織の実地データを用いて、エンドポイントマルウェア、悪意あるメール、悪意ある宛先の3つの攻撃タイプをカバーするモデルを訓練および評価する。
• 個々の信号および複数信号の組み合わせの予測力を評価するために、信号統合技術を用いる。

実験結果

リサーチクエスチョン

• RQ1 どの公開可能なウェブソースに、近い将来のサイバー攻撃を予測する信号が含まれているか？
• RQ2 ソーシャルメディア、ダークウェブ、ブログからの外部時系列信号は、過去の攻撃データのみを用いるモデルと比較して、サイバー攻撃予測のF1スコアにどの程度向上効果をもたらすか？
• RQ3 最も予測に有効な信号は、異なる組織や攻撃タイプによって異なるか？
• RQ4 外部信号を組み込んだ場合、GRUのようなディープラーニングモデルは、古典的自己回帰モデル（例：ARIMA）を上回る性能を示すか？
• RQ5 複数の信号の組み合わせは、時間経過に伴って予測の堅牢性と正確性をどの程度向上させるか？

主な発見

• ウェブソースからの外部信号の統合により、エンドポイントマルウェア、悪意あるメール、悪意ある宛先の3つの攻撃タイプすべてにおいて、F1スコアが顕著に向上した。
• 組織固有の信号が一般の信号よりも予測能が高く、システムが個々の組織の特異な脅威プロファイルに適応できることを示した。
• ダークウェブフォーラムおよびソーシャルメディアからの信号が、ゼロデイエクスプロイトやランサムウェアキャンペーンの予測において特に優れた性能を示した。
• 外部信号を組み込んだ場合、GRUベースのモデルが古典的自己回帰モデル（例：ARIMA）を上回った。これは、非線形な時間的パターンをモデル化する価値があることを示している。
• 最も優れた信号は、組織や攻撃タイプによって異なり、効果的な早期警戒システムは、特定の脅威環境に適合させる必要があることを示唆した。
• 複数の高性能信号を統合する信号統合手法は、週単位の予測において有望な結果を示し、アンサンブル信号の活用による堅牢性の向上の可能性を示した。