[論文レビュー] Empirical analysis and statistical modeling of attack processes based on honeypots

Mohamed Kaâniche, Yves Deswarte+3 more|ArXiv.org|Apr 6, 2007

Network Security and Intrusion Detection参考文献 4被引用数 46

ひとこと要約

本稿では、Leurr{\'e}.com ホニーポットプラットフォームから得られたデータを用いて、サイバーインシデントプロセスの実証的分析と統計的モデリングを提示する。統計的モデリングを通じて攻撃パターンを同定し、攻撃がポアソン過程でない、バースト型の挙動を示し、重たい尾を持つ到着間隔を示すことが判明した。これは、従来のモデルが仮定しているものとは対照的であり、サイバー脅威のより正確な、データ駆動型のモデリングの必要性を浮き彫りにする。

ABSTRACT

Honeypots are more and more used to collect data on malicious activities on the Internet and to better understand the strategies and techniques used by attackers to compromise target systems. Analysis and modeling methodologies are needed to support the characterization of attack processes based on the data collected from the honeypots. This paper presents some empirical analyses based on the data collected from the Leurr{é}.com honeypot platforms deployed on the Internet and presents some preliminary modeling studies aimed at fulfilling such objectives.

研究の動機と目的

• ホニーポットから収集した実世界のデータを通じて、サイバーインシデントの統計的特性を理解すること。
• セキュリティモデリングで一般的に用いられるが、攻撃到着がポアソン過程に従うという仮定を疑うこと。
• 実際のサイバーインシデントプロセスのダイナミクスをよりよく反映する統計的モデルの構築と検証を行うこと。
• 正確な攻撃プロセスの特徴付けを通じて、インシデント検知、リスク評価、システムの強化を支援すること。

提案手法

• インターネット上に展開された Leurr{\'e}.com ホニーポットプラットフォームから実世界の攻撃データを収集した。
• 到着間隔、攻撃持続時間、攻撃頻度の分布を調べるために、実証的分析手法を適用した。
• 到着間隔をモデル化するために、パレート分布やワイブル分布といった統計的分布を用い、ポアソン仮定と比較した。
• 適合度の統計的検定を用いて、どの分布が観測された攻撃パターンを最もよく説明するかを評価した。
• バースト型で重たい尾を持つ挙動を反映するために、非ポアソン確率過程を用いて攻撃プロセスをモデル化した。
• ホニーポットログからの観測データと予測された攻撃統計を比較することで、モデルの正確性を検証した。

実験結果

リサーチクエスチョン

• RQ1 実世界のサイバーインシデントは、セキュリティモデリングで一般的に仮定されているようにポアソン過程に従うのか？
• RQ2 ホニーポットデータで観測された攻撃の到着間隔を最もよく説明する統計的分布は何か？
• RQ3 頻度、持続時間、バースト性といった攻撃パターンは、従来のモデルからどのように逸脱しているか？
• RQ4 非ポアソン的攻撃行動のインパクトは、インシデント検知およびリスクモデリングにどのような意味を持つのか？
• RQ5 重たい尾を持つ、またはその他の指数分布でない分布は、攻撃プロセスの統計的モデリングに優れた代替手段となるか？

主な発見

• Leurr{\'e}.com ホニーポットデータにおける攻撃の到着間隔は、重たい尾を持つ分布を示しており、ポアソン過程の指数的（記憶なし）仮定と矛盾する。
• ワイブル分布およびパレート分布は、ポアソンモデルよりも著しく優れた適合度を示し、バースト型で集中的な攻撃行動を示している。
• 多数の攻撃が短時間のバーストで発生しており、これはランダムで独立した出来事ではなく、調整されたまたは自動化されたスキャン活動を示唆している。
• データは自己類似性および長距離依存性の強い証拠を示しており、ポアソンベースのモデルの妥当性をさらに疑問視するものである。
• 一定の攻撃率を仮定する従来のモデルは、実際の攻撃プロセスの真のダイナミクスを捉えられておらず、リスクの低減評価を招く可能性がある。
• 実証的データに基づく統計的モデリングにより、攻撃頻度および発生タイミングのより正確な予測が可能となり、より良いシステム防御計画の支援が可能になる。