[論文レビュー] Extending Signature-based Intrusion Detection Systems WithBayesian Abductive Reasoning

Ashwinkumar Ganesan, Pooja Parameshwarappa+3 more|arXiv (Cornell University)|Mar 28, 2019

Network Security and Intrusion Detection被引用数 9

ひとこと要約

本論文は、Snortのような署名ベースのインライン検出システム（IDS）を拡張するためのベイジアン帰納的推論フレームワークを提案する。既存のルールから自動的に進化した攻撃ルールを生成することで、新たな攻撃パターンの検出を可能にする。ルール属性を確率的にモデル化することで、出現する脅威における欠落または変更された条件を予測し、手動でのルール作成を削減するとともに、変種攻撃の検出を向上させる。MACCDC 2012データセット上で27%のアラート増加が確認されたが、重大な誤検出は発生しなかった。

ABSTRACT

Evolving cybersecurity threats are a persistent challenge for systemadministrators and security experts as new malwares are continu-ally released. Attackers may look for vulnerabilities in commercialproducts or execute sophisticated reconnaissance campaigns tounderstand a targets network and gather information on securityproducts like firewalls and intrusion detection / prevention systems(network or host-based). Many new attacks tend to be modificationsof existing ones. In such a scenario, rule-based systems fail to detectthe attack, even though there are minor differences in conditions /attributes between rules to identify the new and existing attack. Todetect these differences the IDS must be able to isolate the subset ofconditions that are true and predict the likely conditions (differentfrom the original) that must be observed. In this paper, we proposeaprobabilistic abductive reasoningapproach that augments an exist-ing rule-based IDS (snort [29]) to detect these evolved attacks by (a)Predicting rule conditions that are likely to occur (based on existingrules) and (b) able to generate new snort rules when provided withseed rule (i.e. a starting rule) to reduce the burden on experts toconstantly update them. We demonstrate the effectiveness of theapproach by generating new rules from the snort 2012 rules set andtesting it on the MACCDC 2012 dataset [6].

研究の動機と目的

• 署名ベースのIDSが、既知の攻撃パターンをわずかに変更した攻撃（進化型攻撃）を検出できないという限界を解決すること。
• 各変種用に新しいSnortルールを生成する作業負荷をセキュリティ専門家から軽減すること。
• 出現中の脅威における、おそらく欠落または変更されたルール条件を自動で予測すること。
• 元の署名ではカバーされていない攻撃を検出できる帰納的ルールの有効性を評価すること。
• しきい値パラメータがルール生成の多様性とシステムカバレッジに与える影響を評価すること。

提案手法

• 既存のSnortルールを用いてベイジアンネットワークを学習し、ルール属性（例：dce_iface、pcre、dce_opnum）間の確率的関係をモデル化する。
• 帰納的推論を用いて、特定のシードルールに対して妥当な欠落または変更された属性値を予測する。
• 予測された属性値と元のルールの構造を組み合わせることで、新しいSnortルールを生成する。
• 各属性ごとに上位-k個の予測値を制御するしきい値パラメータを適用し、ルールの多様性に影響を与える。
• MACCDC 2012データセットを再実行して、アラート数とタイムスタンプを元のルールと比較することで、生成されたルールの妥当性を検証する。
• ベイジアンスコアリングを用いて、最も確率の高いルールバージョンをランク付けし、展開対象を選択する。

実験結果

リサーチクエスチョン

• RQ1 ベイジアン帰納的推論は、進化型サイバー攻撃における欠落または変更されたルール条件を効果的に予測できるか？
• RQ2 帰納的ルールは、元のSnortルールではカバーされていない変種攻撃の検出をどの程度向上できるか？
• RQ3 しきい値パラメータは、生成されたルールの数と多様性にどのように影響するか？
• RQ4 ルール生成の影響は、実際のトラフィックにおけるアラート数と誤検出率にどのような影響を与えるか？
• RQ5 本システムは、署名ベースのIDSルールの保守・更新に必要な人的作業をどの程度軽減できるか？

主な発見

• MACCDC 2012データセット上で、帰納的ルールを用いたところ421件のアラートが発生したのに対し、元のルールでは330件にとどまった。これは、変種攻撃の検出が向上したことを示している。
• アラート数の増加は、未知の攻撃変種の検出によるものであり、誤検出によるものではなかった。タイムスタンプの一致から、既知の攻撃パターンと整合していることが確認された。
• しきい値のチューニングはルール生成に顕著な影響を与えた。低いしきい値ではルールの多様性が向上したが、高いしきい値ではルール出力が減少または完全に消失した。
• ベイジアンモデルは、例えば変更されたNetBIOS DCERPCエクスプロイトに対して、欠落した条件を帰納的に特定し、妥当な属性組み合わせを特定できた。
• 本手法により、Snortルールが本質的に不完全であることが示され、帰納的推論により将来的な脅威を予測するルールカバレッジの拡張が可能であることが明らかになった。
• 本手法により、シードルールから意味的に妥当な新しいルールを自動生成することで、専門家によるルール作成に依存する必要を大幅に削減できた。