[論文レビュー] "Flow Size Difference" Can Make a Difference: Detecting Malicious TCP Network Flows Based on Benford's Law

Aamo Iorliam, Santosh Tirunagari+4 more|arXiv (Cornell University)|Sep 14, 2016

Benford’s Law and Fraud Detection参考文献 42被引用数 4

ひとこと要約

本稿では、新たなネットワークフローメトリクス「フローサイズディファレンス」にベンフォードの法則を適用することで、悪意あるTCPフローを検出する、未学習の侵入検知システム（IDS）を提案する。通常のフローはこのメトリクスにおいてベンフォードの法則を満たすが、悪意あるフローは著しく逸脱するため、学習データや複雑な設定を必要とせず、実データセット上で高いAUC性能を達成する異常検知が可能である。

ABSTRACT

Statistical characteristics of network traffic have attracted a significant amount of research for automated network intrusion detection, some of which looked at applications of natural statistical laws such as Zipf's law, Benford's law and the Pareto distribution. In this paper, we present the application of Benford's law to a new network flow metric "flow size difference", which have not been studied before by other researchers, to build an unsupervised flow-based intrusion detection system (IDS). The method was inspired by our observation on a large number of TCP flow datasets where normal flows tend to follow Benford's law closely but malicious flows tend to deviate significantly from it. The proposed IDS is unsupervised, so it can be easily deployed without any training. It has two simple operational parameters with a clear semantic meaning, allowing the IDS operator to set and adapt their values intuitively to adjust the overall performance of the IDS. We tested the proposed IDS on two (one closed and one public) datasets, and proved its efficiency in terms of AUC (area under the ROC curve). Our work showed the "flow size difference" has a great potential to improve the performance of any flow-based network IDSs.

研究の動機と目的

• 提案された新規メトリクス「フローサイズディファレンス」が、通常のTCPネットワークリソースでベンフォードの法則に従うかどうかを調査すること。
• フローサイズディファレンスにベンフォードの法則を適用した、しきい値ベースの未学習IDSを構築し、悪意あるフローを検出すること。
• ラベル付き悪意ある活動を含む実世界および公開のネットワーングレートデータセット上で、この手法の性能を評価すること。
• フローサイズ単体よりも、フローサイズディファレンスがより効果的な異常指標であることを示すこと。
• 実世界への導入に適した、2つの直感的なパrameterを持つ単純で解釈可能なIDSを提供すること。

提案手法

• 著者らは、双方向TCPフローにおける送信バイト数と受信バイト数の絶対差として「フローサイズディファレンス」を定義する。
• フローメトリクスの先頭桁の分布にベンフォードの法則を適用する。
• 本手法は2つの運用パrameter（T：ベンフォードの法則への逸脱のしきい値、W：フロー集約用のスライディングウインドウサイズ）を用いる。
• Kolmogorov-Smirnov検定のp値がT未満となる場合、W個のフローのウインドウ内で異常と判断される。
• 本IDSは未学習の動作をとるため、ラベル付き学習データを必要とせず、運用者が直感的にパラメータを調整可能である。
• 本手法は、閉鎖型TRTデータセットと公開データセットの両方で評価され、AUCを主な性能指標として用いている。

実験結果

リサーチクエスチョン

• RQ1 通常のTCPフローにおけるフローサイズディファレンスメトリクスは、ベンフォードの法則に近接して従うか？
• RQ2 悪意あるTCPフローは、フローサイズディファレンスメトリクスにおいてベンフォードの法則から著しく逸脱するか？
• RQ3 フローサイズディファレンスにベンフォードの法則を適用した未学習IDSは、最小限の設定で高い検出性能を達成できるか？
• RQ4 パラメータTとWは、IDSの検出精度および進化する脅威への適応性にどのように影響するか？
• RQ5 本手法は、UDPやICMPなどの他のフロー形式、あるいは一般化されたベンフォードの法則へも一般化可能か？

主な発見

• 通常のTCPフローはフローサイズディファレンスメトリクスにおいてベンフォードの法則に強く従うが、悪意あるフローは著しく逸脱する。
• 提案されたIDSは、閉鎖型TRTデータセットおよび公開データセットの両方で高いAUC性能を達成し、強力な検出能力を示した。
• 本手法は学習データを一切必要としないため、攻撃シグネチャの事前知識がなくても、実環境への導入が可能である。
• パラメータTとWは明確な意味を持つため、運用者が望む感度と応答性に合わせて直感的にシステムをチューニングできる。
• 攻撃者がベンフォードの法則を正確に模倣するか、攻撃量を著しく減らす必要があるため、回避攻撃に対して耐性がある。両者とも現実的ではなく、自らの攻撃を無効にしかねない。
• フローサイズディファレンスから導出される統計的に堅牢な新規特徴を導入することで、既存のフローベースIDSの性能向上が期待できる。