[論文レビュー] Hierarchical Online Intrusion Detection for SCADA Networks

Hongrui Wang, Tao Lű+3 more|arXiv (Cornell University)|Nov 28, 2016

Network Security and Intrusion Detection参考文献 24被引用数 5

ひとこと要約

本稿では、論理回帰と準ニュートン最適化を用いた階層的オンラインインライン検出システム（HOIDS）を提案し、SCADAネットワークにおけるリアルタイムでスケーラブルかつ効率的な検出を実現する。情報利得に基づく特徴選択とPCAに基づく次元削減を適用することで、アドレススキャンのようなレアな攻撃に対しても高い検出精度（リCALL 0.7、PRECISION 0.567）を維持しつつ、性能劣化を伴わずに学習および検出を大幅に高速化する。

ABSTRACT

We propose a novel hierarchical online intrusion detection system (HOIDS) for supervisory control and data acquisition (SCADA) networks based on machine learning algorithms. By utilizing the server-client topology while keeping clients distributed for global protection, high detection rate is achieved with minimum network impact. We implement accurate models of normal-abnormal binary detection and multi-attack identification based on logistic regression and quasi-Newton optimization algorithm using the Broyden-Fletcher-Goldfarb-Shanno approach. The detection system is capable of accelerating detection by information gain based feature selection or principle component analysis based dimension reduction. By evaluating our system using the KDD99 dataset and the industrial control system dataset, we demonstrate that HOIDS is highly scalable, efficient and cost effective for securing SCADA infrastructures.

研究の動機と目的

• 標準プロトコルやオペレーティングシステムの増加に伴い、インフラがますます脆弱化する状況に対処するため。
• 従来の署名ベースのIDSが未知または変種攻撃を検出できないという限界を克服するため。
• SCADAデバイスの計算制約と制御システムの低遅延要件を満たす、スケーラブルかつリアルタイムなインライン検出システムを設計するため。
• 計算オーバーヘッドを最小限に抑えつつ、効果的な特徴選択と次元削減により検出性能を向上させるため。
• クライアント・サーバアーキテクチャを採用することで、リソース制約のあるSCADA環境に機械学習ベースの異常検出を導入可能にするため。

提案手法

• システムは、制御センター、変電所、現場ネットワークに分散配置された分散型IDSクライアントと中央のIDSサーバーを有する階層的オンライン設計を採用し、ネットワークへの影響を最小限に抑えつつグローバルな保護を実現する。
• バイナリ正常／異常検出とマルチアタック分類には、効率的なモデル学習を実現するためのBroyden-Fletcher-Goldfarb-Shanno（BFGS）準ニュートン最適化を用いた論理回帰を実装する。
• 特徴選択には情報利得（IG）を用い、関連性の高い特徴を優先することで、検出性能を維持したまま特徴集合を削減する。
• 次元削減には主成分分析（PCA）を適用し、7つの成分にデータを射影することで、100%以上の分散を保持する。
• 性能評価には、KDD99および産業制御システム（ICS）データセットを用いた10×10交差検証を実施し、異なる特徴削減順序を比較する。
• さらに、名目変数「アドレス」を7特徴データセットに統合することで、稀な攻撃クラスの検出が向上する。

実験結果

リサーチクエスチョン

• RQ1 機械学習に基づく階層的オンラインインライン検出システムは、計算オーバーヘッドを低く抑えつつ、SCADAネットワークにおける既知および未知の攻撃を効果的に検出できるか？
• RQ2 情報利得（IG）に基づく特徴選択と、ランダムまたは高IG順の特徴削減を比較した場合、検出精度と速度の維持にどのような差が生じるか？
• RQ3 PCAに基づく次元削減は、SCADAネットワークトラフィックの特徴数を削減するにあたり、検出性能をどの程度維持できるか？
• RQ4 「アドレス」のような名目変数の統合により、アドレススキャンのような低頻度攻撃の検出がどの程度向上するか？
• RQ5 提案されたHOIDSアーキテクチャは、実世界のSCADA展開において、リアルタイム性能、スケーラビリティ、リソース効率のバランスをどのように達成できるか？

主な発見

• 情報利得（IG）の増加順に特徴を削減することで、高い検出性能を維持でき、わずか3〜4特徴にまで削減されても安定したリCALLとPRECISIONを達成する。
• 高IG値の特徴から選択するか、ランダム順に特徴を削減すると、精度とリCALLが著しく低下する。これは、IGに基づく選択が性能維持に不可欠であることを示している。
• 7特徴未満の状況では、PCAに基づく次元削減がIGベースの削減を上回る性能を示す。2成分にまで削減されてもリCALLは安定し、PRECISIONは向上する。
• 7特徴データセットに名目変数「アドレス」を統合することで、アドレススキャン攻撃の検出リCALLが0.0から0.700に、PRECISIONが0.0から0.567に上昇し、稀な攻撃の検出が顕著に向上した。
• 10×10交差検証の結果、7特徴を用いた最良のモデルは、アドレススキャン攻撃に対してリCALL 0.700、PRECISION 0.567を達成し、12特徴を用いた先行研究を上回った。
• 本システムは高いスケーラビリティと効率性を示しており、ネットワークへの影響が最小限で、KDD99およびICSデータセットの両方で優れた性能を発揮した。これは、リアルタイムSCADA環境への適性を裏付けている。