[論文レビュー] Intrusion Alert Prediction Using a Hidden Markov Model

Udaya Sampath K. Perera Miriya Thanthrige, Jagath Samarabandu+1 more|arXiv (Cornell University)|Oct 24, 2016

Network Security and Intrusion Detection参考文献 9被引用数 9

ひとこと要約

本稿では、bag-of-wordsモデルとk-meansクラスタリングを用いてアラート属性をクラスタにグループ化することで、将来のインシデントアラートを予測するHMMベースのフレームワークを提案する。単一ステップ予測では81%、五ステップ予測では77%の正確度を達成し、アラートカテゴリでは95%と92%を記録。先行する可変長マルコフ連鎖手法よりもカテゴリ予測で5%の向上を示し、応答行動に向けたより豊かな文脈的情報を提供する。

ABSTRACT

Intrusion detection is only a starting step in securing IT infrastructure. Prediction of intrusions is the next step to provide an active defense against incoming attacks. Current intrusion prediction methods focus mainly on prediction of either intrusion type or intrusion category and do not use or provide contextual information such as source and target IP address. In addition most of them are dependant on domain knowledge and specific scenario knowledge. The proposed algorithm employs a bag-of-words model together with a hidden Markov model which not depend on specific domain knowledge. Since this algorithm depends on a training process it is adaptable to different conditions. A key advantage of the proposed algorithm is the inclusion of contextual data such as source IP address, destination IP range, alert type and alert category in its prediction, which is crucial for an eventual response. Experiments conducted using a public data set generated over 2500 alert predictions and achieved accuracy of 81% and 77% for single step and five step predictions respectively for prediction of the next alert cluster. It also achieved an accuracy of prediction of 95% and 92% for single step and five step predictions respectively for prediction of the next alert category. The proposed methods achieved a prediction accuracy improvement of 5% for alert category over existing variable length Markov chain intrusion prediction methods, while providing more information for a possible defense.

研究の動機と目的

• 特定の攻撃知識や事前定義されたシナリオに依存しないドメインに依存しないインシデントアラート予測システムの開発。
• アラートタイプやカテゴリに加え、送信元IP、宛先IP、アラートタイプを予測することで、インシデント対応を能動的に行う。
• 複数のアラート属性を統合した統一されたアラートクラスタ表現を用いることで、予測の正確度と文脈の豊かさを向上。
• 変化するネットワーク環境や攻撃パターンに適応できる学習可能で柔軟なモデルの構築。
• 従来の手法がアラートカテゴリやタイプにのみ焦点を当てており、攻撃者・被害者間の文脈を考慮しないという限界の是正。

提案手法

• アラートタイプ、カテゴリ、送信元IP、宛先IP範囲などのアラート属性を特徴ベクトルにエンコードするため、bag-of-words (BoW) モデルを用いる。
• 類似したアラートをクラスタにグループ化するため、k-meansクラスタリングを適用し、次元削減とシーケンスモデリングを可能にする。
• アラートクラスタのシーケンスに対してHMMを訓練し、時間的依存関係をモデル化し、次のクラスタを予測する。
• 歴史的アラートシーケンスから遷移確率と発生確率を推定するために、 Baum-Welchアルゴリズムを用いてHMMを訓練する。
• 最も確率の高い隠れ状態のシーケンスと対応するアラートクラスタを特定するために、Viterbiアルゴリズムを用いて予測を実行する。
• フレームワークは単一ステップおよびマルチステップ予測をサポートし、次のアラートクラスタまたはカテゴリを正しく予測する精度に基づいて評価される。

実験結果

リサーチクエスチョン

• RQ1 アラート属性のみに依存し、ドメイン固有の知識を必要としないシーケンスベースのHMMモデルは、将来のインシデントアラートを効果的に予測できるか？
• RQ2 アラートクラスタに送信元IP、宛先IP、アラートタイプを組み込むことで、カテゴリのみのモデルに比べて予測の正確度と実行可能性がどのように向上するか？
• RQ3 インシデントアラート予測の正確度を最大化するために最適なアラートクラスタ数と隠れ状態数は何か？
• RQ4 提案されたHMMベースのアラートクラスタ予測手法は、従来の可変長マルコフ連鎖手法と比較して、アラートカテゴリ予測のパフォーマンスでどの程度優れているか？
• RQ5 本モデルは、学習データに存在しない未観測のインシデントタイプに対しても一般化できるか？

主な発見

• 提案されたHMMベースのアラートクラスタ予測は、DARPAデータセットにおいて単一ステップ予測で81%、五ステップ予測で77%の正確度を達成した。
• アラートカテゴリ予測では単一ステップで95%、五ステップで92%の正確度を記録し、先行する可変長マルコフ連鎖手法よりも5%の向上を示した。
• クラスタ数が少ない場合（例：5クラスタはレベル3予測で88%の正確度）に正確度が最も高かったが、クラスタ数が少なすぎると異なるアラートタイプが混同されるリスクがあった。
• 隠れ状態数が5～8のとき、2～4状態のときよりも予測正確度が顕著に向上し、レベル1正確度で24%の差が生じた。
• フレームワークは送信元IPおよび宛先IPを含む完全なアラートクラスタを正しく予測でき、標的化され文脈に配慮したインシデント対応を可能にした。
• 本モデルは、学習データに存在しないインシデントタイプの予測には限界があり、検出システムを誤導するように設計された悪意ある偽アラートに対して脆弱である。