[論文レビュー] Intrusion Detection A Text Mining Based Approach

G. Kumar, N. Mangathayaru+1 more|arXiv (Cornell University)|Mar 12, 2016

Network Security and Intrusion Detection参考文献 16被引用数 33

ひとこと要約

本稿では、システムコールをテクスト的シーケンスとして扱うテキストマイニングベースのインシデント検出システムを提案し、ガウス関数から導出された新しい類似度測定法を導入して異常を検出する。フレームワークは、システムコールのシーケンス解析を活用してインシデントを示す乖離を特定し、システムコールパターンに最適化された特化した距離測定法を用いることで、検出精度を向上させる。

ABSTRACT

Intrusion Detection is one of major threats for organization. The approach of intrusion detection using text processing has been one of research interests which is gaining significant importance from researchers. In text mining based approach for intrusion detection, system calls serve as source for mining and predicting possibility of intrusion or attack. When an application runs, there might be several system calls which are initiated in the background. These system calls form the strong basis and the deciding factor for intrusion detection. In this paper, we mainly discuss the approach for intrusion detection by designing a distance measure which is designed by taking into consideration the conventional Gaussian function and modified to suit the need for similarity function. A Framework for intrusion detection is also discussed as part of this research.

研究の動機と目的

• システムコールシーケンスに革新的なテキストマイニング技術を適用することで、増加するサイバーインシデントの脅威に対処すること。
• 異常なシステムコールパターンの検出を向上させるためのドメイン特化型類似度測定法を設計すること。
• システムコール分析とテキストマイニングを活用した包括的なインシデント検出フレームワークを構築すること。
• システムコールシーケンス比較にガウス関数を適応させることで、検出精度を向上させること。

提案手法

• アプリケーション実行中に生成されるシステムコールを、分析対象のテキスト的シーケンスとして使用する。
• システムコールシーケンスの特徴に適合させるために、ガウス関数を変更してカスタム距離測定法を設計する。
• 類似度関数は、システムコールシーケンスの類縁度を評価し、正常行動からの乖離を検出する。
• フレームワークは、リアルタイム監視に適した包括的なインシデント検出パイプラインに類似度測定法を統合する。
• システムコールシーケンスを「ドキュメント」として扱い、テキストマイニング技術を適用してインシデントパターンを検出する。
• 従来の署名ベース手法では検出できない微細な異常を特定するため、シーケンスレベルの分析に重点を置く。

実験結果

リサーチクエスチョン

• RQ1 どのようにしてシステムコールシーケンスをインシデント検出のためのテクストデータとして効果的にモデル化できるか？
• RQ2 システムコールシーケンスを比較して異常を検出するための最適な類似度測定法は何か？
• RQ3 変更されたガウス関数は、システムコール分析におけるインシデント検出の正確性を向上させることができるか？
• RQ4 提案されたフレームワークは、従来のインシデント検出手法と比較して、検出率および誤検出率の面でどのように異なるか？

主な発見

• 変更されたガウス関数に基づく提案された類似度測定法は、異常なシステムコールシーケンスの検出を顕著に向上させる。
• フレームワークは、個々のシステムコールではなく、シーケンスレベルのパターンに注目することで、検出精度を向上させる。
• システムコールシーケンス内の文脈的類似度を活用することで、誤検出を効果的に低減する。
• 特化した距離測定法を用いることで、侵入試行の高精度な同定を実現する。