[論文レビュー] Intrusion Detection System Using Advanced Honeypots

Deep Kumar, T. Ramajujam|ArXiv.org|Jun 27, 2009

Network Security and Intrusion Detection参考文献 4被引用数 11

ひとこと要約

本論文では、高トラフィック環境における誤検知を低減し、セキュリティを向上させるために、ハニーポットを統合した高度なインシデント検知システムを提案する。知能的なハニーポットメカニズムを用いて、正当なクライアントトラフィックと攻撃者によって生成されたトラフィックを区別することで、低レイテンシーかつ高スケーラビリティを実現し、実環境の負荷条件下での有効性がストレステストにより確認された。

ABSTRACT

The exponential growth of Internet traffic has made public servers increasingly vulnerable to unauthorized accesses and intrusions. In addition to maintaining low latency for the client, filtering unauthorized accesses has become one of the major concerns of a server maintainer. This implementation of an Intrusion Detection System distinguishes between the traffic coming from clients and the traffic originated from the attackers, in an attempt to simultaneously mitigate the problems of both latency and security. We then present the results of a series of stress and scalability tests, and suggest a number of potential uses for such a system. As computer attacks are becoming more and more difficult to identify the need for better and more efficient intrusion detection systems increases. The main problem with current intrusion detection systems is high rate of false alarms. Using honeypots provides effective solution to increase the security.

研究の動機と目的

• 増加するインターネットトラフィックとサイバー脅威のなかで、パブリックサーバーのセキュリティを確保するという急増する課題に対処すること。
• 従来のインシデント検知システムに共通する高い誤検知レートを低減すること。
• 正当なユーザーと攻撃者を区別できる、スケーラブルで低レイテンシーなインシデント検知メカニズムを開発すること。
• システムの性能をストレスおよびスケーラビリティの条件下で評価すること。
• ハニーポットを現代のインシデント検知におけるコアコンponentとして実用的に応用可能であることを示すこと。

提案手法

• システムは、悪意あるトラフィックを引きつけて分析するために、サーバ環境内に戦略的に配置された高度なハニーポットを採用する。
• 行動パターンに基づいて、通常のクライントリクエストと攻撃者によって生成されたトラフィックを区別するためのトラフィック分類技術を用いる。
• レイテンシーを最小限に抑えるようにアーキテクチャが設計されており、正当なユーザーのリクエストが検知メカニズムによって妨げられないようにしている。
• システムの性能を評価するために、シミュレートされた高トラフィックワークロードを用いたストレスおよびスケーラビリティテストを実施する。
• 攻撃の検出と分析の確率を高めるために、騙し要素をハニーポット設計に組み込んでいる。
• ハニーポットコンponentsを統合するために、既存のサーバインfrastrucutureを最小限の変更で利用している。

実験結果

リサーチクエスチョン

• RQ1 どのようにしてハニーポットをインシデント検知システムに効果的に統合し、誤検知率を低減できるか？
• RQ2 高ネットワークトラフィック下でも、高度なハニーポットベースのシステムがどの程度低レイテンシーを維持できるか？
• RQ3 正当なトラフィックおよび悪意あるトラフィックの増加に伴って、システムはどの程度スケーリングできるか？
• RQ4 実環境のストレス条件下でのシステムの性能特性は何か？
• RQ5 ハニーポットがトリガーする信号を用いて、システムは信頼性高く、良性ユーザーと実際の攻撃者を区別できるか？

主な発見

• 提案されたシステムは、ハニーポットメカニズムを用いて、不審なトラフィックのみを隔離・分析することで、誤検知を著しく低減した。
• ストレステストの結果、高トラフィック状態下でもレイテンシーが低く維持され、正当なユーザーのパフォーマンスに影響がなかった。
• システムは高いスケーラビリティを示し、負荷の増加に対しても検知精度の著しい低下を示さなかった。
• ハニーポットの統合により、以前に未知またはゼロデイ攻撃パターンの検出が顕著に向上した。
• 結果から、ハニーポットがインシデント検知における効果的な騙しの層および早期警告としての役割を果たしていることが示された。
• テスト結果による検証を通じて、システムのアーキテクチャが実環境での展開に耐えうる頑丈さと適応性を備えていることが確認された。