[論文レビュー] Machine learning-assisted virtual patching of web applications

Gustavo Betarte, Eduardo Giménez+2 more|arXiv (Cornell University)|Mar 14, 2018

Network Security and Intrusion Detection参考文献 7被引用数 9

ひとこと要約

本稿では、1クラス分類とn-gram解析を用いて、ModSecurityの検出精度を向上させ、誤検出を低減する機械学習強化型仮想パッチ手法を提案する。本手法は、正常なトラフィックパターンを活用した異常検出により、デフォルトのOWASP Core Rule Setを上回る性能を発揮し、低データまたは高データ環境での展開が可能である。

ABSTRACT

Web applications are permanently being exposed to attacks that exploit their vulnerabilities. In this work we investigate the application of machine learning techniques to leverage Web Application Firewall (WAF), a technology that is used to detect and prevent attacks. We propose a combined approach of machine learning models, based on one-class classification and n-gram analysis, to enhance the detection and accuracy capabilities of MODSECURITY, an open source and widely used WAF. The results are promising and outperform MODSECURITY when configured with the OWASP Core Rule Set, the baseline configuration setting of a widely deployed, rule-based WAF technology. The proposed solution, combining both approaches, allow us to deploy a WAF when no training data for the application is available (using one-class classification), and an improved one using n-grams when training data is available.

研究の動機と目的

• ModSecurityに搭載されたOWASP Core Rule SetのようなルールベースのWebアプリケーションファイアウォール（WAF）における高い誤検出率と硬直性を解消すること。
• 攻撃ラベルデータが入手できない状況においても、機械学習を用いて正常なアプリケーション動作を学習し、WAFの検出能力を向上させること。
• ゼロデイ攻撃に強い1クラス分類と、学習データが利用可能な場合に高い精度を発揮するn-gram解析を組み合わせた補完的アプローチを開発すること。
• ソースコードが入手不可またはパッチ適用が困難な実世界のシナリオにおいて、インテリジェントなWAFの実用的展開を可能にすること。
• 既存のWAF（例：ModSecurity）に機械学習を統合するフレームワークを提供し、手動でのルールチューニングを削減するとともに、セキュリティ体制を強化すること。

提案手法

• 既知の攻撃パターンから抽出した特徴量に基づき、正常なWebリクエスト動作をモデル化する1クラス分類を用い、ラベルなし攻撃データでも異常検出が可能となるようにする。
• Webパラメータの入力シーケンスの統計的分布をn-gram解析でモデル化し、可変長n-gram（最大設定可能なnまで）を用いて構造的パターンを捉える。
• 各フィールドごとにn-gram長を設定（例：メールアドレスのようなスパarsなフィールドでは短めのn）することで、感度の最適化とスパarsity問題の低減を図る。
• 正当なトラフィックを用いてn-gramモデルを学習し、期待される入力分布を把握し、その逸脱を攻撃の兆候として特定する。
• 両モデルの出力をラベル統合（正常／攻撃）により統合し、検出の堅牢性と適応性を向上させる。
• ModSecurityのログ処理および検査パイプラインを活用し、MLモデルをプラグイン層として統合し、リアルタイムのトラフィック解析を実現する。

実験結果

リサーチクエスチョン

• RQ1 攻撃アプリケーション固有の学習データが入手できない状況において、1クラス分類はWAF検出性能を向上させ得るか？
• RQ2 正常なトラフィックで学習したn-gramベースの異常検出は、攻撃ペイロードの同定にどの程度有効か？
• RQ3 1クラス分類とn-gram解析の組み合わせは、検出率と誤検出率の両面で、デフォルトのOWASP Core Rule Setを上回るか？
• RQ4 モデルパラメータ（例：n-gram長、特徴選択）の設定が、多様なWebアプリケーションタイプにおける性能に与える影響はいかほどか？
• RQ5 機械学習ベースの仮想パッチは、生産環境でのWAF展開において、どの程度手動でのルールチューニングの必要性を低減できるか？

主な発見

• アプリケーション固有の学習データが入手できない状況では、1クラス分類モデルがModSecurityにOWASP Core Rule Setを搭載した場合よりも優れた検出性能と誤検出率を達成した。
• n-gramベースの異常検出モデルは、3つのテストデータセットのうち2つにおいて、ModSecurityのデフォルト設定を顕著に上回り、悪意ある入力の同定において優れた精度を示した。
• 両モデルの組み合わせにより、データが乏しい（1クラス）および豊富な（n-gram）両方のシナリオに適用可能な堅牢なソリューションが実現された。
• 提案手法により、ModSecurityのログに含まれる誤検出を特定し、ルールセットの精緻化に活用可能なため、手動でのルールチューニングの必要性が低減された。
• n-gramモデルは、攻撃の事前知識がなくても、期待される入力パターンからの逸脱を検出できることから、ゼロデイ攻撃に対しても高い耐性を示した。
• ModSecurityのような既存のWAFへの統合に実用的であることが実証され、ネイティブモジュール開発への明確な道筋が示された。