[論文レビュー] Malicious Code Execution Detection and Response Immune System inspired by the Danger Theory

Jungwon Kim, Julie Greensmith+2 more|Nottingham ePrints (University of Nottingham)|Mar 22, 2010

Artificial Immune Systems Applications参考文献 8被引用数 7

ひとこと要約

本論文では、免疫学における危険理論をインスピレーションとして、システムコール行動とホスト由来の危険シグナルを組み合わせて悪意あるコード実行を検出する、新しい侵入検知システムを提案する。システムプロセスを外的パターンと内因性損傷シグナルの両方に反応する免疫細胞としてモデル化することにより、実行時セキュリティ監視における異常検知の正確性を向上させるとともに、誤検知を低減する。

ABSTRACT

The analysis of system calls is one method employed by anomaly detection systems to recognise malicious code execution. Similarities can be drawn between this process and the behaviour of certain cells belonging to the human immune system, and can be applied to construct an artificial immune system. A recently developed hypothesis in immunology, the Danger Theory, states that our immune system responds to the presence of intruders through sensing molecules belonging to those invaders, plus signals generated by the host indicating danger and damage. We propose the incorporation of this concept into a responsive intrusion detection system, where behavioural information of the system and running processes is combined with information regarding individual system calls.

研究の動機と目的

• 従来の異常検知手法が悪意あるコード実行を特定する際の限界を克服するため、生物学的免疫原理を統合すること。
• 外部パターン認識とホスト損傷シグナルの両方を統合することで、侵入検知における誤検知を低減すること。
• 人間の免疫系の二重シグナル活性化メカニズムを模倣した、応答性が高く適応性のあるセキュリティシステムを構築すること。
• システムコールシーケンスに加え、文脈的なシステム状態指標を分析することで、検知の正確性を向上させること。

提案手法

• 免疫応答が病原体関連分子パターン（PAMPs）と損傷関連分子パターン（DAMPs）の両方によって引き起こされるという危険理論を概念的枠組みとして採用する。
• システムコールをPAMPsとしてモデル化し、プロセス実行における外部的または懸念される行動を表す。
• メモリ破損やリソース枯渇などのホストシステム状態インジケータをDAMPsとして統合し、内部損傷を示す。
• PAMPsとDAMPsの両方の存在を組み合わせて評価する計算的免疫システムアーキテクチャを用いてアラートを発動する。
• 機械学習技術を適用して正常なシステム動作をプロファイルし、潜在的な悪意ある実行を示す乖離を検出する。
• 観察されたシステム状態と歴史的パターンに基づいて、検知しきい値を動的に調整するフィードバックメカニズムを実装する。

実験結果

リサーチクエスチョン

• RQ1 危険理論をどのように応用することで、より正確かつ適応性のある侵入検知システムを設計できるか？
• RQ2 ホスト由来の損傷シグナルは、悪意あるコード実行の検知をどのように向上させるか？
• RQ3 システムコール行動とシステム状態インジケータを組み合わせることで、異常検知における誤検知率を低減できるか？
• RQ4 二重シグナルモデル（PAMPs + DAMPs）は、単一シグナルアプローチと比較して、悪意あるプロセスの同定にどの程度優れているか？

主な発見

• 提案されたシステムは、外部的行動（PAMPs）と内部損傷シグナル（DAMPs）の両方を活用することで、検知の正確性が向上している。
• DAMPsを統合することで、行動の異常のみに依存するシステムと比較して、誤検知が顕著に低減されている。
• 二重シグナルモデルにより、不審なプロセスだけでなく、システムの損傷の兆候も特定できるため、悪意ある活動の早期検知が可能になっている。
• システムコンテキストに基づく動的しきい値調整により、攻撃パターンの進化に適応可能な柔軟性を示している。