[論文レビュー] Mobile Network Anomaly Detection and Mitigation: The NEMESYS Approach

Omer H. Abdelrahman, Erol Gelenbe+2 more|arXiv (Cornell University)|May 18, 2013

Network Security and Intrusion Detection参考文献 29被引用数 4

ひとこと要約

本稿では、モバイルネットワークにおけるマルウェアやネットワーク攻撃を検出・緩和するモデルベースの異常検出フレームワーク、NEMESYSを提案する。本フレームワークは、分析的モデリング、リアルタイムのシグナルおよび請求データ、および準教師あり学習を統合し、SMSスパムやデータ漏洩などの異常パターンを早期に検出可能にする。通話課金記録およびネットワークトラフィックの行動プロファイルとキューイングモデルを活用することで、スケーラブルでネットワークレベルの防御が可能となり、デバイスのリソース消費を低減するとともに、事業者レベルのセキュリティ監視を強化する。

ABSTRACT

Mobile malware and mobile network attacks are becoming a significant threat that accompanies the increasing popularity of smart phones and tablets. Thus in this paper we present our research vision that aims to develop a network-based security solution combining analytical modelling, simulation and learning, together with billing and control-plane data, to detect anomalies and attacks, and eliminate or mitigate their effects, as part of the EU FP7 NEMESYS project. These ideas are supplemented with a careful review of the state-of-the-art regarding anomaly detection techniques that mobile network operators may use to protect their infrastructure and secure users against malware.

研究の動機と目的

• スマートフォンやタブレットを標的とするモバイルマルウェアおよびネットワーク攻撃の増加に対処する。スマートフォンやタブレットの使用がデスクトップを上回っており、オープンなアプリエコシステムと強力なハードウェアのため、標的としてのリスクが高まっている。
• 広範な被害を引き起こす前に異常や攻撃を検出できる、能動的でネットワークベースのセキュリティソリューションを提供する。反応型のセキュリティ対策にとどまらず、前もって対応する。
• デバイスレベルのセキュリティに依存するのを減らし、検出処理をネットワークに移譲することで、デバイスのバッテリー消費と帯域幅の使用を抑えつつ、すべてのユーザーに広範な可視性を維持する。
• クライアント側の変更やアップデートが不要な状態で、特に制御プレーンおよび請求データ（CDRs）を活用して、既存のネットワークインfraを活用して悪意ある行動を検出する。
• 数学的モデリング、シミュレーション（OPNETを用いて）、学習手法を統合した、分析的に根拠を持つスケーラブルなフレームワークを構築し、大規模モバイルネットワークにおけるリアルタイム異常検出を実現する。

提案手法

• 個々のモバイル接続をモデル化するフレームワークを用い、コールセットアップ、請求連携、機密データアクセス手順を含め、正常行動と異常行動の均一な分析を可能にする。
• キューイングモデルを用いて、シグナルシステムの混雑状態を分析し、異常なトラフィックパターンや攻撃を示すボトルネックを同定する。
• 大量のリアルタイムシグナルおよびCDRデータを処理するための、準教師ありおよび教師なし機械学習アルゴリズムを開発し、異常検出および分類を実現する。
• ネットワーク測定値、制御プレーンデータ、および通話課金記録（CDRs）を入力として用い、異常なSMSパターンや異常なコール増加などの行動的逸脱を検出する。
• 複数のデータソースを統合する。CDRsはトラフィック量とパターン分析に、コンテンツマッチングはHTTPヘッダの異常を、行動プロファイリングは一時的で悪意あるアカウントを検出する。
• OPNETシミュレーションを用いて検出アルゴリズムのテストと検証を行い、ネットワークパラメータの調整や、早期の脅威緩和戦略の最適化を可能にする。

実験結果

リサーチクエスチョン

• RQ1 多様なユーザ行動やネットワーク相互作用をカバーする統一された解析的モデルを、どのように構築すれば、異常検出の一貫性を確保できるか？
• RQ2 制御プレーンおよび請求データ（特にCDRs）は、SMSスパムやプレミアムレート詐欺などの悪意ある行動を特定するために、どのような役割を果たすか？
• RQ3 準教師ありおよび教師なし学習手法を、リアルタイムで大量のシグナルおよび請求データに効果的に適用し、新たなまたは進化する攻撃を検出するにはどうすればよいか？
• RQ4 スケーラビリティ、バッテリー効率、クライアント側の改ざんに対する耐性という観点から、ネットワークレベルの異常検出は、デバイスレベルのセキュリティに比べて、どのような点で優れているか？
• RQ5 キューイングモデルを用いて、DDoS攻撃や詐欺攻撃の兆候となる異常なシグナル行動を予測・検出するには、どのように応用できるか？

主な発見

• 通話課金記録（CDRs）と行動分析を統合することで、SMSスパムやM2Mに類似した詐欺パターンの検出が可能である。これは、スパマーと正当なユーザー、M2Mデバイスを比較した研究で示された。
• CDRsにファジィ論理およびマルコフクラスタリングを適用することで、自動ダイヤラー用アプリやソーシャルエンジニアリング詐欺に使用されるような、正常と悪意ある通信プロファイルを区別できる。
• HTTPヘッダのフラグと構文マッチングを用いたコンテンツベース検出は、データ漏洩の試みを同定可能であるが、エンドツーエンド暗号化が適用されると効果が低下する。
• 仮想化されたデバイスレプリカを用いたクラウドベースの検出では、ウイルススキャナーやIDSといった重量なセキュリティツールの利用が可能であるが、同期とエネルギーコストが高くなる。
• 提案されたモデルベースのアプローチにより、スケーラブルで分散処理が可能となり、複雑なネットワーク行動を解析可能なコンponentsに分解できる。これにより、アルゴリズムの検証とリアルタイム性能が向上する。
• OPNETを用いたシミュレーションにより、検出された脅威を緩和するためのネットワークパラメータ調整を早期に特定可能となり、能動的なネットワーク管理を支援する。