[論文レビュー] NLP Methods in Host-based Intrusion Detection Systems: A Systematic Review and Future Directions

Zarrin Tasnim Sworna, Zahra Mousavi+1 more|arXiv (Cornell University)|Jan 20, 2022

Network Security and Intrusion Detection被引用数 5

ひとこと要約

本システマティックレビューでは、自然言語処理（NLP）技術をホストベースのインシデント検知システム（HIDS）に応用し、複雑で低スコア、ゼロデイ攻撃の検出を向上させる手法を調査する。システムコールのシーケンスを自然言語の文とみなすことで、深層学習モデル（例：BiLSTM、CNN、アテンション機構）を含むNLPベースの手法の有効性を評価し、従来のパターンマッチング手法と比較して誤検出の低減と異常検出精度の向上が図られることを示している。

ABSTRACT

Host based Intrusion Detection System (HIDS) is an effective last line of defense for defending against cyber security attacks after perimeter defenses (e.g., Network based Intrusion Detection System and Firewall) have failed or been bypassed. HIDS is widely adopted in the industry as HIDS is ranked among the top two most used security tools by Security Operation Centers (SOC) of organizations. Although effective and efficient HIDS is highly desirable for industrial organizations, the evolution of increasingly complex attack patterns causes several challenges resulting in performance degradation of HIDS (e.g., high false alert rate creating alert fatigue for SOC staff). Since Natural Language Processing (NLP) methods are better suited for identifying complex attack patterns, an increasing number of HIDS are leveraging the advances in NLP that have shown effective and efficient performance in precisely detecting low footprint, zero day attacks and predicting the next steps of attackers. This active research trend of using NLP in HIDS demands a synthesized and comprehensive body of knowledge of NLP based HIDS. Thus, we conducted a systematic review of the literature on the end to end pipeline of the use of NLP in HIDS development. For the end to end NLP based HIDS development pipeline, we identify, taxonomically categorize and systematically compare the state of the art of NLP methods usage in HIDS, attacks detected by these NLP methods, datasets and evaluation metrics which are used to evaluate the NLP based HIDS. We highlight the relevant prevalent practices, considerations, advantages and limitations to support the HIDS developers. We also outline the future research directions for the NLP based HIDS development.

研究の動機と目的

• NLP手法がHIDSで用いられ、複雑な攻撃パターンを検出するためにどのように活用されているかを特定・分類すること。
• NLPベースのHIDSアプローチが対象としているデータセット、評価指標、攻撃タイプを分析すること。
• NLPをHIDS開発に応用する上での利点、制限、実用的配慮事項を評価すること。
• システムコールシーケンスへのNLP技術の応用を包括的に分類する分類体系を構築すること。
• 実世界のサイバー防御応用におけるNLPベースのHIDSを発展させるための将来的な研究方向性を提示すること。

提案手法

• PRISMAガイドラインに従い、NLPをHIDSに応用した査読付き論文のシステマティックレビュー（SLR）を実施した。
• NLP技術をHIDSパイプライン（システムコールシーケンス表現、埋め込み、異常検出モデル）にマッピングした。
• 単語埋め込み（例：Word2Vec）、シーケンスモデル（例：BiLSTM、GRU）、アテンション機構など、NLP手法をカテゴリに分類した。
• 検出率、誤検出率（FAR）、F1スコアといった標準的な指標を用いて、複数のデータセットでモデルのパフォーマンスを評価した。
• n-gram、シーケンス・トゥ・シーケンスモデル、埋め込みベース表現といったシステムコール表現技術を分析した。
• 65件の引用文献を統合的に分析し、NLPベースのHIDS開発におけるトレンド、ギャップ、ベストプラクティスを同定した。

実験結果

リサーチクエスチョン

• RQ1 HIDSで最も一般的に使用されているNLP技術は何か。また、それらはシステムコールシーケンスにどのように応用されているか。
• RQ2 NLPベースのHIDS研究で一般的なデータセットと評価指標は何か。それらはモデルのパフォーマンスにどのように影響しているか。
• RQ3 NLPベースのHIDSは、従来のHIDSと比較して、検出精度と誤検出の低減の点でどのように異なるか。
• RQ4 データの不均衡やリアルタイム処理の観点から、NLPをHIDSに応用する上での主な課題と制限は何か。
• RQ5 NLPをホストベースのインシデント検知システムに発展させるにあたり、将来的に示唆されている研究方向性は何か。

主な発見

• NLPベースのHIDSは、システムコールシーケンスの文脈的理解により、複雑で低スコア、ゼロデイ攻撃の検出において、従来のパターンマッチングHIDSを大きく上回っている。
• BiLSTM、CNN-BiLSTMハイブリッド、アテンション機構といった深層学習モデルは、一部の研究で最大98.7％の検出率を達成し、従来手法よりも高い検出率と低い誤検出率を実現している。
• システムコールの埋め込み表現（例：Word2Vec、GloVe）により、意味的類似度の検出が向上し、正常および異常行動のモデリングがより良くなる。
• シーケンス・トゥ・シーケンスモデルやオートエンコーダーは、ストリーミングのシステムコールデータにおける異常予測や再構築ベースの検出において強力な可能性を示している。
• GANやシーケンス生成モデルといったデータ拡張技術により、クラスの不均衡が生じる状況や低データ環境下でも、モデルの汎化性能が向上する。
• 技術の進展にもかかわらず、計算コストの高さや分野における標準化されたベンチマークやデータセットの不足により、リアルタイムでの導入には課題が残っている。