[論文レビュー] On Benchmarking Intrusion Detection Systems in Virtualized Environments

Aleksandar Milenkoski, Samuel Kounev+3 more|arXiv (Cornell University)|Oct 5, 2014

Network Security and Intrusion Detection参考文献 32被引用数 3

ひとこと要約

本論文は、仮想化環境におけるVMMベースのインシデント検知システム（IDS）のベンチマーキングフレームワークを提案し、ワークロード表現とメトリクスに関する課題に対処する。VMMを標的とした悪意あるワークロード、弾力的リソース認識メトリクス、現実的な良性ワークロードの必要性を強調し、動的仮想化環境下でのIDSのパフォーマンスと検知精度を正確に評価することを目的とする。

ABSTRACT

Modern intrusion detection systems (IDSes) for virtualized environments are deployed in the virtualization layer with components inside the virtual machine monitor (VMM) and the trusted host virtual machine (VM). Such IDSes can monitor at the same time the network and host activities of all guest VMs running on top of a VMM being isolated from malicious users of these VMs. We refer to IDSes for virtualized environments as VMM-based IDSes. In this work, we analyze state-of-the-art intrusion detection techniques applied in virtualized environments and architectures of VMM-based IDSes. Further, we identify challenges that apply specifically to benchmarking VMM-based IDSes focussing on workloads and metrics. For example, we discuss the challenge of defining representative baseline benign workload profiles as well as the challenge of defining malicious workloads containing attacks targeted at the VMM. We also discuss the impact of on-demand resource provisioning features of virtualized environments (e.g., CPU and memory hotplugging, memory ballooning) on IDS benchmarking measures such as capacity and attack detection accuracy. Finally, we outline future research directions in the area of benchmarking VMM-based IDSes and of intrusion detection in virtualized environments in general.

研究の動機と目的

• 仮想化環境におけるVMMベースのIDSのための標準化されたベンチマーキング手法の不足に対処すること。
• 特にワークロード表現とメトリクス設計に特化した、VMMベースのIDSのベンチマーキングに特有の課題を特定・分析すること。
• 仮想化の弾力性（例：CPU/メモリのホットプラグイン）がIDSのパフォーマンスと検知精度に与える影響を強調すること。
• VMMを標的とした代表的悪意あるワークロードを生成するための今後の研究方向性を提案すること。
• 仮想化デプロイメント環境における動的リソースプロビジョニングを明示的に反映するメトリクスを提唱すること。

提案手法

• 最新のVMMベースのIDSアーキテクチャおよびインシデント検知技術（誤用ベースおよび異常検知ベースを含む）を分析する。
• VMMを標的とした攻撃を悪意あるワークロードとして使用し、ハイパーバイザー層の脅威に対するIDSの耐性を評価することを提案する。
• 動的リソースプロビジョニング（例：CPU、メモリ）を反映する弾力性認識メトリクスの導入の必要性を提示する。
• 仮想化システムにおけるリアルなバックグラウンドトラフィックをシミュレートするため、スケーラブルで多様な良性ワークロードの重要性を強調する。
• 利用可能なランタイムリソースに基づいて再構成される適応的IDS設定の影響が、検知精度とパフォーマンスに与える影響を検討する。
• 将来的な研究として、パフォーマンスシグネチャに基づく検知、およびVMMにおける自動脆弱性と攻撃注入によるベンチマーキングのための枠組みを提示する。

実験結果

リサーチクエスチョン

• RQ1 VMMを標的とした代表的悪意あるワークロードを、VMMベースのIDSのベンチマーキングのためにどのように定義・生成できるか？
• RQ2 動的リソースプロビジョニングを伴う弾力的仮想化環境におけるVMMベースのIDSのパフォーマンスを正確に評価するには、どのようなメトリクスが必要か？
• RQ3 オンデマンドリソースプロビジョニング機能（例：メモリバルーン、CPUホットプラグイン）は、IDSの検知精度とリソース消費にどのように影響するか？
• RQ4 仮想化環境における現実的な良性ワークロードのベースラインプロファイルとは何か？これは、IDS評価における誤検知を回避するための鍵である。
• RQ5 変動するランタイムリソース利用可能性下で適応的IDS設定をどのように評価すれば、一貫した検知パフォーマンスを確保できるか？

主な発見

• VMMベースのIDSは、複数のゲストVMを同時に監視でき、悪意あるゲストユーザーから隔離されているため、仮想化環境において強固なセキュリティポジションを提供する。
• 攻撃検知精度は利用可能なシステムリソースに大きく影響を受ける。CPUやメモリの増加により、パケット断片バッファリングなどの時間的に重要な操作の検知が向上する。
• 既存のベンチマーキング手法は、クラウド環境の弾力性を十分に考慮していないため、VMMベースのIDSのパフォーマンス測定が誤解を招く結果となることがある。
• ベンチマーキングワークロードに代表的でないVMM標的攻撃が欠如しているため、ハイパーバイザーの深刻なエクスプロイトに対するVMMベースのIDSの真正の耐性を評価する能力が制限される。
• 仮想化環境における「通常動作」のプロファイルを定義することは依然として大きな課題であり、良性ワークロードは現実の条件を反映するためにスケーラブルで多様である必要がある。
• 将来的なベンチマーキングには、動的プロビジョニング下でのシステム動作を反映する弾力性認識メトリクスを組み込む必要がある。これには、リソース割り当てのスケーラビリティや応答性が含まれる。