[論文レビュー] On the model-checking-based IDS

Weijun Zhu|arXiv (Cornell University)|Jun 25, 2018

Network Security and Intrusion Detection参考文献 6被引用数 3

ひとこと要約

本稿は、線形時相論理（LTL）、区間時相論理（ITL）、リアルタイムアタックシグネチャ論理（RASL）を用いたモデルチェックイングベースのインシデント検出システム（IDS）を評価するための、最初の標準化されたベンチマーク、ISIDMCを提案する。24種類の攻撃タイプにおいて検出精度と効率性を評価した結果、RASLベースの検出が最も効果的だが遅く、LTLベースの検出は速いが最も表現力に欠けることが判明し、表現力とパフォーマンスのトレードオフが確認された。

ABSTRACT

How to identify the comprehensive comparable performance of various Intrusion Detection (ID) algorithms which are based on the Model Checking (MC) techniques? To address this open issue, we conduct some tests for the model-checking-based intrusion detection systems (IDS) algorithms. At first, Linear Temporal Logic (LTL), Interval Temporal Logic (ITL) and Real-time Attack Signature Logic (RASL) are employed respectively to establish formula models for twenty-four types of attacks. And then, a standard intrusion set, called Intrusion Set for Intrusion Detection based on Model Checking (ISIDMC) is constructed. On the basis of it, detection abilities and efficiency of the intrusion detection algorithms based on model checking the three logics mentioned above are compared exhaustively

研究の動機と目的

• 異なる時相論理を用いたモデルチェックイングベースのインシデント検出システム（IDS）の評価のための標準化されたベンチマークが不足しているという問題に取り組む。
• 包括的な攻撃パターンのセットを用いて、LTL、ITL、RASLベースのIDSアルゴリズムの検出能力と実行効率を比較する。
• MCベースのIDSのための均一な評価フレームワークを確立し、公平なパフォーマンス比較を可能にするとともに、実世界での導入におけるアルゴリズム選定を支援する。
• モデルチェックイングベースのインシデント検出における表現力と計算効率のトレードオフを、実証的に検証する。

提案手法

• LTL、ITL、RASLにおける時相論理式を用いて24種類の攻撃タイプを形式化し、攻撃行動間の複雑な時相的関係をモデル化する。
• KDDCUPを模したが、モデルチェックイングベースのIDS評価に特化した、行動中心のログデータセットであるISIDMCを構築する。
• 定義された攻撃式を満たすかどうかを検証するため、LTL、ITL、RASLに基づくモデルチェックイングアルゴリズムを実装する。
• 全攻撃タイプにわたり、検出率（真正陽性）と実行時間（オフラインおよびオンラインのシナリオ）を測定することで、検出パフォーマンスを測定する。
• 時間計算量の分析として、論理演算子（¬や;）のネスト深さを特に注目し、計算コストと相関する構造を検討する。
• 状態空間の大きさを用いてメモリ消費量を評価し、各論理ベースのアプローチのスケーラビリティとリソース使用状況を評価する。

実験結果

リサーチクエスチョン

• RQ1 LTL、ITL、RASLベースのIDSアルゴリズムは、24種類のネットワーク攻撃において、検出精度でどのように比較されるか？
• RQ2 時相論理の表現力と、複雑な攻撃行動を特定する際の検出パフォーマンスの関係は何か？
• RQ3 異なる攻撃パターンを検出する際、LTL、ITL、RASLにおけるモデルチェックの計算複雑性はどのように変化するか？
• RQ4 3つのモデルチェックイングベースのIDSアプローチにおいて、検出精度と実行時間の間に一貫したトレードオフが存在するか？
• RQ5 モデルチェックイングベースのIDSを評価するための統一されたベンチマークを確立できるか？また、KDDCUPのようなデータ中心のベンチマークとはどのように異なるか？

主な発見

• RASLベースのIDSは、全攻撃タイプで最高の検出率を達成した。これは、RASLが時相的およびリアルタイム制約をより優れた表現力でモデル化できるためである。
• LTLベースのIDSは、最低の検出率を示したが、最も短い実行時間を記録しており、パフォーマンスと効率性のトレードオフが顕著に現れている。
• 検出パフォーマンスと実行時間の間に明確な逆相関関係が存在する：高い表現力（RASL）は、高い正確性をもたらすが、それに伴い実行時間が長くなる。
• ITLおよびRASLベースのアルゴリズムの最悪ケース時間計算量は、IPスイープおよびポートスキャン攻撃を検出する際、論理演算子の深すぎるネストによりO(2^{2n})に達する。
• LTLベースのアルゴリズムの最悪ケース複雑度はO(2^n)であり、ITLおよびRASLに比べて著しく低い。これは、LTLが低い検出正確性であるにもかかわらず、高速な実行が可能であることを説明している。
• DOS、プローブ、U2R、R2L攻撃をモデル化する際、すべての3つのアプローチにおいて状態空間の増大は管理可能であり、実際の応用においてメモリ使用量が妥当であることが示された。