[論文レビュー] Poseidon: a 2-tier Anomaly-based Intrusion Detection System

Damiano Bolzoni, Emmanuele Zambon+2 more|ArXiv.org|Nov 11, 2005

Network Security and Intrusion Detection参考文献 27被引用数 5

ひとこと要約

POSEIDONは、ペイロードベースのパケット分類に自己組織化マップ（SOM）を、異常検出に変更されたPAYLシステムを用いる2段階の異常ベースネットワーク侵入検知システムである。1999年DARPAデータセットにおいて、PAYLおよびPHADよりも高い検出率と低い誤検出率を達成するとともに、必要なプロファイル数を削減することで効率性を向上させた。

ABSTRACT

We present Poseidon, a new anomaly based intrusion detection system. Poseidon is payload-based, and presents a two-tier architecture: the first stage consists of a Self-Organizing Map, while the second one is a modified PAYL system. Our benchmarks on the 1999 DARPA data set show a higher detection rate and lower number of false positives than PAYL and PHAD.

研究の動機と目的

• 既存の異常ベース侵入検知システムの限界、特に高い誤検出率とプロファイル管理の非効率性を解決すること。
• Webサービスおよび動的ネットワークアプリケーションのペイロードベース異常検知における検出精度の向上と誤検出の低減。
• 分類段階と検出段階を分離することで、SOM（強固なクラスタリング）とPAYL（効果的な異常スコアリング）の長所を活かす。
• PAYLと比較して必要なプロファイル数を削減し、検出精度を損なわせずにランタイム効率を向上させること。

提案手法

• 1段階目では、パケット長に依存せずにマンハッタン距離に基づいてペイロードデータをクラスタに分類する自己組織化マップ（SOM）を用いる。
• SOMは、エポックに伴い減少する学習率と半径を用いたバッチ更新ルールで学習され、安定したクラスタ表現への収束を確保する。
• 2段階目では、n-gramベースの特徴ベクトルを用いてプロファイル平均および標準偏差からの距離を計算する、PAYLシステムの変更版を採用する。
• 各プロファイルは宛先IPおよびポートに関連付けられ、ペイロード内のバイト頻度の平均および標準偏差を格納する。
• 異常は、新しいペイロードの特徴ベクトルとプロファイルの距離を、ユーザーが定義したしきい値と比較することで検出する。
• システムはヘッダーフィーチャーを除き、宛先IPおよびポートに基づいてペイロードのみを処理することで、アプリケーション層の挙動に焦点を当てる。

実験結果

リサーチクエスチョン

• RQ1 SOMによる分類とPAYLによる検出を組み合わせた2段階アーキテクチャは、単体のシステムと比較して異常検知性能を向上させることができるか？
• RQ2 分類（SOM）と検出（PAYL）を分離することで、ペイロードベース侵入検知において誤検出を低減しつつ高い検出率を維持できるか？
• RQ3 SOMによるより一貫性のあるクラスタリングを用いることで、必要なプロファイル数を削減しつつ検出精度を損なわないか？
• RQ4 1999年DARPAベンチマークデータセットにおいて、POSEIDONはPAYLおよびPHADと比較して、検出率および誤検出率の点で優れているか？
• RQ5 SOMがパケット長を用いずにペイロードをクラスタリングする能力が、プロファイル品質およびシステム効率をどの程度向上させるか？

主な発見

• POSEIDONは1999年DARPA侵入検知データセットにおいて、PAYLおよびPHADよりも高い検出率を達成した。
• システムはPAYLおよびPHADと比較して、より少ない誤検出数を報告しており、精度の向上を示している。
• POSEIDONはPAYLと比較して必要なプロファイル数を削減したため、ランタイム効率およびスケーラビリティが向上した。
• SOMによる分類の導入により、より一貫性のあるクラスタが得られ、PAYLベースの検出段階で使用されるプロファイルの質が向上した。
• ヘッダーフィーチャーを除き、ペイロードデータのみに焦点を当てたことで、HTTPやWebサービスを標的とするアプリケーション層攻撃に対して高い関連性を維持した。
• DARPAデータセットにおけるシステムのパフォーマンスは、実世界の挙動を代表しており、ベンチマークからの正当なデータのみを考慮しているため、現実的な評価が可能である。