[論文レビュー] Predicting Network Attacks Using Ontology-Driven Inference

Ahmad Salahi, Morteza Ansarinia|Open Repository and Bibliography (University of Luxembourg)|Apr 3, 2013

Network Security and Intrusion Detection参考文献 27被引用数 8

ひとこと要約

本稿では、記述論理を用いてネットワーク攻撃、その前提条件、および結果をモデル化することで、能動的な攻撃予測を可能にするオントロジー駆動型推論システムを提案する。CAPEC、CWE、CVEデータセットを活用することで、侵入検知の正確性が向上し、誤検知が低減され、従来の階層的および関係的モデルを上回る。これは、構造化された攻撃知識グラフにおける意味的推論によるものである。

ABSTRACT

Graph knowledge models and ontologies are very powerful modeling and re asoning tools. We propose an effective approach to model network attacks and attack prediction which plays important roles in security management. The goals of this study are: First we model network attacks, their prerequisites and consequences using knowledge representation methods in order to provide description logic reasoning and inference over attack domain concepts. And secondly, we propose an ontology-based system which predicts potential attacks using inference and observing information which provided by sensory inputs. We generate our ontology and evaluate corresponding methods using CAPEC, CWE, and CVE hierarchical datasets. Results from experiments show significant capability improvements comparing to traditional hierarchical and relational models. Proposed method also reduces false alarms and improves intrusion detection effectiveness.

研究の動機と目的

• 形式的推論を可能にする知識表現および記述論理を用いて、ネットワーク攻撃、その前提条件、および結果をモデル化すること。
• センシング入力からの推論によって、潜在的な攻撃を予測できるオントロジー基盤のシステムを開発すること。
• 従来の階層的および関係的モデルに比べ、攻撃予測の正確性と誤検知の低減において向上を図ること。
• 標準化されたセキュリティ分類体系（CAPEC、CWE、CVE）を用いて、アプローチを評価すること。
• 攻撃知識グラフにおける意味的推論を通じて、侵入検知の効果を向上させることを実証すること。

提案手法

• 著者らは、CAPEC、CWE、CVEデータセットからの攻撃パターン、前提条件、および結果を表現するために記述論理を用いたドメインオントロジーを構築した。
• ネットワーク監視システムからのセンシング入力データをオントロジーにマッピングし、推論プロセスを起動した。
• 記述論理推論エンジンを用いて意味的推論を実行し、潜在的な攻撃経路の検出および将来の利用可能性の予測を行った。
• オントロジー内の攻撃プリミティブと脆弱性の関係を分析することで、攻撃の予測可能性を評価した。
• 実世界の攻撃分類体系を用いてオントロジーを検証および精錬し、カバレッジと表現力の両方を確保した。
• 複数のソースのセキュリティデータ（例：脆弱性フィード、侵入アラート）を統合的に意味的モデルに統合し、推論に活用した。

実験結果

リサーチクエスチョン

• RQ1 形式的知識表現を用いて、ネットワーク攻撃およびその依存関係を効果的にモデル化する方法は何か？
• RQ2 従来のモデルと比較して、オントロジー駆動型推論は、潜在的ネットワーク攻撃の予測をどの程度向上させられるか？
• RQ3 意味的推論は、より良い文脈理解を通じて、侵入検知システムにおける誤検知を低減できるか？
• RQ4 CAPEC、CWE、CVEデータセットの統合は、統一オントロジーにおいて攻撃予測の正確性をどのように向上させるか？
• RQ5 オントロジー基盤のシステムは、ゼロデイ攻撃または高度持続的脅威の検出において、どの程度のパフォーマンス向上を達成できるか？

主な発見

• オントロジー基盤のシステムは、従来の階層的および関係的モデルに比べ、攻撃予測における顕著な能力向上を示した。
• 意味的関係に基づくより正確な文脈的推論のおかげで、誤検知率が顕著に低減された。
• 潜在的な攻撃チェーンの事前特定を可能にしたことで、侵入検知の効果が向上した。
• CAPEC、CWE、CVEデータセットを一つのオントロジーに統合することで、包括的かつ一貫性のある攻撃モデル化が可能になった。
• オントロジー上の記述論理推論により、ログに明示的に記録されていない攻撃経路の自動検出が可能になった。
• 複雑な攻撃依存関係および伝搬シナリオのモデル化において、本手法は高いスケーラビリティと表現力を見せた。