[論文レビュー] Predicting the Presence of Internet Worms using Novelty Detection

Emil Marais, Tshilidzi Marwala|arXiv (Cornell University)|May 9, 2007

Network Security and Intrusion Detection参考文献 21被引用数 5

ひとこと要約

本稿では、1台のルーターからのルーティングデータを分析することで、インターネットワームの存在を予測するオートエンコーダーを用いた新規性検出アプローチを提案する。通常のルーティング行動で訓練されたオートエンコーダーは、ワームによるグローバルまたは局所的な不安定性を示す異常を検出でき、最小限のインfra構成で効果的な早期警告を実現する。

ABSTRACT

Internet worms cause billions of dollars in damage yearly, affecting millions of users worldwide. For countermeasures to be deployed timeously, it is necessary to use an automated system to detect the spread of a worm. This paper discusses a method of determining the presence of a worm, based on routing information currently available from Internet routers. An autoencoder, which is a specialized type of neural network, was used to detect anomalies in normal routing behavior. The autoencoder was trained using information from a single router, and was able to detect both global instability caused by worms as well as localized routing instability.

研究の動機と目的

• 広範な被害を防ぐために、自動的かつ迅速なインターネットワーム検出のニーズに対応すること。
• 従来の署名ベース検出の限界を克服し、未知のワーム活動を特定すること。
• 既存のインターネットルーターからのルーティング情報を活用して、スケーラブルで低コストのワーム検出を実現すること。
• 完全なネットワーク可視性を必要とせず、ワーム拡散によって引き起こされるグローバルおよび局所的ルーティング不安定性を検出すること。
• 単一ルーターのデータのみを用いてリアルタイムで動作するシステムを構築し、実用的導入の可能性を高めること。

提案手法

• 1台のインターネットルーターから収集した通常のルーティング行動のデータを用いて、オートエンコーダー（ニューラルネットワークの一種）を訓練する。
• オートエンコーダーを用いて、通常のルーティングパターンの圧縮表現を学習し、入力データを再構築する。
• 再構築誤差を測定することで異常を検出する；高い誤差は通常の行動からの逸脱を示す。
• 新規性検出の原則を適用し、学習済みの通常パターンから著しく逸脱するルーティングデータを特定する。
• ルートテーブルの変更や更新頻度といったルーティングメトリクスをオートエンコーダーの入力特徴として使用する。
• 高い再構築誤差を、局所的または広範囲に及ぶワーム活動の兆候として扱う。

実験結果

リサーチクエスチョン

• RQ1 単一ルーターのルーティングデータで訓練されたオートエンコーダーは、ワームが広範に広がる前に対象の存在を検出できるか？
• RQ2 新規性検出は、ワーム拡散によって引き起こされるグローバルおよび局所的ルーティング不安定性をどの程度効果的に特定できるか？
• RQ3 単一ルーターからの最小限のデータしか得られない実世界の条件下でも、この手法はどの程度の性能を示すか？
• RQ4 オートエンコーダーの再構築誤差は、未知のワーム活動に対する信頼できる早期警告信号として機能するか？
• RQ5 タイムリーさとスケーラビリティの観点から、従来の署名ベース検出と比較して、このアプローチはどのように差をつけるか？

主な発見

• オートエンコーダーは、ワーム拡散イベントに対応するルーティングデータの異常を効果的に検出できた。
• システムは、大規模なルーティングに影響するグローバルな不安定性と、特定のネットワークセグメントに影響する局所的な不安定性の両方を同定した。
• ワームの流行時には再構築誤差が著しく増加し、異常行動の信頼できる指標となった。
• 本手法は単一ルーターのデータのみを必要としており、監視インfraが限られた実世界環境への導入可能性を示した。
• ワーム活動の早期検出が可能であり、広範な感染が発生する前に対策を講じるためのタイムリーな対応が可能だった。
• 結果から、完全なパケット監視や複数ソース間の複雑な相関分析を必要とせず、ルーティングデータそのものが、新規性に基づくワーム検出に十分な信号を含んでいることが示唆された。