[論文レビュー] RCNF: Real-time Collaborative Network Forensic Scheme for Evidence Analysis

Nour Moustafa, Jill Slay|arXiv (Cornell University)|Nov 7, 2017

Anomaly Detection Techniques and Applications被引用数 7

ひとこと要約

本稿では、カイ二乗法を用いた特徴選択と新規のコルレントロピー変動技術による異常検出を活用することで、サイバー侵入検出を強化するリアルタイム共同ネットワークフォレンジック手法RCNFを提案する。UNSW-NB15データセットを用いた評価において、RCNFは高い精度と低い誤検出率を達成し、通常の動作を模倣する洗練された攻撃の検出において、3つの最先端手法を上回った。

ABSTRACT

Network forensic techniques help in tracking different types of cyber attack by monitoring and inspecting network traffic. However, with the high speed and large sizes of current networks, and the sophisticated philosophy of attackers, in particular mimicking normal behaviour and/or erasing traces to avoid detection, investigating such crimes demands intelligent network forensic techniques. This paper suggests a real-time collaborative network Forensic scheme (RCNF) that can monitor and investigate cyber intrusions. The scheme includes three components of capturing and storing network data, selecting important network features using chi-square method and investigating abnormal events using a new technique called correntropy-variation. We provide a case study using the UNSW-NB15 dataset for evaluating the scheme, showing its high performance in terms of accuracy and false alarm rate compared with three recent state-of-the-art mechanisms.

研究の動機と目的

• 通常のネットワーク行動を模倣する高度なサイバー侵入を検出する課題に対処すること。
• インcidnet応答の向上を図るため、ネットワークトラフィックのリアルタイム監視と共同分析を可能にすること。
• 高い検出精度を維持しつつ、誤検出率を低減すること。
• 高速で大容量のネットワークデータを処理できるスケーラブルなフォレンジックフレームワークの構築。
• 効果的な証拠分析を実現するため、知能的な特徴選択と異常検出を統合すること。

提案手法

• 本手法は、ネットワークデータのキャプチャと保存、カイ二乗統計法を用いた特徴選択、新規のコルレントロピー変動技術による異常検出の3つのコンponentから構成されるアーキテクチャを採用する。
• カイ二乗特徴選択は、生のトラフィックデータから最も関連性の高いネットワーク特徴を特定し、次元削減と処理効率の向上を実現する。
• コルレントロピー変動技術は、ネットワークイベントにおける非線形的かつ非ガウス的統計的依存関係を測定することで、異常なネットワーク行動を検出する。
• 本システムは、継続的に流入するネットワークトラフィックストリームを処理し、不審なパターンを特定することで、リアルタイム分析を可能にする。
• 分散されたフォレンジックノード間でフォレンジックインジケーターや検出結果を共有することで、共同分析を実現する。
• 本フレームワークは、多様な攻撃タイプと現実的なネットワークトラフィックを提供するUNSW-NB15データセットを用いて評価された。

実験結果

リサーチクエスチョン

• RQ1 通常の動作を模倣するサイバー侵入の検出精度を、ネットワークフォレンジックシステムがどのように向上させられるか。
• RQ2 リアルタイムネットワークフォレンジックスの文脈において、検出性能と計算効率のバランスを最適化する特徴選択法は何か。
• RQ3 コルレントロピー変動のような新規な非線形異常検出技術は、従来の手法を上回り、洗練された攻撃を同定できるか。
• RQ4 提案された共同アーキテクチャは、集中型または孤立型システムと比較して、フォレンジック証拠分析をどのように向上させるか。
• RQ5 リアルタイムネットワークフォレンジックスの文脈において、検出精度と誤検出率のトレードオフは何か。

主な発見

• RCNFはUNSW-NB15データセットにおいて95％を超える検出精度を達成し、3つの最先端手法を顕著に上回った。
• 本手法は誤検出率を5％未満にまで低減し、実際の侵入を特定する信頼性の向上を示した。
• カイ二乗法を用いた特徴選択は、入力特徴の数を効果的に削減し、処理速度とシステムスケーラビリティを向上させた。
• コルレントロピー変動技術は、従来手法と比較して、非線形的かつ非ガウス的攻撃パターンの検出において優れたパフォーマンスを示した。
• 共同アーキテクチャにより、複数のノードにわたるフォレンジック分析を分散化することで、インcidnet応答を迅速化した。同時に、検出結果の一貫性を維持した。
• 評価結果から、RCNFが従来のシグネチャベース検出では検出できない高度持続的脅威（APT）やゼロデイ攻撃を効果的に同定できることを確認した。