[論文レビュー] RIDS : Real-time Intrusion Detection System for WPA3 enabled Enterprise Networks

Rahul Saini, Debajyoti Halder+1 more|arXiv (Cornell University)|Jul 6, 2022

IPv6, Mobility, Handover, Networks, Security被引用数 4

ひとこと要約

本稿では、WPA3対応のエンタープライズネットワーク向けに、アクセスポイント（AP）で軽量なフラッド検出アルゴリズムを用いて制御装置での機械学習（ML）分類をトリガーする、二段階のリアルタイム侵入検知システムRIDSを提案する。本システムは、新たに作成されたWPA3攻撃データセットを用いて意思決定木分類器で攻撃検知を実行し、99%を超える正確性を達成しており、偽陽性率は0.054%と低く抑えられている。

ABSTRACT

With the advent of new IEEE 802.11ax (WiFi 6) devices, enabling security is a priority. Since previous versions were found to have security vulnerabilities, to fix the most common security flaws, the WiFi Protected Access 3 (WPA3) got introduced. Although WPA3 is an improvement over its predecessor in terms of security, recently it was found that WPA3 has a few security vulnerabilities as well. In this paper, we have mentioned the previously known vulnerabilities in WPA3 and WPA2. In addition to that, we have created our own dataset based on WPA3 attacks (Section III). We have proposed a two-stage solution for the detection of an intrusion in the network. The two-stage approach will help ease computational processing burden of an AP and WLAN Controller. First, AP will perform a lightweight simple operation for some duration (say 500ms) at certain time interval. Upon discovering any abnormality in the flow of traffic an ML-based solution at the controller will detect the type of attack. Our approach is to utilize resources on AP as well as the back-end controller with certain level of optimization. We have achieved over 99% accuracy in attack detection using an ML-based solution. We have also publicly provided our code and dataset for the open-source research community, so that it can contribute for future research work.

研究の動機と目的

• 最新のWi-Fiセキュリティ標準であるWPA3用のネットワーク攻撃に特化した公開データセットの不足が、侵入検知分野の研究を妨げているという問題に対処する。
• 中央コントローラーの計算負荷を低減できる、リアルタイムでスケーラブルな侵入検知システムを、エンタープライズWLAN向けに開発する。
• 従来の署名ベースのIDSや既存のMLベースのアプローチの限界を克服するため、APでの軽量な異常検知と、コントローラーでの高精度なML分類を組み合わせる。
• ネットワークリソースを過剰に消費しないコスト効率の高い分散アーキテクチャを提供し、早期アラート発行と正確な攻撃分類を実現する。

提案手法

• 各APに軽量なフラッド検出システム（FDS）を配置し、1秒ごとに受信パケットレートを監視し、トラフィックの急増を検出する二段階アーキテクチャを採用する。
• FDSが異常を検知した場合に、パケットキャプチャを500ms間隔で開始する——具体的には、1ユーザーあたりの平均パケット数が10倍に増加した場合、または合計パケット数が15倍に増加した場合に該当する。
• キャプチャされたパケットを中央WLANコントローラーに転送し、機械学習分類器を用いて分析する。
• 新たに収集したWPA3攻撃データセットを用いて、複数の分類器（ロジスティック回帰、意思決定木、ランダムフォレスト）を訓練・評価し、最も正確で効率の良いモデルを同定する。
• 意思決定木分類器を採用した。これは、99.98%の高い正確性と0.054%の低い偽陽性率を示し、バランスに優れているためである。
• APが初期フィルタリングを実行することで、中央コントローラーの負荷を軽減し、リアルタイム応答を可能にする分散型検知パイプラインを実装する。

実験結果

リサーチクエスチョン

• RQ1 APおよびコントローラーにおける計算負荷を最小限に抑えることで、WPA3対応のエンタープライズネットワークにリアルタイム侵入検知を効率的に実装する方法は何か？
• RQ2 ネットワークリソースを過剰に消費せずに、正確なMLベースの攻撃分類をトリガーできる最も効果的な軽量検出メカニズムは何か？
• RQ3 新たに作成された公開可能なWPA3特化攻撃データセットは、MLベースの侵入検知システムの性能向上および汎用性向上に寄与できるか？
• RQ4 リアルタイムネットワーク侵入検知において、WPA3環境で正確性、偽陽性率、推論速度のバランスが最良となる機械学習分類器はどれか？

主な発見

• 提案されたRIDSシステムは、新たに作成されたデータセットを用いて意思決定木分類器でWPA3ネットワーク攻撃を99.98%の正確性で分類している。
• 意思決定木分類器は、テストしたモデルの中で最も低い偽陽性率（0.054%）を示しており、本番環境での誤検知を最小限に抑えるのに適している。
• FDSアルゴリズムは、ユーザーごとのパケットレート変化と合計トラフィックを監視することで、リアルタイムでトラフィック異常を検出でき、しきい値を超えた場合にのみアラートを発行する。
• 二段階アーキテクチャにより、APが初期検知を担うことで、中央コントローラーの負荷が著しく軽減され、大規模なエンタープライズネットワークへのスケーラブルな展開が可能になった。
• 本システムはリアルタイムで500ms分のネットワークトラフィックをキャプチャ・分類でき、顕著な遅延を伴わず、進行中の攻撃に対しても迅速な対応が可能である。
• 研究者は、データセットおよびコードを公開しており、再現性を確保するとともに、WPA3セキュリティおよび侵入検知分野におけるさらなる研究を促進している。