[논문 리뷰] A Framework for BGP Abnormal Events Detection

Anisa Allahdadi, Ricardo Morla외 1명|arXiv (Cornell University)|2017. 08. 11.

Network Security and Intrusion Detection참고 문헌 5인용 수 5

한 줄 요약

이 논문은 BGP 업데이트 메시지에서 특성 추출, 선택, 생성을 통해 기계학습 기반 프레임워크를 제안한다. 정상적인 BGP 행동에 기반해 서포트 벡터 머신(SVM) 모델을 훈련하고 이격도를 측정함으로써 높은 탐지 정확도와 정밀도를 달성하며, 기존의 연구에 비해 이상 탐지 성능이 뛰어나고, 예를 들어 웜 공격와 블랙아웃 간의 유사한 BGP 이상 현상들을 유형별로 효과적으로 군집화할 수 있다.

ABSTRACT

Detection of abnormal BGP events is of great importance to preserve the security and robustness of the Internet inter-domain routing system. In this paper, we propose an anomaly detection framework based on machine learning techniques to identify the anomalous events by training a model for normal BGP-updates and measuring the extent of deviation from the normal model during the abnormal occasions. Our preliminary results show that the features generated and selected are capable of improving the classification results to distinguish between anomalies and normal BGP update messages. Furthermore, the clustering results demonstrate the effectiveness of formed models to detect the similar types of BGP anomalies. In a more general context, an interdisciplinary research is performed between network security and data mining to deal with real-world problems and the achieved results are promising.

연구 동기 및 목표

• 인터넷 안정성과 보안을 위협하는 BGP 이상 현상의 조기 탐지를 해결하기 위한 핵심적인 필요성 충족.
• 정상적인 BGP 행동을 모델링하고 뚜렷한 이격도를 식별함으로써 이상 탐지에서의 가짜 양성률을 감소시키기 위해 노력.
• 선택된 BGP 메시지 특성 간 상관관계를 기반으로 새로운 특성을 생성함으로써 탐지 정확도 향상.
• 유사한 유형의 사건에 대해 재학습 없이도 이전에 관측되지 않은 BGP 이상 현상을 탐지할 수 있도록 하며, 특히 루트 원인(예: 웜 공격 vs. 블랙아웃)에 따라 이상 현상을 군집화함.

제안 방법

• 시간적, 경로, 정책 관련 메트릭을 포함한 BGP 업데이트 메시지에서 포괄적인 특성 집합을 추출.
• 정보 이득을 사용한 특성 선택을 통해 정상 행동 모델링에 가장 관련성이 높은 특성 식별.
• 선택된 특성 간의 쌍별 상관관계 분 析을 통해 새로운 특성 생성하여 모델의 구분 능력 향상.
• 선택된 특성과 생성된 특성을 기반으로 서포트 벡터 머신(SVM) 분류기 훈련하여 정상적인 BGP 업데이트 패턴 모델링.
• 정확도 행렬 기반의 거리 측도를 사용해 서로 다른 이상 유형에 대해 훈련된 모델 간 상호 적합도 평가.
• 거리 행렬에 기반한 k-means 군집화를 수행하여 유사한 BGP 이상 현상을 군집화하고, 모델의 이동 가능성 검증.

실험 결과

연구 질문

• RQ1 정상적인 업데이트 행동을 모델링하고 이격도를 식별함으로써 기계학습 프레임워크가 BGP 이상 현상을 효과적으로 탐지할 수 있는가?
• RQ2 특성 선택 및 생성은 기준 방법에 비해 BGP 이상 탐지의 정확도와 정밀도를 얼마나 향상시키는가?
• RQ3 한 유형의 BGP 이상(예: 웜 공격)에 대해 훈련된 모델이 재학습 없이 다른 비슷한 이상을 얼마나 효과적으로 탐지할 수 있는가?
• RQ4 모델 유사도 기반 군집화가 루트 원인(예: 웜 공격 vs. 광범위한 블랙아웃)에 따라 의미 있는 BGP 이상 현상 군집을 드러내는가?

주요 결과

• 제안된 프레임워크는 기존 최신 기술에 비해 더 높은 탐지 정확도와 낮은 가짜 양성률을 달성한다.
• 쌍별 상관관계 기반 특성 생성은 분류 성능을 크게 향상시켜 정상 및 비정상 BGP 업데이트 간의 구분 능력을 향상시킨다.
• 한 이상 유형(예: Slammer)에 대해 훈련된 모델은 다른 유사한 이상(예: Nimda)을 효과적으로 탐지할 수 있으며, Slammer 데이터를 Nimda 모델로 테스트했을 때 가장 높은 탐지 정확도를 기록한다.
• 교차 정확도 평가에서 생성된 거리 행렬을 기반으로 한 군집화는 이상 현상을 주로 두 가지 범주로 성공적으로 분류한다: 웜 공격 및 광범위한 블랙아웃이며, k=3일 때는 추가로 분리가 가능하다(예: Eastcoast 고립).
• 식별식 (3)에 정의된 거리 측도는 모델 간 상호 적합도를 효과적으로 캡처하며, 유사한 사건에 대해 훈련된 모델은 낮은 거리와 높은 교차 탐지 정확도를 보인다.
• 결과는 동일한 루트 원인(예: 웜 유포)을 가진 BGP 이상 현상은 유사한 모델에 의해 더 잘 탐지될 가능성이 높으며, 실무에서 확장 가능하고 이식 가능한 이상 탐지가 가능함을 보여준다.