[논문 리뷰] A Multi-Dimensional approach towards Intrusion Detection System

Manoj Thakur, Sugata Sanyal|arXiv (Cornell University)|2012. 05. 10.

Network Security and Intrusion Detection참고 문헌 10인용 수 15

한 줄 요약

이 논문은 네트워크 및 시스템 행동을 각 모니터링 대상 파라미터(예: IP 주소, 포트, 트래픽 비율, CPU 사용률 등)의 개별 이상 지표로 모델링한 후 이를 종합하여 전역 이상 지표로 조합하는 다차원 침입 탐지 시스템을 제안한다. 시스템은 실시간으로 이격을 탐지하기 위해 훈련된 함수를 사용하며, 실시간 트래픽 피드백을 통해 지속적으로 향상되어 시간이 지남에 따라 탐지 정확도가 향상된다.

ABSTRACT

In this paper, we suggest a multi-dimensional approach towards intrusion detection. Network and system usage parameters like source and destination IP addresses; source and destination ports; incoming and outgoing network traffic data rate and number of CPU cycles per request are divided into multiple dimensions. Rather than analyzing raw bytes of data corresponding to the values of the network parameters, a mature function is inferred during the training phase for each dimension. This mature function takes a dimension value as an input and returns a value that represents the level of abnormality in the system usage with respect to that dimension. This mature function is referred to as Individual Anomaly Indicator. Individual Anomaly Indicators recorded for each of the dimensions are then used to generate a Global Anomaly Indicator, a function with n variables (n is the number of dimensions) that provides the Global Anomaly Factor, an indicator of anomaly in the system usage based on all the dimensions considered together. The Global Anomaly Indicator inferred during the training phase is then used to detect anomaly in the network traffic during the detection phase. Network traffic data encountered during the detection phase is fed back to the system to improve the maturity of the Individual Anomaly Indicators and hence the Global Anomaly Indicator.

연구 동기 및 목표

• 기존의 서명 기반 또는 단순 통계 방법에 의존하는 전통적 침입 탐지 시스템의 한계를 해결하기 위해.
• 다양한 네트워크 및 시스템 파라미터를 통해 시스템 행동을 모델링하여 이상 탐지 민감도를 향상시키기 위해.
• 관찰된 트래픽 패턴에 따라 진화하는 동적이고 적응적인 프레임워크를 개발하기 위해.
• 단일 지표가 아닌 다차원적 분석을 통해 이상 유형을 감지함으로써 임의의 경고를 줄이기 위해.

제안 방법

• 시스템은 네트워크 및 시스템 파라미터(예: 소스/대상 IP, 포트, 트래픽 비율, CPU 사이클 등)를 별도의 차원으로 분할한다.
• 각 차원에 대해 입력 값에서 비정상성 점수로 매핑하는 데 훈련된 함수(개별 이상 지표)를 적용한다.
• 이러한 개별 이상 점수들은 n개의 변수를 가진 전역 이상 지표 함수를 통해 통합되며, 여기서 n은 차원의 수이다.
• 전역 이상 지표는 역사적 데이터를 기반으로 훈련되어 전체 시스템의 이상 수준을 나타낸다.
• 탐지 과정에서는 실시간 트래픽을 훈련된 전역 이상 지표로 평가하여 잠재적 침입을 경고한다.
• 시스템은 실시간 트래픽 피드백을 통합하여 개별 및 전역 이상 지표를 지속적으로 개선함으로써 적응 학습을 가능하게 한다.

실험 결과

연구 질문

• RQ1 다양한 시스템 및 네트워크 파라미터를 어떻게 조합하여 침입 탐지 정확도를 향상시킬 수 있는가?
• RQ2 개별 차원의 행동을 어떻게 모델링하여 비정상적인 사용 패턴을 탐지할 수 있는가?
• RQ3 전역 이상 지표가 다수의 이상 점수를 통합하여 통합된 탐지 신호로 효과적으로 작용할 수 있는가?
• RQ4 실시간 트래픽 피드백을 통해 시스템은 어떻게 시간이 지남에 따라 탐지 능력을 적응하고 향상시킬 수 있는가?
• RQ5 단일 지표 방법에 비해 다차원 접근 방식이 임의의 경고를 얼마나 줄일 수 있는가?

주요 결과

• 다차원 접근 방식은 단일 지표 시스템이 간과할 수 있는 복잡하고 낮은 프로파일의 공격을 탐지할 수 있다.
• 각 차원에 대한 개별 이상 지표의 사용은 특정 시스템 행동에 맞춰 세밀한 이상 탐지가 가능하게 한다.
• 전역 이상 지표는 다수의 이상 신호를 하나의 해석 가능한 이상 요소로 성공적으로 통합한다.
• 탐지 과정 중 실시간 트래픽 피드백을 통해 이상 지표의 정교함과 정확도가 시간이 지남에 따라 향상된다.
• 시스템은 변화하는 네트워크 행동에 적응 가능하여 정적 임계값이나 사전 정의된 서명에 대한 의존도를 줄인다.