[논문 리뷰] A Taxonomy of Network Threats and the Effect of Current Datasets on Intrusion Detection Systems

Hanan Hindy, David Brosset외 5명|Middlesex University Research Repository (Middlesex University Of London)|2018. 06. 09.

Network Security and Intrusion Detection참고 문헌 79인용 수 99

한 줄 요약

이 논문은 IDS 데이터 세트를 조사하고 위협 분류를 제시하며, 현재의 IDS가 위협의 소수를 다루고 있고 데이터 세트가 실제 세계 위협 표현을 충분히 반영하지 못해 탐지 성능을 저해한다는 것을 발견했다.

ABSTRACT

As the world moves towards being increasingly dependent on computers and automation, building secure applications, systems and networks are some of the main challenges faced in the current decade. The number of threats that individuals and businesses face is rising exponentially due to the increasing complexity of networks and services of modern networks. To alleviate the impact of these threats, researchers have proposed numerous solutions for anomaly detection; however, current tools often fail to adapt to ever-changing architectures, associated threats and zero-day attacks. This manuscript aims to pinpoint research gaps and shortcomings of current datasets, their impact on building Network Intrusion Detection Systems (NIDS) and the growing number of sophisticated threats. To this end, this manuscript provides researchers with two key pieces of information; a survey of prominent datasets, analyzing their use and impact on the development of the past decade's Intrusion Detection Systems (IDS) and a taxonomy of network threats and associated tools to carry out these attacks. The manuscript highlights that current IDS research covers only 33.3% of our threat taxonomy. Current datasets demonstrate a clear lack of real-network threats, attack representation and include a large number of deprecated threats, which together limit the detection accuracy of current machine learning IDS approaches. The unique combination of the taxonomy and the analysis of the datasets provided in this manuscript aims to improve the creation of datasets and the collection of real-world data. As a result, this will improve the efficiency of the next generation IDS and reflect network threats more accurately within new datasets.

연구 동기 및 목표

• 네트워크 기반 데이터 세트의 한계와 이것이 IDS 개발에 미치는 영향을 평가한다.
• 지난 10년간 NIDS 연구와 평가 관행을 검토한다.
• OSI 계층과 활성/비활성 위협 특성에 맞춘 위협 분류 체계를 제시하여 데이터 세트 작성에Guidance를 제공한다.
• 위협을 공격 도구와 연계 매핑하여 더 대표적인 데이터 세트를 구축하도록 돕는다.

제안 방법

• 지난 10년간의 주요 IDS 데이터 세트를 조사하고 IDS 개발에의 사용과 영향력을 분석한다.
• 최근 ML/NIDS 연구를 검토하여 알고리즘적 추세와 데이터 세트 의존성을 식별한다.
• OSI 계층 및 활성 대 비활성 위협 특성과 일치하는 위협 분류 체계를 구성한다.
• 위협을 그들의 공격 도구와 매핑하여 데이터 세트 구성 및 벤치마킹을 지원한다.
• 현실성 및 재사용성을 개선하기 위한 데이터 세트 생성 표준 및 기준을 논의한다.

실험 결과

연구 질문

• RQ1 IDS 개발을 위한 사용 가능한 네트워크 기반 데이터 세트의 주요 한계는 무엇인가?
• RQ2 현재 데이터 세트가 실제 세계의 네트워크 위협과 제로데이 공격을 어느 정도 반영하는가?
• RQ3 데이터 세트와 위협 커버리지의 간극을 감안할 때 최근의 IDS 접근 방식은 얼마나 성능이 좋은가?
• RQ4 위협 분류 체계와 도구 매핑이 더 대표적인 데이터 세트 생성을 어떻게 이끌 수 있는가?

주요 결과

• 현재의 IDS 연구는 제시된 위협 분류 체계의 약 약 33.3%만 다룬다.
• 현재의 데이터 세트는 실제 네트워크 위협, 공격 표현, 더 많은 구식 위협을 포함하는 문제를 가지고 있다.
• 이러한 데이터 세트의 한계는 현대 ML 기반 IDS의 탐지 정확도를 제한한다.
• 연구자들은 네트워크 패턴의 개념 기 drift에 대응하기 위한 확장 가능하고 표준화된 데이터 세트 생성 플랫폼을 개발해야 한다.
• 분석은 특정 데이터 세트(KDD-99, DARPA 등)의 지배를 강조하고 현대 위협을 반영하는 업데이트된 벤치마크가 필요함을 시사한다.
• 위협을 OSI 계층 및 관련 도구에 매핑하는 것은 데이터 세트 작성과 IDS 벤치마킹을 개선하는 데 도움이 된다.