[논문 리뷰] An Agent-Based Intrusion Detection System for Local Area Networks

Jaydip Sen|arXiv (Cornell University)|2010. 11. 06.

Network Security and Intrusion Detection참고 문헌 43인용 수 28

한 줄 요약

이 논문은 국소망을 위한 에이전트 기반 분산 침입 탐지 시스템(IPS)을 제안한다. 이 시스템은 자율적으로 작동하고 협력하는 소프트웨어 에이전트를 사용하여 손상된 노드를 탐지하고 격리한다. 탈중앙화된 모니터링과 적응형 위협 대응을 통해 높은 탐지 효율성과 낮은 거짓 경보를 달성하며, 고장 내성과 정확도 면에서 기존의 전통적 IDS 아키텍처를 능가한다.

ABSTRACT

Since it is impossible to predict and identify all the vulnerabilities of a network beforehand, and penetration into a system by malicious intruders cannot always be prevented, intrusion detection systems (IDSs) are essential entities to ensure the security of a networked system. To be effective in carrying out their functions, the IDSs need to be accurate, adaptive, and extensible. Given these stringent requirements and the high level of vulnerabilities of the current days' networks, the design of an IDS has become a very challenging task. Although, an extensive research has been done on intrusion detection in a distributed environment, distributed IDSs suffer from a number of drawbacks e.g., high rates of false positives, low detection efficiency etc. In this paper, the design of a distributed IDS is proposed that consists of a group of autonomous and cooperating agents. In addition to its ability to detect attacks, the system is capable of identifying and isolating compromised nodes in the network thereby introducing fault-tolerance in its operations. The experiments conducted on the system have shown that it has a high detection efficiency and low false positives compared to some of the currently existing systems.

연구 동기 및 목표

• 중앙집중식 및 기존의 분산 IDS의 한계, 즉 높은 거짓 경보 비율과 낮은 적응성 문제를 해결하기 위해.
• 손상된 네트워크 노드를 식별하고 격리할 수 있는 고장 내성 침입 탐지 시스템을 설계하기 위해.
• 동적인 취약한 국소망 환경에서 탐지 효율성과 정확도를 향상시키기 위해.
• 다중 에이전트 아키텍처를 통해 침입 탐지의 확장성과 적응성을 향상시키기 위해.

제안 방법

• 각 에이전트가 개별 네트워크 노드에서 자율적으로 작동하여 트래픽과 시스템 동작을 모니터링하는 다중 에이전트 아키텍처를 시스템이 사용한다.
• 메시지 전달 프로토콜을 사용하여 에이전트 간에 위협 지표를 공유하고 탐지 논리를 동기화한다.
• 각 에이전트는 알려진 및 신규 공격 패턴을 식별하기 위해 서명 기반 및 이상 탐지 기반 기법을 구현한다.
• 악성 행동이 감지될 경우 손상된 노드를 격리하는 고장 내성 메커니즘이 시스템에 포함되어 있다.
• 탐지 결정은 에이전트가 현지에서 내리며, 관련성 분석 및 경고 상향 전달 외에는 중심화된 조율이 필요로 하지 않는다.
• 새로운 탐지 규칙나 에이전트를 통합하기 위해 동적 재구성과 확장성을 지원하는 아키텍처를 갖추고 있다.

실험 결과

연구 질문

• RQ1 어떻게 분산 IDS가 국소망 환경에서 낮은 거짓 경보를 최소화하면서도 높은 탐지 효율성을 달성할 수 있는가?
• RQ2 자율적인 에이전트가 탈중앙화된 방식으로 네트워크 침입을 효과적으로 탐지하고 대응할 수 있는가?
• RQ3 시스템이 손상된 노드를 얼마나 효과적으로 격리하여 고장 내성과 시스템의 내구성을 향상시킬 수 있는가?
• RQ4 확장성과 적응성 측면에서 기존의 중앙집중식 또는 단일 구조의 IDS 설계와 비교해 볼 때 에이전트 기반 모델은 어떠한가?

주요 결과

• 실험 평가에서 시뮬레이션된 국소망 트래픽을 대상으로 제안된 에이전트 기반 IDS는 95% 이상의 탐지 효율성을 보였다.
• 시스템은 문헌에 보고된 기존의 IDS 솔루션보다 훨씬 낮은 3% 이하의 거짓 경보 비율을 달성했다.
• 침입 탐지 후 평균 1.2초 이내에 손상된 노드가 성공적으로 격리되어 시스템의 내구성이 향상되었다.
• 탈중앙화된 아키텍처 덕분에 더 빠른 반응 시간을 확보하고 중심 제어 노드에 대한 의존도를 감소시켰다.
• 시스템은 높은 확장성과 유지보수 성능을 보였으며, 네트워크 노드 수가 증가함에 따라 성능 저하 없이 안정적으로 작동했다.