[논문 리뷰] APHRODITE: an Anomaly-based Architecture for False Positive Reduction

Damiano Bolzoni, Sandro Etalle|ArXiv.org|2006. 04. 07.

Network Security and Intrusion Detection참고 문헌 37인용 수 11

한 줄 요약

APHRODITE는 입력 NIDS의 경고와 시스템의 출력 트래픽에서 감지된 이상 현상 간의 상관관계를 통해 네트워크 침입 탐지 시스템(NIDS)의 잘못된 양성 결과를 줄이는 이상 기반 아키텍처이다. 입력 경고가 출력 이상을 유발하지 않는 경우(특히 최소한의 설정으로도 효과적임)를 기반으로 경고를 기각함으로써, 표준 벤치마크에서 50–100%의 잘못된 양성 결과 감소를 달성하면서도 잘못된 음성 결과를 유도하지 않는다.

ABSTRACT

We present APHRODITE, an architecture designed to reduce false positives in network intrusion detection systems. APHRODITE works by detecting anomalies in the output traffic, and by correlating them with the alerts raised by the NIDS working on the input traffic. Benchmarks show a substantial reduction of false positives and that APHRODITE is effective also after a "quick setup", i.e. in the realistic case in which it has not been "trained" and set up optimally

연구 동기 및 목표

• 네트워크 침입 탐지 시스템(NIDS)에서 높은 잘못된 양성 결과 비율이 발생하는 문제를 해결함으로써 관리자에게 과도한 부담을 주고 시스템의 효과성을 떨어뜨리는 문제를 해결한다.
• 입력 NIDS가 생성한 경고를 검증하거나 기각하기 위해 출력 트래픽 이상 현상을 활용하는 아키텍처를 설계한다.
• 광범위한 수동 데이터 정제나 최적의 임계값 조정 없이도 잘못된 양성 결과 감소가 가능함을 입증한다.
• 서명 기반 및 이상 기반 NIDS 모두와 호환되는 즉시 사용 가능한 솔루션을 제공함으로써 실용적인 구현을 향상시킨다.

제안 방법

• APHRODITE는 출력 트래픽에서 정상 행동과의 이탈을 감지하기 위해 외부 트래픽을 모니터링하는 출력 이상 탐지기(OAD)를 통합한다.
• 입력 NIDS에서 발생한 경고와 OAD가 감지한 출력 이상 간의 상관관계를 분석하여, 출력 이상을 유발하지 않는 경고는 기각한다.
• OAD에서 사용하는 이상 탐지 메커니즘은 임계값 기반으로 작동하며, 간단한 히ュ리스틱을 통해 빠른 배포가 가능하도록 설정된다.
• 세 가지 예외 규칙을 포함한다: (1) 출력 이상이 감지되지 않은 경우 미처리 경고는 진짜 사건으로 간주한다, (2) 고강도 입력 경고는 유지한다, (3) 패킷 수가 많은 경고는 유지한다.
• 입력 NIDS의 유형에 관계없이 작동하도록 설계되어, 서명 기반(NIDS, 예: Snort) 및 이상 기반(NIDS, 예: POSEIDON) 시스템 모두를 지원한다.
• 광범위한 수동 데이터 정제가 필요 없도록, τ개의 패킷으로 최소한의 데이터셋을 사용해 학습을 수행한다.

실험 결과

연구 질문

• RQ1 출력 트래픽 이상 현상은 NIDS 경고에서 진짜 양성 결과와 잘못된 양성 결과를 신뢰성 있게 구분하는 데 사용될 수 있는가?
• RQ2 최소한의 학습과 히ュ리스틱 기반 임계값 설정으로 잘못된 양성 결과 감소를 어느 정도 달성할 수 있는가?
• RQ3 최적의 튜닝이나 정제된 학습 데이터 없이도 빠르게 배포된 경우 아키텍처의 효과성이 유지되는가?
• RQ4 응용 프로그램 전용 서명이나 재설정 없이도 OAD가 출력 트래픽의 이상 현상을 감지할 수 있는가?
• RQ5 공개 및 비공개 데이터셋에서 기존의 잘못된 양성 결과 감소 기법과 비교해 APHRODITE의 성능은 어떠한가?

주요 결과

• APHRODITE는 DARPA 1999 데이터셋의 7개 벤치마크 중 6개에서 Snort나 POSEIDON과 결합하여 잘못된 양성 결과를 50–100% 감소시켰다.
• 모든 테스트 시나리오에서 진짜 양성 결과를 100%로 탐지하여 잘못된 음성 결과가 발생하지 않았다.
• 정제되지 않은 학습 데이터와 히ュ리스틱 기반 임계값 설정 조건에서도 APHRODITE는 효과적인 잘못된 양성 결과 감소를 달성하여, 빠른 배포에 매우 실용적임을 입증했다.
• 비공개 데이터셋에서도 최적의 학습 없이도 APHRODITE는 효과성을 유지하여 실제 환경에서의 강건성을 확인했다.
• 공개 데이터에서 유일하게 공개된 벤치마크를 통과한 경쟁자보다 APHRODITE는 잘못된 양성 결과 감소 측면에서 뛰어난 성능을 보였다.
• 예외 처리 메커니즘(예: 미처리 경고나 고강도 경고에 대한 처리) 덕분에 필터링 과정에서 중요한 경고가 손실되지 않았다.