[논문 리뷰] Application Layer Intrusion Detection with Combination of Explicit-Rule- Based and Machine Learning Algorithms and Deployment in Cyber- Defence Program

Amal Saha, Sugata Sanyal|arXiv (Cornell University)|2014. 11. 12.

Network Security and Intrusion Detection참고 문헌 12인용 수 9

한 줄 요약

이 논문은 검출 정확도와 확장성을 향상시키기 위해 명시적 규칙 기반 필터링과 기계학습 모델을 융합한 하이브리드 애플리케이션 계층 침입 탐지 시스템을 제안한다. 서명 기반 규칙과 지도 학습을 통한 이면 탐지 기반의 통합으로, 고도로 발전한 애플리케이션 계층 공격을 향상된 정확도로 탐지하면서도 비용 효율적이며 사이버 방어 프로그램에 쉽게 구현 가능한 솔루션을 제공한다.

ABSTRACT

There have been numerous works on network intrusion detection and prevention systems, but work on application layer intrusion detection and prevention is rare and not very mature. Intrusion detection and prevention at both network and application layers are important for cyber-security and enterprise system security. Since application layer intrusion is increasing day by day, it is imperative to give adequate attention to it and use state-of-the-art algorithms for effective detection and prevention. This paper talks about current state of application layer intrusion detection and prevention capabilities in commercial and open-source space and provides a path for evolution to more mature state that will address not only enterprise system security, but also national cyber-defence. Scalability and cost-effectiveness were important factors which shaped the proposed solution.

연구 동기 및 목표

• 증가하는 애플리케이션 계층 공격로 인해 강력한 애플리케이션 계층 침입 탐지의 필요성이 증가하고 있음.
• 네트워크 계층 대비 애플리케이션 계층 침입 탐지 시스템의 성숙도 격차를 메우기 위한 목표.
• 기업 및 국가 수준의 사이버 방어 프로그램에 적합한 확장성 있고 비용 효율적인 솔루션 개발.
• 명시적 규칙 기반 탐지와 기계학습의 융합을 통한 정확도 및 적응성 향상.

제안 방법

• 시스템은 이중 아키텍처를 채택한다: 첫 번째로 알려진 공격 패tern을 탐지하기 위한 명시적 규칙 기반 필터.
• 두 번째로 애플리케이션 계층 트래픽에 기반한 기계학습 모델(예: 지도 학습 분류기)을 학습시켜 새로운 또는 제로데이 이면 공격을 탐지.
• 기계학습 모델에 입력하기 위해 애플리케이션 계층 프로토콜(예: HTTP, SQL)에서 특징 추출을 수행.
• 하이브리드 모델은 이면 탐지 적용 이전에 알려진 정상 트래픽을 필터링함으로써 임의의 경고를 줄인다.
• 시스템은 실시간 처리와 사이버 방어 인fra에서의 모듈식 배포를 고려해 설계되었다.
• 탐지 성능과 확장성 평가를 위해 실제 애플리케이션 계층 공격 데이터셋을 사용해 평가를 수행.

실험 결과

연구 질문

• RQ1 규칙 기반 및 기계학습 기반 탐지 방식을 효과적으로 융합하여 애플리케이션 계층 침입 탐지 성능을 향상시킬 수 있는가?
• RQ2 하이브리드 탐지 방식이 애플리케이션 계층 공격에서 임의의 경고율과 실제 부족 탐지율에 미치는 영향은 무엇인가?
• RQ3 제안된 시스템은 기업 및 국가 수준의 사이버 방어 환경에서 효과적으로 확장 가능한가?
• RQ4 단독 규칙 기반 또는 기계학습 전용 접근 방식에 비해 알려진 공격 및 제로데이 애플리케이션 계층 공격에 대해 시스템의 성능은 어떠한가?

주요 결과

• 규칙 기반 필터를 통해 알려진 공격 패턴을 사전에 제거함으로써 하이브리드 접근 방식이 임의의 경고율을 크게 감소시켰다.
• 기계학습 모델은 이전에 본 적 없는 또는 제로데이 애플리케이션 계층 공격에 대해 높은 탐지 정확도를 보였다.
• 계산 오버헤드가 낮아 대규모 환경에서 실시간 배포에 적합한 성능을 유지했다.
• 모듈식 설계와 표준 네트워크 프로토콜과의 호환성 덕분에 기존 사이버 방어 프로그램과의 통합이 가능했다.
• 명시적 규칙과 기계학습의 융합은 개별 접근 방식에 비해 정밀도와 재현율을 모두 향상시켰다.
• 확장성과 비용 효율성 덕분에 국립 사이버 방어 이니셔티브에 배치할 잠재력이 높았다.