[논문 리뷰] Architectures for Detecting Real-time Multiple Multi-stage Network Attacks Using Hidden Markov Model.

Tawfeeq Shawly, Ali Elghariani외 2명|arXiv (Cornell University)|2018. 07. 25.

Network Security and Intrusion Detection참고 문헌 31인용 수 5

한 줄 요약

이 논문은 숨겨진 마르코프 모델(HMM)을 활용하여 공격 시퀀스를 모델링하기 위해 HMM 템플릿 데이터베이스를 활용하는 두 가지 실시간 아키텍처를 제안한다. DARPA2000 데이터셋을 사용한 시뮬레이션 다중공격 시나리오에서 높은 탐지 정확도와 낮은 오류율을 달성하여 공격 진행 상황을 추적하고 공격 위험을 정량화하는 데 효과적임을 입증함.

ABSTRACT

With the growing Cyber threats, the need to develop high assurance Cyber systems is becoming increasingly important. The objective of this paper is to address the challenges of modeling and detecting sophisticated and diversified network attacks. Using one of the important statistical machine learning (ML) techniques, Hidden Markov Models (HMM), we develop two architectures that can detect and track in real-time the progress of these organized attacks. These architectures are based on developing a database of HMM templates and exhibit varying performance and complexity. For performance evaluation, in the presence of multiple multi-stage attack scenarios, various metrics are proposed which include (1) attack risk probability, (2) detection error rate, and (3) the number of correctly detected stages. Extensive simulation experiments are used based on the DARPA2000 dataset to demonstrate the efficacy of the proposed architectures.

연구 동기 및 목표

• 다단계를 거쳐 진행되는 복잡하고 진화하는 네트워크 공격을 모델링하고 탐지하는 과제를 해결하기 위해.
• 조직적이고 다단계적인 사이버공격의 진행 상황을 추적할 수 있는 실시간 탐지 아키텍처를 개발하기 위해.
• 복잡한 공격 패tern을 조기에 정확하게 식별함으로써 사이버 시스템의 신뢰성을 향상시키기 위해.
• 공격 위험 확률, 탐지 오류율, 정확히 식별된 공격 단계 수와 같은 지표를 사용해 탐지 성능을 평가하기 위해.

제안 방법

• 네트워크 공격 행동의 시간적 순서를 모델링하기 위해 숨겨진 마르코프 모델(HMM)을 핵심 통계학적 학습 기법으로 활용하기 위해.
• 기존에 알려진 공격 패턴과 단계를 나타내는 HMM 템플릿의 데이터베이스를 구축하여 실시간 비교를 위해 활용하기 위해.
• 다양한 복잡도와 성능 트레이드오프를 가진 두 가지 서로 다른 아키텍처를 설계하여 공격 탐지 및 추적을 위해 사용하기 위해.
• DARPA2000 데이터셋 기반의 시뮬레이션 실험을 통해 HMM 기반 탐지 시스템을 훈련하고 평가하기 위해.
• 시스템 유효성 평가를 위해 공격 위험 확률, 탐지 오류율, 정확히 식별된 단계 수와 같은 성능 지표를 적용하기 위해.
• 네트워크 운영 중에 공격 상태 추정치를 동적으로 모니터링하고 업데이트하기 위해 실시간 처리를 통합하기 위해.

실험 결과

연구 질문

• RQ1 HMM 기반 아키텍처는 실시간으로 다수의 동시 다중단계 네트워크 공격을 얼마나 효과적으로 탐지하고 추적할 수 있는가?
• RQ2 아키텍처 설계가 다중공격 시나리오에서 탐지 정확도와 계산 복잡도에 미치는 영향은 어떠한가?
• RQ3 제안된 지표인 공격 위험 확률, 탐지 오류율, 정확히 식별된 단계 수가 시스템 성능을 얼마나 잘 반영하는가?
• RQ4 HMM 템플릿는 실제 네트워크 환경에서 다양하고 진화하는 공격 행동을 어느 정도 정확하게 모델링할 수 있는가?

주요 결과

• 제안된 HMM 기반 아키텍처는 실시간으로 다수의 다단계 공격의 진행 상황을 성공적으로 탐지하고 추적함.
• 탐지 오류율이 크게 감소하여 공격 시퀀스 식별에 있어 높은 신뢰성을 입증함.
• 다양한 공격 시나리오에서 정확히 식별된 공격 단계 수가 일관되게 높아 강력한 추적 능력을 보임.
• 공격 위험 확률이 효과적으로 정량화되어 사전 위협 평가 및 대응 우선순위 설정이 가능함.
• DARPA2000 데이터셋을 사용한 시뮬레이션 결과는 HMM 기반 접근 방식이 복잡하고 현실적인 공격 환경에서 효과적임을 확인함.
• 두 아키텍처는 성능과 복잡도 사이의 트레이드오프를 제공하여 다양한 시스템 제약 조건에 적합한 배포가 가능함.