[논문 리뷰] Extending Signature-based Intrusion Detection Systems With Bayesian Abductive Reasoning

Ashwinkumar Ganesan, Pooja Parameshwarappa외 3명|arXiv (Cornell University)|2019. 03. 28.

Network Security and Intrusion Detection참고 문헌 31인용 수 9

한 줄 요약

이 논문은 기존의 시그니처 기반 침입 탐지 시스템(예: Snort)을 확장하기 위해 베이지안 추론 기반의 추론 프레임워크를 제안한다. 이는 기존 규칙들로부터 자동으로 새로운, 진화된 공격 규칙을 생성함으로써, 공격 패tern의 조건이 누락되거나 수정된 경우를 확률적으로 예측함으로써 탐지 범위를 증가시킨다. 확률적 모델링을 통해 규칙 속성의 조건부 의존성을 분석함으로써, 공격 패턴에서 누락되거나 수정된 조건을 예측하고, 실제 NetBIOS 규칙에 적용했을 때 경고 수가 330에서 421로 27.6% 증가함을 입증하였다. 이는 MACCDC 2012 데이터셋 기반 결과이다.

ABSTRACT

Evolving cybersecurity threats are a persistent challenge for system administrators and security experts as new malwares are continually released. Attackers may look for vulnerabilities in commercial products or execute sophisticated reconnaissance campaigns to understand a target’s network and gather information on security products like firewalls and intrusion detection / prevention systems (network or host-based). Many new attacks tend to be modifications of existing ones. In such a scenario, rule-based systems fail to detect the attack, even though there are minor differences in conditions / attributes between rules to identify the new and existing attack. To detect these differences the IDS must be able to isolate the subset of conditions that are true and predict the likely conditions (different from the original) that must be observed. In this paper, we propose a probabilistic abductive reasoning approach that augments an existing rule-based IDS (snort [29]) to detect these evolved attacks by (a) Predicting rule conditions that are likely to occur (based on existing rules) and (b) able to generate new snort rules when provided with seed rule (i.e. a starting rule) to reduce the burden on experts to constantly update them. We demonstrate the effectiveness of the approach by generating new rules from the snort 2012 rules set and testing it on the MACCDC 2012 dataset.

연구 동기 및 목표

• 기존의 시그니처 기반 IDS가 약간 수정된 알려진 공격 패턴을 탐지하는 데에 한계를 가진다는 문제를 해결하기 위해.
• 기본 규칙에서 새로운 Snort 규칙을 자동 생성함으로써 규칙 작성에 필요한 수작업을 줄이기 위해.
• 규칙의 불완전성을 속성 변형에 대한 확률적 추론 문제로 모델링하기 위해.
• 실제 네트워크 트래픽 데이터셋에서 이전에 탐지되지 않은 공격 변종을 탐지하는 데에 효과적인지 평가하기 위해.

제안 방법

• Snort 2012 규칙 세트에서 추출한 규칙 속성(예: dce_iface, pcre, dce_opnum)을 기반으로 베이지안 네트워크를 학습하여 조건부 의존성을 모델링하였다.
• 추론 기반 추론을 사용하여 규칙 내에서 누락되거나 수정된 전제 조건을 예측하였으며, 이를 기존 공격 패턴의 가능성이 높은 변형으로 간주하였다.
• 임계값 기반의 top-k 선택 기법을 적용하여 후보 규칙 변형을 생성함으로써 규칙의 다양성과 특이성 제어를 달성하였다.
• 생성된 규칙을 MACCDC 2012 데이터셋에 적용하여, 경고 수 증가 및 각 규칙 유형별 분류 정확도를 측정하였다.
• sid 기반 규칙 매칭을 통해 원본 규칙과 추론된 규칙의 경고를 비교함으로써, 새로운 공격 인스턴스가 탐지되었는지 검증하였다.
• 규칙의 불완전성을 확률적 추론 문제로 간주함으로써, 타당한 규칙 확장을 예측할 수 있도록 하였다.

실험 결과

연구 질문

• RQ1 베이지안 추론 기반의 추론 기법이 기존 Snort 규칙의 누락되거나 수정된 조건을 효과적으로 예측하여 진화한 공격을 탐지하는 데에 적합한가?
• RQ2 임계값 파rameter가 생성된 규칙의 수와 다양성에 어떤 영향을 미치는가?
• RQ3 실제 네트워크 트래픽에서 기존 규칙 대비 추론된 규칙이 탐지 커버리지에 얼마나 기여하는가?
• RQ4 다양한 공격 유형(예: Web-Misc, NetBIOS, Web-CGI) 간에 모델이 일관된 성능을 보일 수 있는가?
• RQ5 규칙 생성이 경고 수와 잠재적인 위양성 비율에 어떤 영향을 미치는가?

주요 결과

• 베이지안 추론 모델은 NetBIOS 규칙에 대해 경고 수를 330에서 421로 증가시켜 탐지 커버리지가 27.6% 향상되었다.
• 규칙 세트(예: Web-Misc, NetBIOS 등) 전반의 분류 정확도는 85%에서 95% 사이로 나타나, 각 속성에 대해 강력한 예측 성능을 보였다.
• 임계값 튜닝은 규칙 생성에 크게 영향을 미쳤다: 낮은 임계값은 규칙의 다양성을 증가시켰고, 높은 임계값은 출력 수를 감소시켰다.
• 모델은 시드 규칙(예: SID: 13162)에서부터 새로운 규칙을 성공적으로 생성하였으며, pcre 및 dce_opnum 패턴이 수정된 변형도 포함되었다.
• 기존 규칙이 트리거하지 않은 새로운 공격 인스턴스가 탐지되었음을 입증하였으며, 이는 원본 규칙이 작동하지 않았던 새로운 경고(예: SID: 250016)로 확인되었다.
• 이 방법은 Snort 규칙 세트에 내재된 불완전성을 드러내었으며, 많은 규칙들이 타당한 변형을 누락하고 있음을 확인하였다.