[논문 리뷰] Graph Convolutional Network-based Suspicious Communication Pair Estimation for Industrial Control Systems

Tatsumi Oba, Tadahiro Taniguchi|arXiv (Cornell University)|2020. 07. 17.

Network Security and Intrusion Detection참고 문헌 15인용 수 5

한 줄 요약

이 논문은 산업 제어 시스템(ICS)에서 관측되지 않은 통신 트리플릿(Server IP, 포트, 클라이언트 IP)을 정상 및 비정상 트래픽으로 구분하기 위해 그래프 컬러션 네트워크 기반 프레임워크인 GCN SCOPE를 제안한다. 네트워크 통신을 다중그래프로 모델링하고 관계 기반 그래프 컬러션 네트워크(R-GCNs)를 사용해 링크 예측을 수행함으로써, AUC 0.957을 달성하여 DistMult 및 히우리스틱 방법과 같은 기존 기준보다 뚜렷이 뛰어난 성능을 보였다.

ABSTRACT

Whitelisting is considered an effective security monitoring method for networks used in industrial control systems, where the whitelists consist of observed tuples of the IP address of the server, the TCP/UDP port number, and IP address of the client (communication triplets). However, this method causes frequent false detections. To reduce false positives due to a simple whitelist-based judgment, we propose a new framework for scoring communications to judge whether the communications not present in whitelists are normal or anomalous. To solve this problem, we developed a graph convolutional network-based suspicious communication pair estimation using relational graph convolution networks, and evaluated its performance. For this, we collected the network traffic of three factories owned by Panasonic Corporation, Japan. The proposed method achieved a receiver operating characteristic area under the curve of 0.957, which outperforms baseline approaches such as DistMult, a method that directly optimizes the node embeddings, and heuristics, which score the triplets using first- and second-order proximities of multigraphs. This method enables security operators to concentrate on significant alerts.

연구 동기 및 목표

• 산업 제어 시스템(ICS)의 화이트리스트 기반 이상 탐지에서 발생하는 높은 거짓 경고 비율을 해결하기 위해.
• 역사적 로그에 존재하지 않는 관측되지 않은 통신 트리플릿의 이상 수준을 정량화하기 위해.
• 경고 피로를 줄이기 위해 확장 가능하고 학습 기반의 방법을 개발하기 위해.
• 통신 패턴을 다중그래프로 모델링하고 관계 기반 GCN을 사용해 탐지 정확도를 향상시키기 위해.
• 기존 방법들인 DistMult 및 접근성 기반 히우리스틱과 비교해 정상 및 비정상 통신을 효과적으로 구분하기 위해.

제안 방법

• 노드는 IP 주소를, 간선은 그들 사이의 TCP/UDP 포트 사용을 나타내는 다중그래프로 ICS 네트워크 트래픽을 모델링한다.
• 관계 기반 그래프 컬러션 네트워크(R-GCNs)를 적용하여 노드 임bedding을 공동으로 학습하고 관측되지 않은 링크(트리플릿)를 예측한다.
• 관측되지 않은 트리플릿의 이상 점수를 다중그래프에서의 링크 예측 문제로 간주한다.
• 정상 대 비정상 트리플릿의 구별 가능성을 평가하기 위해 점수 기반 및 순위 기반 평가를 사용한다.
• 세 공장의 실제 ICS 네트워크 데이터를 일주일간 학습하고 별도의 일주일 동안 테스트한다.
• 이상 탐지 평가를 위해 훈련 및 테스트 세트에 포함되지 않은 랜덤 트리플릿을 양성 샘플로 사용한다.

실험 결과

연구 질문

• RQ1 그래프 신경망 프레임워크가 ICS 네트워크에서 관측되지 않은 통신 트리플릿을 효과적으로 평가하여 이상을 식별할 수 있는가?
• RQ2 R-GCN 기반 링크 예측은 전통적인 방법들인 DistMult 및 접근성 히우리스틱과 비교해 의심스러운 통신을 탐지하는 데 어떻게 성능을 냈는가?
• RQ3 다중그래프에서 학습된 임베딩이 정상 및 비정상 통신 패턴 간의 구별을 얼마나 향상시킬 수 있는가?
• RQ4 그래프 컬러션을 통한 노드 임베딩의 공동 최적화는 독립 최적화 대비 점수 척도 불일치를 줄이는가?
• RQ5 제안된 방법은 탐지 민감도를 희생시키지 않고 ICS 보안 모니터링에서 거짓 경고를 상당히 줄일 수 있는가?

주요 결과

• GCN SCOPE는 링크 예측에 대해 ROC 곡선에서 평균 AUC 0.957을 달성하여 기준 방법들보다 뚜렷이 뛰어난 성능을 보였다.
• 공장 A에서는 점수 기반 AUC가 0.962에 도달했고, DistMult는 단지 0.262에 머물러 있어 뚜렷한 성능 격차를 보였다.
• 순위 기반 평가에서 GCN SCOPE는 공장 A에서 AUC 0.903을 기록했으며, 1차 접근성 히우리스틱(0.767) 및 2차 접근성 히우리스틱(0.768)을 모두 앞섰다.
• R-GCN의 뛰어난 성능은 노드 임베딩의 공동 최적화 덕분이며, 이는 DistMult에서 관찰된 점수 척도 불일치 문제를 완화시켰다.
• 낮은 점수를 받는 비필수 경고를 걸러내어 GCN SCOPE는 거짓 경고를 효과적으로 줄였으며, 보안 팀이 고위험 이벤트에 집중할 수 있도록 했다.
• 이 방법은 세 개의 서로 다른 산업 환경에서 강력한 일반화 성능을 보였으며, 공장에 따라 AUC는 0.914에서 0.996 사이로 변동했다.