[논문 리뷰] Hierarchical Online Intrusion Detection for SCADA Networks

Hongrui Wang, Tao Lű외 3명|arXiv (Cornell University)|2016. 11. 28.

Network Security and Intrusion Detection참고 문헌 24인용 수 5

한 줄 요약

이 논문은 로지스틱 회귀와 쿼asi-뉴턴 최적화를 사용하여 SCADA 네트워크용 계층적 온라인 침입 탐지 시스템(HOIDS)을 제안한다. 이는 실시간, 확장 가능하고 효율적인 탐지 기능을 제공하며 네트워크 영향을 최소화한다. 정보 수익 기반 특성 선택과 주성분 분석(PCA) 기반 차원 축소를 적용하여, 드문 공격 유형인 주소 스캔 공격에 대해 0.7의 리콜과 0.567의 정밀도를 달성하는 높은 탐지 정확도를 유지한다. 또한 성능 저하 없이 학습 및 탐지 속도를 크게 향상시킨다.

ABSTRACT

We propose a novel hierarchical online intrusion detection system (HOIDS) for supervisory control and data acquisition (SCADA) networks based on machine learning algorithms. By utilizing the server-client topology while keeping clients distributed for global protection, high detection rate is achieved with minimum network impact. We implement accurate models of normal-abnormal binary detection and multi-attack identification based on logistic regression and quasi-Newton optimization algorithm using the Broyden-Fletcher-Goldfarb-Shanno approach. The detection system is capable of accelerating detection by information gain based feature selection or principle component analysis based dimension reduction. By evaluating our system using the KDD99 dataset and the industrial control system dataset, we demonstrate that HOIDS is highly scalable, efficient and cost effective for securing SCADA infrastructures.

연구 동기 및 목표

• 표준 프로토콜과 운영 체제의 증가된 사용으로 인해 SCADA 네트워크의 취약성이 증가하고 있음을 고려하여, 이를 해결하고자 한다.
• 기존 서명 기반 IDS의 한계를 극복하고자 하며, 이는 알려지지 않은 또는 변형된 공격을 탐지할 수 없다는 점을 포함한다.
• SCADA 장치의 계산 자원 제약과 제어 시스템의 낮은 지연 시간 요구 사항을 고려한 확장 가능하고 실시간 침입 탐지 시스템을 설계하고자 한다.
• 효과적인 특성 선택과 차원 축소를 통해 탐지 성능을 향상시키면서도 계산 오버헤드를 최소화하고자 한다.
• 클라이언트-서버 아키텍처를 통해 자원 제약이 있는 SCADA 환경에서 머신 러닝 기반 이상 탐지 기능을 구현하고자 한다.

제안 방법

• 시스템은 제어 센터, 변전소, 현장 네트워크에 분산된 IDS 클라이언트와 중앙 IDS 서버를 포함하는 계층적 온라인 설계를 채택하여, 낮은 네트워크 영향으로도 전역 보호를 보장한다.
• 이진 정상-이상 탐지 및 다중 공격 분류는 Broyden-Fletcher-Goldfarb-Shanno(BFGS) 쿼아-뉴턴 최적화를 사용한 로지스틱 회귀를 통해 효율적인 모델 학습을 구현한다.
• 정보 수익(IG)을 사용하여 특성 선택을 수행하여 관련성이 높은 특성 우선순위를 정하고, 탐지 성능을 유지하면서 특성 수를 줄인다.
• 주성분 분석(PCA)을 통해 차원 축소를 수행하며, 7개의 성분으로 데이터를 투영함으로써 100% 이상의 분산을 유지한다.
• 시스템 성능 평가에는 KDD99 및 산업 제어 시스템(ICS) 데이터셋에 대한 10×10 교차 검증을 사용하며, 다양한 특성 축소 순서를 비교한다.
• 모델 성능을 향상시키기 위해 명목형 '주소' 특성을 7개 특성 데이터셋에 통합하여 드문 공격 유형의 탐지 성능을 향상시킨다.

실험 결과

연구 질문

• RQ1 기계 학습 기반의 계층적 온라인 침입 탐지 시스템은 계산 오버헤드를 최소화하면서도 실시간으로 알려진 공격과 알려지지 않은 공격을 효과적으로 탐지할 수 있는가?
• RQ2 정보 수익 기반 특성 선택은 랜덤 또는 높은 IG 우선 순서의 특성 축소 방식과 비교해 탐지 정확도와 속도 유지에 얼마나 효과적인가?
• RQ3 PCA 기반 차원 축소는 SCADA 네트워크 트래픽의 특성 수를 줄이면서도 탐지 성능을 얼마나 잘 유지할 수 있는가?
• RQ4 명목형 특성인 '주소'의 통합은 주소 스캔과 같은 저빈도 공격의 탐지에 얼마나 기여하는가?
• RQ5 제안된 HOIDS 아키텍처는 실제 SCADA 구현 환경에서 실시간 성능, 확장성, 자원 효율성 간의 균형을 얼마나 잘 유지하는가?

주요 결과

• 정보 수익(IG) 증가 순서로 특성 수를 줄일 경우, 3~4개의 특성만 남아도 안정적인 리콜과 정밀도를 유지하며 높은 탐지 성능을 달성한다.
• 높은 IG 값 기반 또는 랜덤 순서의 특성 축소는 정밀도와 리콜을 심각하게 떨어뜨려, IG 기반 선택이 성능 유지에 필수적임을 시사한다.
• 7개 이하의 특성 수를 사용할 경우 PCA 기반 차원 축소가 IG 기반 축소보다 우수한 성능을 보이며, 2개의 성분조차도 리콜은 안정적이고 정밀도는 향상된다.
• 7개 특성 데이터셋에 명목형 '주소' 특성을 통합함으로써 주소 스캔 공격의 탐지 리콜은 0.0에서 0.700으로, 정밀도는 0.0에서 0.567으로 상승하여 드문 공격의 탐지 성능이 크게 향상된다.
• 10×10 교차 검증 결과, 7개 특성 사용 모델이 주소 스캔 공격에 대해 리콜 0.700, 정밀도 0.567을 달성하며, 이는 12개 특성 사용한 이전 연구를 능가한다.
• 시스템은 높은 확장성과 효율성을 보이며, 네트워크 영향을 최소화하고 KDD99 및 ICS 데이터셋 모두에서 우수한 성능을 보여, 실시간 SCADA 환경에 적합함을 확인한다.