[논문 리뷰] Identifying roles in an IP network with temporal and structural density

Tiphaine Viard, Matthieu Latapy|arXiv (Cornell University)|2014. 06. 19.

Network Security and Intrusion Detection참고 문헌 11인용 수 5

한 줄 요약

이 논문은 시간적 및 구조적 밀도를 통합하는 새로운 메트릭인 $Δ$-밀도를 도입하여, 특징적인 시간 스케일을 탐지함으로써 IP 네트워크 트래픽 내에서 서로 다른 역할을 식별한다. 이를 통해 매일, 매주, 24시간 단위의 패턴과 같은 공존하는 다이나믹스를 드러내며, 시간 스케일을 고려한 클러스터링을 통해 백업 서버, 메일 서버, 분산 애플리케이션 클러스터와 같은 노드를 자동으로 탐지할 수 있다.

ABSTRACT

Captures of IP traffic contain much information on very different kinds of activities like file transfers, users interacting with remote systems, automatic backups, or distributed computations. Identifying such activities is crucial for an appropriate analysis, modeling and monitoring of the traffic. We propose here a notion of density that captures both temporal and structural features of interactions, and generalizes the classical notion of clustering coefficient. We use it to point out important differences between distinct parts of the traffic, and to identify interesting nodes and groups of nodes in terms of roles in the network.

연구 동기 및 목표

• 고정된 시간 윈도우 분석의 한계를 해결하여 IP 네트워크 트래픽 내 다양한 다이나믹스를 포괄적으로 포착하고자 한다.
• 상호작용 패턴에 기반해 네트워크 노드(예: 백업 서버, 최종 사용자, 분산 서비스)의 서로 다른 역할을 식별하고자 한다.
• 동일한 트래픽 트레이스 내에서 다수의 특징적인 시간 스케일을 탐지하고, 이를 통해 세분화된 네트워크 역할 분류를 가능하게 하고자 한다.
• 시간적 규칙성과 링크 지속성 요소를 통합함으로써 고전적 클러스터링 계수를 일반화하고자 한다.
• 실제 트래픽 내 숨겨진 구조적 및 시간적 패턴을 드러내어 네트워크 모니터링, 보안 분석 및 모델링을 지원하고자 한다.

제안 방법

• IP 트래픽을 링크 스트림 $L = (t_i, u_i, v_i)$로 모델링하여, 시간에 따라 IP 주소 간 패킷 교환을 표현한다.
• 링크 $(u,v)$가 길이 $\Delta$인 시간 간격 동안 활성화된 비율로 정의된 $Δ$-밀도 $\delta_\Delta(u,v)$를 도입하여 시간적 지속성을 캡처한다.
• 모든 인cidnet 링크에 대해 집계하고 평균 또는 최대값을 계산함으로써 $Δ$-밀도를 노드 및 노드 집합으로 확장한다.
• 고전적 클러스터링 계수의 시간 인식된 일반화로 $\tau$-클러스터링 계수를 도입하여, 시간에 따른 구조적 밀도를 측정한다.
• 특징적인 시간 $\tau$를 정의하여 $\delta_\Delta$가 급격히 증가하는 $\Delta$로 간주함으로써 주요 시간 패턴을 식별한다.
• 실제 방화벽 캡처 데이터에 이 방법을 적용하여 정기적이고 반복적인 상호작용 패턴을 보이는 노드 및 그룹을 탐지한다.

실험 결과

연구 질문

• RQ1 IP 트래픽의 시간적 및 구조적 특징을 어떻게 통합적으로 모델링하여 네트워크 내의 서로 다른 역할을 드러낼 수 있는가?
• RQ2 다양한 유형의 네트워크 상호작용(예: 백업, 사용자 세션, P2P 전송) 내에 내재된 시간 스케일은 무엇인가?
• RQ3 시간 다이나믹스를 통합한 일반화된 클러스터링 계수는 네트워크 트래픽 내 역할 식별에 개선을 가져올 수 있는가?
• RQ4 동일한 트래픽 트레이스 내에서 공존하는 다수의 특징적인 시간 스케일을 어떻게 탐지하고 구분할 수 있는가?
• RQ5 제안된 방법은 사전 레이블링 없이도 백업 서버나 분산 서비스와 같은 알려진 역할을 탐지할 수 있는가?

주요 결과

• 이 방법은 100개 이상의 연결을 가지며 24시간 특징적인 시간을 보이는 백업 서버를 성공적으로 식별하였으며, 낮은 클러스터링 계수와 높은 차수로 확인되었다.
• 5개 이상의 노드로 구성된 몇몇 그룹은 높은 구조적 및 시간적 밀도를 보이며, 분산 데이터베이스나 웹 서비스와 같은 조율된 활동을 나타낸다.
• 일부 노드는 정기적인 24시간 패턴을 보이며, 데이터셋 검토를 통해 현지 백업 또는 메일 서버로 식별되었다.
• $\tau$-클러스터링 계수는 노드 간의 조밀하고 반복적인 상호작용 패턴을 드러내어 공유 작업이나 서비스를 시사한다.
• 동일한 트래픽 내에서 매일, 매주, 24시간 패턴을 포함한 다수의 특징적인 시간 스케일이 공존하며, $\delta_\Delta$의 급격한 증가를 통해 탐지 가능하다.
• 이 방법은 사전 레이블링 없이도 역할 식별이 가능하며, 별도의 구조를 가진 노드(예: 백업 서버)와 서로 연결된 밀집 클러스터(예: 서비스 그룹)를 구분할 수 있다.