[논문 리뷰] Intrusion detection mechanisms for VoIP applications

Mohamed Nassar, Radu State외 1명|ArXiv.org|2006. 10. 18.

Network Security and Intrusion Detection참고 문헌 8인용 수 10

한 줄 요약

이 논문은 SIP 신호 트래픽을 분석하여 SPIT, 스캐닝 및 DoS 공격을 탐지하기 위해 시간적 및 행동적 이질성을 모델링하는 베이지안 네트워크 기반의 VoIP 네트워크를 위한 침입 탐지 시스템을 제안한다. 이 방법은 다중 트래픽 메트릭에서의 가능도 융합을 사용하여 비정상적 행동을 56%의 신뢰도로 탐지한다.

ABSTRACT

VoIP applications are emerging today as an important component in business and communication industry. In this paper, we address the intrusion detection and prevention in VoIP networks and describe how a conceptual solution based on the Bayes inference approach can be used to reinforce the existent security mechanisms. Our approach is based on network monitoring and analyzing of the VoIP-specific traffic. We give a detailed example on attack detection using the SIP signaling protocol.

연구 동기 및 목표

• SPIT, DoS 및 통화 가로채기와 같은 프로토콜 특화 위협으로 인해 VoIP 네트워크에서의 전문화된 침입 탐지의 증가하는 필요성을 해결한다.
• 사용자 정보 유출 및 위조 사용과 같은 공격을 탐지하기 위해 SIP 신호 트래픽의 행동적 이질성을 식별하고 모델링한다.
• 기존의 서명 기반 방법에만 의존하지 않고 실시간으로 이상을 탐지하기 위한 베이지안 추론 기반 통계 프레임워크를 개발한다.
• 다차원 트래픽 메트릭과 가능도 융합을 통해 유사한 공격 유형(예: SPIT과 스캐닝)을 구분한다.
• 기존 VoIP 보안 아키텍처에 이상 기반 탐지를 통합하기 위한 기반을 제공하여 향후 위협에 대한 내성을 향상시킨다.

제안 방법

• 침입 유형을 나타내는 부모 노드와 관측 가능한 트래픽 메트릭을 나타내는 자식 노드를 갖는 베이지안 네트워크를 사용하여 SIP 트래픽을 모델링한다.
• 정상 및 공격 행동에서 유도된 임계값을 기반으로 각 관측 메트릭(예: 요청 강도, 응답 분포)에 대한 가능도 벡터를 정의한다.
• 5초 간격으로 시간 분석을 적용하여 요청 강도와 ERI(추정 요청 강도)를 계산하여 비정상적인 요청 패턴을 탐지한다.
• 자식 노드의 가능도 벡터를 요소별 곱셈으로 융합하여 루트 노드에서 공격 가능성에 해당하는 융합된 신뢰도 벡터를 계산한다.
• 융합된 신뢰도 벡터를 단위 합으로 정규화하여 가능한 공격 유형에 대한 최종 신뢰도 분포를 확보한다.
• 대상 수, 열린 RTP 포트 수, 대기 상태의 대화 수, 응답 클래스 분포와 같은 메트릭을 활용하여 베이지안 모델에 정보를 제공한다.

실험 결과

연구 질문

• RQ1 베이지안 추론은 SPIT 또는 스캐닝 공격의 징후가 되는 VoIP 신호 트래픽의 이질성을 탐지하는 데 어떻게 적용될 수 있는가?
• RQ2 정상 행동와 악성 활동(예: 사용자 정보 유출 또는 DoS)을 가장 잘 구분하는 SIP 트래픽 메트릭의 조합은 무엇인가?
• RQ3 다양한 저수준 트래픽 관측치의 기반 신뢰도 융합은 단일 메트릭 분석에 비해 탐지 정확도를 향상시킬 수 있는가?
• RQ4 유사한 공격 유형(예: SPIT과 스캐닝)을 구분하는 데 모델의 효과는 어떠한가? 특히 행동 패턴이 겹치는 경우에 대해 어떻게 평가할 수 있는가?
• RQ5 인증이 약하거나 존재하지 않을 경우, 모델은 통신 프로토콜 수준의 공격(예: 통화 가로채기 또는 맨인더미들)을 어느 정도 탐지할 수 있는가?

주요 결과

• 공격 유형에 대한 신뢰도 분포는 BEL = (0 0.56 0.44 0 0 0)로 계산되었으며, 이는 SPIT 유사 행동에 대해 56%의 신뢰도와 스캐닝에 대해 44%의 신뢰도를 의미한다.
• 요청 강도는 2.424로 계산되었으며, 임계값 10 이하이므로 요청 강도 노드에 대해 가능도 벡터 λ = (1 0)이 된다.
• ERI(추정 요청 강도)는 2.70으로 계산되었으며, 임계값 4 이하이므로 해당 메트릭에 대해 가능도 벡터 λ = (1 0)이 된다.
• 대상 수는 9로 계산되어 가능도 벡터 λ = (0 1)이 되었으며, 열린 RTP 포트 수가 10 미만이므로 λ = (1 0)이 된다.
• 대기 상태에 있는 대화의 최대 수는 1이었고, 가능도 벡터 λ = (1 0)이 되었으며, 최종으로 신뢰도 벡터는 융합된 가능도에서 정규화되었다.
• 융합된 신뢰도 벡터 L = (0 6.11 4.85 0 0 0)는 정규화되어 BEL = (0 0.56 0.44 0 0 0)가 되었으며, 이는 관측된 트래픽 기반으로 SPIT과 스캐닝이 가장 가능성 있는 공격 유형임을 보여준다.