[논문 리뷰] Language Models for Novelty Detection in System Call Traces

Quentin Fournier, Daniel Aloise외 1명|arXiv (Cornell University)|2023. 09. 05.

Software System Performance and ReliabilityComputer Science인용 수 3

한 줄 요약

이 논문은 신경어휘모델(LSTM, Transformer, Longformer)을 사용하여 시스템 호출 트레이스에 대한 새로운 데이터 및 작업 무관한 비정상 탐지 방법을 제안한다. 이 방법은 순서의 가능도를 측정하여 이질성을 탐지한다. 대부분의 비정상 유형에서 F-점수와 AuROC가 95% 이상을 기록하며, 일곱 가지 행동을 포함한 200만 건 이상의 웹 요청을 포함하는 새로운 오픈소스 데이터셋을 제공한다.

ABSTRACT

Due to the complexity of modern computer systems, novel and unexpected behaviors frequently occur. Such deviations are either normal occurrences, such as software updates and new user activities, or abnormalities, such as misconfigurations, latency issues, intrusions, and software bugs. Regardless, novel behaviors are of great interest to developers, and there is a genuine need for efficient and effective methods to detect them. Nowadays, researchers consider system calls to be the most fine-grained and accurate source of information to investigate the behavior of computer systems. Accordingly, this paper introduces a novelty detection methodology that relies on a probability distribution over sequences of system calls, which can be seen as a language model. Language models estimate the likelihood of sequences, and since novelties deviate from previously observed behaviors by definition, they would be unlikely under the model. Following the success of neural networks for language models, three architectures are evaluated in this work: the widespread LSTM, the state-of-the-art Transformer, and the lower-complexity Longformer. However, large neural networks typically require an enormous amount of data to be trained effectively, and to the best of our knowledge, no massive modern datasets of kernel traces are publicly available. This paper addresses this limitation by introducing a new open-source dataset of kernel traces comprising over 2 million web requests with seven distinct behaviors. The proposed methodology requires minimal expert hand-crafting and achieves an F-score and AuROC greater than 95% on most novelties while being data- and task-agnostic. The source code and trained models are publicly available on GitHub while the datasets are available on Zenodo.

연구 동기 및 목표

• 복잡한 컴퓨터 시스템에서 예측하지 못한 행동, 즉 정상적인 업데이트와 악성 이상 행위를 탐지하는 과제를 해결한다.
• 비정상 탐지 모델을 훈련하고 평가하기 위한 대규모 공개 시스템 호출 트레이스 데이터셋의 부족 문제를 해결한다.
• 전문 지식 간섭 최소화와 데이터 유형 및 비정상 유형에 관계없이 적용 가능한 기계학습 접근법을 개발한다.
• 신경어휘모델(LSTM, Transformer, Longformer)의 성능을 평가하여 비정상 시스템 호출 순서 탐지에 효과적인지 확인한다.
• 기존 시스템 행동에서의 이질성을 순서 가능도 추정을 통해 실시간으로 탐지할 수 있는 확장 가능한 방법론을 제공한다.

제안 방법

• 시스템 호출 순서에 대해 신경어휘모델(LSTM, Transformer, Longformer)을 훈련하여 유효한 순서에 대한 확률 분포를 학습한다.
• 체인 규칙을 통해 각 시스템 호출의 조건부 확률을 이용해 순서의 결합 가능도를 계산한다: $ P(w_1,\dots,w_N) = \prod_{i=1}^N P(w_i|w_{i-1},\dots,w_1) $.
• 훈련된 모델 하에서 낮은 가능도(높은 퍼플렉서티)를 가지는 순서를 비정상으로 탐지한다. 비정상은 알려진 행동에서 벗어나기 때문이다.
• 관측된 순서의 가능도를 극대화하기 위해 훈련 중 교차 엔트로피 손실을 사용하여, 암묵적으로 정상적인 시스템 행동을 학습한다.
• 실시간으로 새로운 순서에 모델을 적용하며, 단일 V100 GPU에서 16개 순서의 배치당 추론 시간이 100ms 이내이다.
• 전문 지식 의존도를 줄이기 위해 하이퍼파rameter 튜닝에 무작위 검색을 적용하여 자동화와 재현 가능성을 향상시킨다.

실험 결과

연구 질문

• RQ1 수동으로 특징을 추출하거나 도메인 전문 지식 기반 레이블링이 필요 없이, 신경어휘모델이 비정상 시스템 호출 순서를 효과적으로 탐지할 수 있는가?
• RQ2 LSTM, Transformer, Longformer 등의 다양한 아키텍처가 시스템 호출 트레이스에서 다양한 유형의 비정상 탐지에 얼마나 효과적인가?
• RQ3 제안된 방법이 정상적인 업데이트 및 이질적인 사건을 포함한 다양한 행동과 시스템 상태에 대해 얼마나 일반화되는가?
• RQ4 200만 건 이상의 시스템 호출 트레이스를 포함한 새로 도입된 오픈소스 데이터셋이 낮은 데이터 편향으로 고성능 비정상 탐지에 기여할 수 있는가?
• RQ5 실시간 추론 제약 조건 하에서 모델 성능는 유지되는가? 각 아키텍처의 계산적 트레이드오프는 어떠한가?

주요 결과

• 제안된 언어 모델 기반 접근법은 대부분의 비정상 유형에서 F-점수와 AuROC가 95% 이상을 기록하여 높은 탐지 성능을 입증한다.
• 놀랍게도, 국소적 의존성에 대한 인도적 편향이 있는 LSTMs가 6개 행동 유형 중 3개에서 Transformer와 Longformer를 모두 앞서는 성능을 보였다.
• 이 방법은 데이터 및 작업에 관계없이 적용 가능하다: 소프트웨어 업데이트, 새로운 사용자, 침입, 하드웨어 문제 등 모든 기존 행동에서의 이질성을 탐지할 수 있다.
• 실시간 추론이 가능하여, 단일 V100 GPU에서 16개 순서의 배치를 100ms 이내로 처리할 수 있어 생산 환경 모니터링에 적합하다.
• 일곱 가지 다른 행동을 포함한 200만 건 이상의 웹 요청을 포함한 오픈소스 데이터셋은 향후 연구를 위한 현실적이고 대규모의 기준이 된다.
• 훈련된 모델와 소스 코드는 GitHub와 Zenodo에 공개되어 있어 재현성과 비공개 데이터셋에 대한 평가를 가능하게 한다.