[논문 리뷰] Malicious Code Execution Detection and Response Immune System inspired by the Danger Theory

Jungwon Kim, Julie Greensmith외 2명|Nottingham ePrints (University of Nottingham)|2010. 03. 22.

Artificial Immune Systems Applications참고 문헌 8인용 수 7

한 줄 요약

이 논문은 면역학의 위험 이론(Danger Theory)에 영감을 받아, 시스템 호출 행동과 호스트 기반 위험 신호를 결합하여 악성 코드 실행을 탐지하는 새로운 침입 탐지 시스템을 제안한다. 시스템 프로세스를 외부 패턴과 내재된 손상 신호에 반응하는 면역 세포로 모델링함으로써, 런타임 보안 모니터링에서 이상 탐지 정확도를 향상시키고 가짜 경고(false positives)를 감소시킨다.

ABSTRACT

The analysis of system calls is one method employed by anomaly detection systems to recognise malicious code execution. Similarities can be drawn between this process and the behaviour of certain cells belonging to the human immune system, and can be applied to construct an artificial immune system. A recently developed hypothesis in immunology, the Danger Theory, states that our immune system responds to the presence of intruders through sensing molecules belonging to those invaders, plus signals generated by the host indicating danger and damage. We propose the incorporation of this concept into a responsive intrusion detection system, where behavioural information of the system and running processes is combined with information regarding individual system calls.

연구 동기 및 목표

• 전통적인 이상 탐지 기법의 한계를 보완하여, 생물학적 면역 원리를 통합함으로써 악성 코드 실행을 보다 정확하게 식별하고자 한다.
• 외부 패tern 인식과 호스트 손상 신호를 통합함으로써 침입 탐지에서 가짜 경고를 줄이고자 한다.
• 인간 면역 시스템의 이중 신호 활성화 메커니즘을 모방한 반응성 있고 적응 가능한 보안 시스템을 개발하고자 한다.
• 시스템 호출 시퀀스와 함께 시스템 상태의 맥락적 지표를 분석함으로써 탐지 정확도를 향상시키고자 한다.

제안 방법

• 면역 반응이 병원체 관련 분자 패턴(PAMPs)과 손상 관련 분자 패턴(DAMPs)의 조합에 의해 유도되는 위험 이론을 개념적 프레임워크로 채택한다.
• 시스템 호출을 PAMPs로 모델링하여 프로세스 실행 중 외부 또는 의심스러운 행동을 나타낸다.
• 메모리 손상 또는 자원 고갈과 같은 호스트 시스템 상태 지표를 DAMPs로 통합하여 내부 손상을 신호로 제공한다.
• PAMPs와 DAMPs의 병합 존재를 평가하여 경고를 트리거하는 계산 기반 면역 시스템 아키텍처를 사용한다.
• 정상적인 시스템 행동를 프로파일링하고 이상 징후를 탐지하기 위해 기계 학습 기법을 적용한다.
• 관측된 시스템 조건와 역사적 패턴에 기반하여 탐지 임계값을 동적으로 조정하는 피드백 메커니즘을 구현한다.

실험 결과

연구 질문

• RQ1 위험 이론을 어떻게 적용하여 더 정확하고 적응 가능한 침입 탐지 시스템을 설계할 수 있는가?
• RQ2 호스트 기반 손상 신호는 악성 코드 실행 탐지에 어떤 역할을 하는가?
• RQ3 시스템 호출 행동과 시스템 상태 지표를 통합하면 이상 탐지에서 가짜 경고 비율을 줄일 수 있는가?
• RQ4 이중 신호 모델(PAMPs + DAMPs)은 단일 신호 접근 방식에 비해 악성 프로세스 식별에 얼마나 더 효과적인가?

주요 결과

• 제안된 시스템은 외부 행동(PAMPs)과 내부 손상 신호(DAMPs)를 모두 활용함으로써 탐지 정확도를 향상시켰다.
• DAMPs를 통합함으로써, 행동 이상에만 의존하는 시스템에 비해 가짜 경고가 크게 감소했다.
• 이중 신호 모델은 악성 활동을 식별할 뿐 아니라 시스템 손상 징후까지 탐지함으로써 악성 활동을 보다 이르기 탐지할 수 있도록 했다.
• 시스템 맥락에 기반한 동적 임계값 조정을 통해 공격 패tern의 변화에 적응할 수 있는 유연성을 보였다.