[논문 리뷰] Mobile Network Anomaly Detection and Mitigation: The NEMESYS Approach

Omer H. Abdelrahman, Erol Gelenbe외 2명|arXiv (Cornell University)|2013. 05. 18.

Network Security and Intrusion Detection참고 문헌 29인용 수 4

한 줄 요약

이 논문은 분석 모델, 실시간 신호 및 청구 데이터, 준지도 학습을 통합하여 모바일 악성 소프트웨어 및 네트워크 공격을 탐지하고 대응하는 모델 기반 이상 탐지 및 완화 프레임워크인 NEMESYS를 제안한다. 통화 청구 기록과 네트워크 트래픽의 큐잉 모델 및 행동 프로파일링을 활용하여 SMS 스팸이나 데이터 유출과 같은 비정상적 패턴을 조기에 탐지할 수 있으며, 장치 자원 사용을 줄이고 운영자 수준의 보안 모니터링을 향상시키는 확장 가능한 네트워크 수준의 방어 수단을 제공한다.

ABSTRACT

Mobile malware and mobile network attacks are becoming a significant threat that accompanies the increasing popularity of smart phones and tablets. Thus in this paper we present our research vision that aims to develop a network-based security solution combining analytical modelling, simulation and learning, together with billing and control-plane data, to detect anomalies and attacks, and eliminate or mitigate their effects, as part of the EU FP7 NEMESYS project. These ideas are supplemented with a careful review of the state-of-the-art regarding anomaly detection techniques that mobile network operators may use to protect their infrastructure and secure users against malware.

연구 동기 및 목표

• 스마트폰과 태블릿이 사용량에서 데스크톱을 초월하고 있으며, 개방형 앱 생태계와 강력한 하드웨어로 인해 점점 더 공격의 대상이 되고 있음에 비추어, 증가하는 모바일 악성 소프트웨어 및 네트워크 공격의 위협을 해결하고자 한다.
• 광범위한 피해를 유발하기 전에 이상 현상과 공격을 사전에 탐지할 수 있는 능동적인 네트워크 기반 보안 솔루션을 개발하고자 한다. 이는 반응형 보안 조치를 넘어서는 것이다.
• 장치 수준의 보안에 의존도를 줄이고 탐지를 네트워크로 이관하여 장치 배터리 수명과 대역폭을 보존하면서도 모든 사용자에 대한 광범위한 가시성을 유지하고자 한다.
• 클라이언트 측 수정이나 업데이트가 필요 없는 기존 네트워크 인프라—특히 제어 평면 및 청구 데이터(CDRs)—를 활용하여 악성 행동을 탐지하고자 한다.
• 수학적 모델링, 시뮬레이션(OPNET를 통한), 학습 기법을 융합한 분석 기반의 확장 가능한 프레임워크를 구축하여 대규모 모바일 네트워크에서 실시간 이상 탐지 기능을 제공하고자 한다.

제안 방법

• 개별 모바일 연결을 표현하기 위해 모델 기반 프레임워크를 사용하여 통화 설정, 청구 상호작용, 민감한 데이터 접근 단계를 포함함으로써 정상 행동와 비정상 행동 간의 통일된 분석이 가능해진다.
• 큐잉 모델을 적용하여 신호 시스템의 혼잡도를 분석하고, 비정상적인 트래픽 패턴이나 공격을 나타낼 수 있는 병목 현상을 식별한다.
• 초기 탐지 및 분류를 위해 막대한 양의 실시간 신호 및 CDR 데이터를 처리하기 위한 준지도 학습 및 비지도 학습 알고리즘을 개발한다.
• 네트워크 측정치, 제어 평면 데이터, 통화 청구 기록(CDRs)을 입력으로 사용하여 비정상적인 SMS 패턴이나 비정상적인 통화 증가와 같은 행동적 이탈을 탐지한다.
• 다양한 데이터 소스를 통합한다: 트래픽 볼륨과 패턴 분석을 위한 CDRs, HTTP 헤더 이상 탐지를 위한 콘텐츠 매칭, 일시적인 악성 계정을 탐지하기 위한 행동 프로파일링.
• OPNET 시뮬레이션을 사용하여 탐지 알고리즘을 테스트하고 검증함으로써 네트워크 파라미터 조정 및 조기 위협 완화 전략을 최적화할 수 있다.

실험 결과

연구 질문

• RQ1 다양한 사용자 행동과 네트워크 상호작용을 통합적으로 분석할 수 있도록, 모바일 네트워크 연결에 대한 통합 분석 모델을 어떻게 구성할 수 있는가?
• RQ2 제어 평면 및 청구 데이터(CDRs 포함)는 SMS 스팸이나 프리미엄 레이트 사기와 같은 악성 활동을 식별하는 데 어떤 역할을 하는가?
• RQ3 준지도 학습 및 비지도 학습 기법을 실시간으로 대량의 신호 및 청구 데이터에 효과적으로 적용하여 새로운 또는 진화하는 공격을 탐지할 수 있는가?
• RQ4 네트워크 수준의 이상 탐지가 장치 수준의 보안에 비해 확장성, 배터리 효율성, 클라이언트 측 위변경에 대한 저항성 측면에서 어떻게 우월한가?
• RQ5 큐잉 모델을 어떻게 활용하여 DDoS나 사기 공격의 징후가 되는 비정상적인 신호 행동을 예측하고 탐지할 수 있는가?

주요 결과

• 통화 청구 기록(CDRs)과 행동 분석을 융합하면 SMS 스팸 및 M2M 유사 사기 패턴을 탐지할 수 있으며, 이는 스팸러와 정상 사용자, M2M 장치를 비교한 연구에서 입증되었다.
• CDRs에 퍼지 논리 및 마르코프 군집 기법을 적용하면 자동 다이얼러 앱이나 사회공학적 사기에 사용되는 악성 통신 프로파일을 정상 프로파일과 구분할 수 있다.
• HTTP 헤더 플래그 및 문법적 매칭을 통한 콘텐츠 기반 탐지는 데이터 유출 시도를 식별할 수 있지만, 종단 간 암호화가 적용될 경우 효과가 감소한다.
• 가상화된 장치 복제를 통한 클라우드 기반 탐지는 바이러스 스캐너 및 IDS와 같은 무거운 보안 도구의 사용을 가능하게 하지만, 고도의 동기화 및 에너지 비용이 수반된다.
• 제안된 모델 기반 접근 방식은 복잡한 네트워크 행동을 분석 가능한 구성 요소로 분해하고 확장 가능한 분산 처리를 가능하게 하여 알고리즘 검증 및 실시간 성능 향상을 개선한다.
• OPNET 시뮬레이션을 통해 탐지된 위협을 완화하기 위한 네트워크 파라미터 조정을 조기에 식별할 수 있으며, 이는 능동적인 네트워크 관리 지원에 기여한다.