[논문 리뷰] Predicting Network Attacks Using Ontology-Driven Inference

Ahmad Salahi, Morteza Ansarinia|Open Repository and Bibliography (University of Luxembourg)|2013. 04. 03.

Network Security and Intrusion Detection참고 문헌 27인용 수 8

한 줄 요약

이 논문은 설명 논리(Description Logic)를 사용하여 네트워크 공격, 그 전제 조건 및 결과를 모델링함으로써 사전에 공격을 예측할 수 있도록 하는 온톨로지 기반 추론 시스템을 제안한다. CAPEC, CWE, CVE 데이터셋을 활용함으로써 침입 탐지 정확도를 향상시키고, 오진을 감소시키며, 기존의 계층적 및 관계형 모델에 비해 구조화된 공격 지식 그래프에 대한 의미론적 추론을 통해 뛰어난 성능을 발휘한다.

ABSTRACT

Graph knowledge models and ontologies are very powerful modeling and re asoning tools. We propose an effective approach to model network attacks and attack prediction which plays important roles in security management. The goals of this study are: First we model network attacks, their prerequisites and consequences using knowledge representation methods in order to provide description logic reasoning and inference over attack domain concepts. And secondly, we propose an ontology-based system which predicts potential attacks using inference and observing information which provided by sensory inputs. We generate our ontology and evaluate corresponding methods using CAPEC, CWE, and CVE hierarchical datasets. Results from experiments show significant capability improvements comparing to traditional hierarchical and relational models. Proposed method also reduces false alarms and improves intrusion detection effectiveness.

연구 동기 및 목표

• 형식적 추론을 위해 지식 표현 및 설명 논리(Description Logic)를 사용하여 네트워크 공격, 그 전제 조건 및 결과를 모델링하기.
• 감지 입력에서 유추할 수 있는 잠재적 공격을 예측할 수 있는 온톨로지 기반 시스템을 개발하기.
• 기존의 계층적 및 관계형 모델에 비해 공격 예측 정확도 향상과 오진 감소 측면에서 개선을 이루기.
• 표준화된 보안 분류 체계인 CAPEC, CWE, CVE를 사용하여 접근법을 평가하기.
• 공격 지식 그래프에 대한 의미론적 추론을 통해 침입 탐지의 효과성을 향상시키기

제안 방법

• 저자들은 CAPEC, CWE, CVE 데이터셋에서 공격 패tern, 전제 조건 및 결과를 표현하기 위해 설명 논리(Description Logic)를 사용하여 도메인 온톨로지를 구축한다.
• 네트워크 모니터링 시스템의 감지 입력 데이터를 온톨로지에 매핑하여 추론 프로세스를 유도한다.
• 설명 논리 추론 엔진을 사용하여 의미론적 추론을 수행함으로써 잠재적 공격 경로 탐지 및 향후 악용 예측을 수행한다.
• 온톨로지 내 공격 원소 간의 관계 분석을 통해 공격 예측 가능성의 정도를 평가한다.
• 실제 공격 분류 체계를 활용하여 온톨로지를 검증하고 개선함으로써 커버리지 및 표현력 확보를 도모한다.
• 다양한 소스의 보안 데이터(예: 취약성 피드, 침입 경고)를 통합된 의미론적 모델로 통합하여 추론에 활용한다.

실험 결과

연구 질문

• RQ1 형식적 지식 표현을 통해 네트워크 공격 및 그 종속성은 어떻게 효과적으로 모델링할 수 있는가?
• RQ2 기존 모델에 비해 온톨로지 기반 추론은 잠재적 네트워크 공격 예측에 얼마나 향상된 성능을 보일 수 있는가?
• RQ3 의미론적 추론은 더 나은 맥락 이해를 통해 침입 탐지 시스템의 오진을 줄일 수 있는가?
• RQ4 CAPEC, CWE, CVE 데이터셋의 통합은 통합 온톨로지 내에서 공격 예측 정확도를 어떻게 향상시키는가?
• RQ5 온톨로지 기반 시스템은 제로데이 또는 고도로 정교한 지속적 위협을 탐지하는 데서 어떤 성능 향상을 보이는가?

주요 결과

• 기존의 계층적 및 관계형 모델에 비해 온톨로지 기반 시스템은 공격 예측 능력에서 뚜렷한 향상을 보였다.
• 의미 관계 기반의 더 정밀한 맥락 추론 덕분에 오진 비율이 뚜렷이 감소하였다.
• 잠재적 공격 체인의 사전 식별을 가능하게 하여 침입 탐지의 효과성을 향상시켰다.
• CAPEC, CWE, CVE 데이터셋을 하나의 온톨로지에 통합함으로써 종합적이고 일관된 공격 모델링이 가능해졌다.
• 온톨로지 상에서의 설명 논리 추론을 통해 로그에 명시적으로 기록되지 않은 공격 경로의 자동 탐지가 가능해졌다.
• 복잡한 공격 종속성 및 전파 시나리오 모델링 측면에서 높은 확장성과 표현력을 보였다.