[논문 리뷰] Predicting the Presence of Internet Worms using Novelty Detection

Emil Marais, Tshilidzi Marwala|arXiv (Cornell University)|2007. 05. 09.

Network Security and Intrusion Detection참고 문헌 21인용 수 5

한 줄 요약

이 논문은 단일 라우터의 라우팅 데이터를 분석하여 인터넷 웜의 존재를 예측하기 위해 오토인코더를 사용하는 신규성 탐지 기법을 제안한다. 정상적인 라우팅 행동으로 훈련된 오토인코더는 전역적 또는 국소적인 웜에 의한 불안정성을 나타내는 이상치를 탐지하여, 최소한의 인프라 요구 조건으로 효과적인 조기 경고를 제공한다.

ABSTRACT

Internet worms cause billions of dollars in damage yearly, affecting millions of users worldwide. For countermeasures to be deployed timeously, it is necessary to use an automated system to detect the spread of a worm. This paper discusses a method of determining the presence of a worm, based on routing information currently available from Internet routers. An autoencoder, which is a specialized type of neural network, was used to detect anomalies in normal routing behavior. The autoencoder was trained using information from a single router, and was able to detect both global instability caused by worms as well as localized routing instability.

연구 동기 및 목표

• 광범위한 피해를 방지하기 위해 자동화되고 신속한 인터넷 웜 탐지를 위한 필수적인 필요성 해결.
• 기존의 시그니처 기반 웜 탐지의 한계를 극복하여 새로운 또는 알려지지 않은 웜 활동을 식별.
• 기존의 인터넷 라우터에서의 라우팅 정보를 활용하여 확장 가능하고 저비용 웜 탐지 구현.
• 전체 네트워크 시각화 없이도 웜 확산으로 인한 전역적 및 국소적 라우팅 불안정성 탐지.
• 단일 라우터의 데이터만을 사용하여 실시간으로 작동하는 시스템 개발으로 실제 구현 가능성 향상.

제안 방법

• 단일 인터넷 라우터에서 수집한 정상적인 라우팅 행동 데이터로 오토인코더—신경망의 일종—을 훈련.
• 오토인코더를 사용해 정상적인 라우팅 패턴의 압축된 표현을 학습하고 입력 데이터를 재구성.
• 재구성 오차를 측정하여 이상치를 탐지; 높은 오차는 정상 행동에서의 이탈을 의미.
• 신규성 탐지 원리를 적용해 학습된 정상 패턴에서 크게 벗어나는 라우팅 데이터를 경고로 표시.
• 라우팅 메트릭스, 예를 들어 라우트 테이블 변경 사항과 업데이트 빈도를 오토인코더의 입력 특성으로 사용.
• 높은 재구성 오차를 국소적 또는 광범위한 웜 활동의 조기 신호로 간주.

실험 결과

연구 질문

• RQ1 단일 라우터의 라우팅 데이터로 훈련된 오토인코더는 웜이 광범위하게 퍼지기 전에 인터넷 웜의 존재를 탐지할 수 있는가?
• RQ2 신규성 탐지 기법은 웜 확산으로 인한 전역적 및 국소적 라우팅 불안정성을 얼마나 효과적으로 식별할 수 있는가?
• RQ3 단일 라우터의 최소한의 데이터만으로도 실제 환경 조건에서 이 방법이 어느 정도 성능을 발휘하는가?
• RQ4 오토인코더의 재구성 오차가 새로운 웜 활동에 대한 신뢰할 수 있는 조기 경고 신호로 기능할 수 있는가?
• RQ5 시기성과 확장성 측면에서 기존의 시그니처 기반 탐지 방식과 비교해 이 방법은 어떻게 성과를 내는가?

주요 결과

• 오토인코더는 웜 확산 사건과 대응하는 라우팅 데이터의 이상 현상을 성공적으로 탐지했다.
• 시스템은 전역적 불안정성(대규모 라우팅 영향)과 국소적 불안정성(특정 네트워크 세그먼트 영향)을 모두 식별했다.
• 웜 유포 기간 동안 재구성 오차가 크게 증가하여 비정상적 행동의 신뢰할 수 있는 지표로 기능했다.
• 이 방법은 단일 라우터의 데이터만으로도 충분하여, 제한된 모니터링 인프라를 가진 실제 환경에서의 구현 가능성을 입증했다.
• 이 방법은 웜 활동을 조기에 탐지하여 광범위한 감염이 발생하기 전에 조치를 취할 수 있도록 했다.
• 결과적으로 라우팅 데이터만으로도 전체 패킷 검사나 다수의 소스 간 복잡한 상관 분석 없이도 효과적인 기반 기반 웜 탐지에 충분한 신호를 포함하고 있음을 시사한다.