[논문 리뷰] Real-time Peer-to-Peer Botnet Detection Framework based on Bayesian Regularized Neural Network

Sharath Chandra Guntuku, Pratik Narang외 1명|arXiv (Cornell University)|2013. 07. 29.

Network Security and Intrusion Detection참고 문헌 23인용 수 18

한 줄 요약

이 논문은 실시간 네트워크 트래픽에서 이전에 본 적 없는 봇넷을 탐지하기 위해 베이지안 정규화 신경망(BRNN)을 사용하는 실시간 P2P 봇넷 탐지 프레임워크를 제안한다. 일반화 능력을 향상시키기 위해 베이지안 정규화를 활용함으로써, 이 프레임워크는 미리 학습되지 않은 봇넷 데이터셋에서 99.2%의 정확도를 달성하여, 새로운 및 변화하는 P2P 봇넷 변종을 재학습 없이 효과적으로 탐지할 수 있다.

ABSTRACT

Over the past decade, the Cyberspace has seen an increasing number of attacks coming from botnets using the Peer-to-Peer (P2P) architecture. Peer-to-Peer botnets use a decentralized Command & Control architecture. Moreover, a large number of such botnets already exist, and newer versions- which significantly differ from their parent bot- are also discovered practically every year. In this work, the authors propose and implement a novel hybrid framework for detecting P2P botnets in live network traffic by integrating Neural Networks with Bayesian Regularization. Bayesian Regularization helps in achieving better generalization of the dataset, thereby enabling the detection of botnet activity even of those bots which were never used in training the Neural Network. Hence such a framework is suitable for detection of newer and unseen botnets in live traffic of a network. This was verified by testing the Framework on test data unseen to the Detection module (using untrained botnet dataset), and the authors were successful in detecting this activity with an accuracy of 99.2 %.

연구 동기 및 목표

• 기존의 중앙집중식 C&C 탐지 방법으로는 회피되는 분산형 P2P 봇넷의 증가하는 위협을 해결하기 위해.
• 새로운 및 이전에 본 적 없는 P2P 봇넷 변종을 탐지할 수 있는 실시간 탐지 시스템을 개발하기 위해.
• 과적합을 줄이고 미지의 데이터에 대한 강건성을 향상시키기 위해 베이지안 정규화를 사용해 모델의 일반화 능력을 향상시키기 위해.
• 모든 새로운 변종에 대해 재학습이 필요 없이 변화하는 봇넷 행동을 효과적으로 탐지할 수 있도록 하기 위해.
• 실제로 학습되지 않은 봇넷 트래픽에서 높은 정확도로 프레임워크 성능을 검증하기 위해.

제안 방법

• 프레임워크는 네트워크 트래픽 패턴을 모델링하고 P2P 봇넷 활동의 징후가 되는 이질성을 탐지하기 위해 베이지안 정규화 신경망(BRNN)을 사용한다.
• 학습 중에 가중치 감쇠를 최적화하고 일반화 능력을 향상시키기 위해 베이지안 정규화가 적용되어 학습 데이터에 대한 과적합을 줄인다.
• 네트워크 트래픽에서 기능 추출을 수행하여 접속 빈도, 패킷 크기, 통신 패턴과 같은 행동 패턴을 캡처한다.
• BRNN는 알려진 P2P 봇넷 트래픽으로 학습된 후, 일반화 능력을 평가하기 위해 미리 보지 않은 봇넷 데이터셋으로 테스트된다.
• 학습된 BRNN 모델을 사용해 지속적으로 네트워크 트래픽 스트림을 분석함으로써 실시간 탐지를 구현한다.
• 강건한 탐지를 위해 통계적 트래픽 분석과 신경망 분류를 결합한 하이브리드 접근 방식을 사용한다.

실험 결과

연구 질문

• RQ1 베이지안 정규화 신경망은 실시간 네트워크 트래픽에서 P2P 봇넷을 효과적으로 탐지할 수 있는가?
• RQ2 BRNN는 학습 데이터에 존재하지 않는 이전에 본 적 없는 P2P 봇넷 변종에 얼마나 잘 일반화되는가?
• RQ3 표준 신경망과 비교해 베이지안 정규화는 탐지 정확도와 일반화 능력에 어떤 영향을 미치는가?
• RQ4 이 프레임워크는 미리 보지 않은 봇넷 트래픽에서 어떤 정확도를 보이는가?
• RQ5 새로운 봇넷 변종이 등장했을 때, 재학습 없이도 높은 성능을 유지할 수 있는가?

주요 결과

• 프레임워크는 이전에 본 적 없는 봇넷 트래픽으로 구성된 테스트 데이터에서 99.2%의 탐지 정확도를 달성하여 강력한 일반화 능력을 입증했다.
• 베이지안 정규화는 모델의 일반화 능력을 크게 향상시켜, 재학습 없이도 새로운 봇넷 행동을 탐지할 수 있도록 했다.
• BRNN 모델은 봇넷 활동의 징후가 되는 P2P 네트워크 트래픽 내 복잡한 비선형 패턴을 효과적으로 포착했다.
• 시스템은 실시간으로 P2P 봇넷 트래픽을 탐지하여, 실생활 네트워크 환경에 구현 가능한 것을 확인했다.
• 개선된 정규화와 가중치 최적화 덕분에, 표준 신경망보다 이 프레임워크가 미리 보지 않은 봇넷 변종 탐지에서 뛰어난 성능을 보였다.
• 결과적으로, 베이지안 정규화가 변화하는 분산형 봇넷 위협을 탐지하는 데 있어 강건성과 신뢰성을 향상시킨다.