[논문 리뷰] A consensus based network intrusion detection system

Michel Toulouse, B. Minh외 1명|arXiv (Cornell University)|2015. 05. 20.

Network Security and Intrusion Detection참고 문헌 17인용 수 5

한 줄 요약

이 논문은 각 네트워크 노드에서 나이브 베이즈 분류기를 사용하여 완전히 분산된 이상 탐지 기반의 네트워크 침입 탐지 시스템을 제안하며, 국소적 확률 추정치를 공유 기반으로 집계하여 확장성 있고 장애에 강한 탐지 기능을 제공한다. 이 시스템은 중심 집중식 정보 공유 방식에 비해 통신 오버헤드를 크게 줄이고 단일 장애 지점이 없으며, 계층적 시스템과 유사한 정확도를 달성한다.

ABSTRACT

Network intrusion detection is the process of identifying malicious behaviors that target a network and its resources. Current systems implementing intrusion detection processes observe traffic at several data collecting points in the network but analysis is often centralized or partly centralized. These systems are not scalable and suffer from the single point of failure, i.e. attackers only need to target the central node to compromise the whole system. This paper proposes an anomaly-based fully distributed network intrusion detection system where analysis is run at each data collecting point using a naive Bayes classifier. Probability values computed by each classifier are shared among nodes using an iterative average consensus protocol. The final analysis is performed redundantly and in parallel at the level of each data collecting point, thus avoiding the single point of failure issue. We run simulations focusing on DDoS attacks with several network configurations, comparing the accuracy of our fully distributed system with a hierarchical one. We also analyze communication costs and convergence speed during consensus phases.

연구 동기 및 목표

• 중앙집중식 및 계층적 네트워크 침입 탐지 시스템(NIDS)의 단일 장애 지점과 확장성 한계를 해결하기 위해.
• 중앙 기관에 의존하지 않고도 탐지 정확도를 유지하는 완전히 분산된 NIDS 아키텍처를 설계하기 위해.
• 분산 공감 기반 NIDS에서 탐지 정확도, 통신 비용, 수렴 속도 간의 상호 상충 관계를 평가하기 위해.
• 네트워크의 NIDS 모듈 간에 국소 이상 탐지 결과를 집계하는 데 평균 공감 프로토콜을 사용할 수 있는지 탐색하기 위해.

제안 방법

• 각 네트워크 노드에서 추출된 특징을 바탕으로 정상 대비 비정상 트래픽에 대한 국소 후행 확률을 계산하기 위해 나이브 베이즈 분류기를 실행한다.
• 국소 확률 추정치가 이웃 노드 간에 반복적인 평균 공감 프로토콜을 통해 공유되어 전역 추정치로 수렴한다.
• 통신 및 평균화 규칙를 정의하기 위해 가중치 행렬(로컬 차수, 최대 차수, 최적의 상수)을 사용하는 공감 프로토콜을 적용한다.
• 최종 탐지 결정은 공감 집계된 후행 확률을 사용해 각 노드에서 중복적으로 내려진다.
• 다양한 네트워크 구조(링, 토러스, 페터센, 무작위 그래프)와 공격 시나리오(DDoS) 하에서 시스템 성능을 평가하기 위해 시뮬레이션을 수행한다.
• 통신 비용은 시뮬레이션 반복당 이동 수로 측정되며, 공감 방식과 계층적, 완전히 분산된 대안과 비교한다.

실험 결과

연구 질문

• RQ1 공감 기반 집계를 사용하는 완전히 분산된 NIDS가 계층적 시스템과 유사한 탐지 정확도를 달성할 수 있는가?
• RQ2 공감 기반 접근 방식의 통신 비용은 계층적 및 완전히 분산된 대안과 비교해 어떻게 되는가?
• RQ3 다양한 가중치 행렬(로컬 차수, 최대 차수, 최적의 상수)이 공감 수렴 및 탐지 성능에 어떤 영향을 미치는가?
• RQ4 네트워크 구조(링, 토러스, 무작위, 페터센)가 공감 기반 NIDS의 정확도와 수렴 속도에 어떤 영향을 미치는가?

주요 결과

• 공감 기반 NIDS는 계층적 접근 방식과 거의 동일한 탐지 정확도를 달성하며, 계층적 시스템에 약간의 성능 우위를 보인다.
• 공감 방식의 통신 비용은 계층적 시스템보다 더 빠르게 증가하지만, 전체 노드 정보 전파가 필요한 완전히 분산된 방법보다는 크게 낮다.
• 121개 노드로 구성된 네트워크에서 공감 방식은 일반적인 완전히 분산된 방법 대비 통신 비용을 최대 80%까지 줄였다.
• 모든 테스트된 네트워크 구조에서 최적의 상수 가중치 행렬이 로컬 차수 및 최대 차수 행렬보다 수렴 속도와 정확도 안정성 측면에서 뛰어나게 성능을 발휘했다.
• 모든 테스트된 네트워크 구성에서 안정적인 후행 확률 추정치에 수렴하는 데 15~20회의 공감 반복이 소요되었으며, 이는 실시간 탐지에 실용적인 가능성을 보여준다.
• 이 시스템은 링, 토러스, 페터센, 무작위 그래프를 포함한 다양한 네트워크 구조에서 뛰어난 내구성을 보이며, 확장성과 적응 가능성의 가능성을 확인했다.