[논문 리뷰] A Distributed Intrusion Detection System Using Cooperating Agents

Jaydip Sen|arXiv (Cornell University)|2011. 11. 02.

Network Security and Intrusion Detection참고 문헌 4인용 수 4

한 줄 요약

이 논문은 중앙 집중식 분석 없이 작동하는 자율적이고 협력하는 에이전트를 사용하여 완전히 분산된 침입 탐지 시스템을 제안한다. 이는 확장성, 장애 내성 및 손상에 대한 저항성을 보장한다. 에이전트는 계층적으로 관심사와 데이터를 공유하며, 침입 탐지는 최하위 수준에서 현지적으로 수행된다. 실험 결과는 개념 증명용 프로토타입에서 침입 행위를 효과적으로 탐지함을 확인한다.

ABSTRACT

The current intrusion detection systems have a number of problems that limit their configurability, scalability and efficiency. There have been some propositions about distributed architectures based on multiple independent agents working collectively for intrusion detection. However, these distributed intrusion detection systems are not fully distributed as most of them centrally analyze data collected from distributed nodes which may lead to a single point of failure. In this paper, a distributed intrusion detection architecture is presented that is based on autonomous and cooperating agents without any centralized analysis components. The agents cooperate by using a hierarchical communication of interests and data, and the analysis of intrusion data is made by the agents at the lowest level of the hierarchy. This architecture provides significant advantages in scalability, flexibility, extensibility, fault tolerance, and resistance to compromise. A proof-of-concept prototype is developed and experiments have been conducted on it. The results show the effectiveness of the system in detecting intrusive activities.

연구 동기 및 목표

• 기존 침입 탐지 시스템의 한계, 즉 낮은 확장성, 설정 가능성, 중앙 집중식 분석에 대한 의존도를 해결하기 위해.
• 중앙 집중식 데이터 분석 구성 요소를 제거하여 단일 장애 지점(점)을 제거하기 위해.
• 계층적 통신을 통해 협력하는 자율적 에이전트를 사용하여 확장성, 장애 내성, 확장 가능한 아키텍처를 설계하기 위해.
• 최하위 에이전트 수준에서 침입 데이터의 분산 분석을 가능하게 하여 시스템의 내성 및 효율성을 향상시키기 위해.
• 개념 증명용 프로토타입을 통해 완전히 분산된 모델의 실현 가능성과 효과성을 입증하기 위해.

제안 방법

• 시스템은 계층적 에이전트 아키텍처를 사용하며, 최하위 수준의 에이전트가 수집한 데이터를 사용해 현지에서 침입 탐지 기능을 수행한다.
• 에이전트는 계층적으로 자신의 관심사와 데이터를 공유하여 중앙 집중식 조율 없이도 협력적 탐지를 가능하게 한다.
• 자율적 에이전트는 독립적으로 작동하며, 사전 정의된 관심사에 기반해 관련된 탐지 정보를 공유함으로써 협력한다.
• 침입 탐지 논리는 가장자리에 위치한 에이전트에 구현되어 중앙 분석 단위에 의존하지 않는다.
• 모듈러한 에이전트 설계를 통해 동적 재구성 및 확장성을 지원하는 아키텍처이다.
• 시스템의 행동을 평가하기 위해 실제 네트워크 트래픽을 사용하여 개념 증명용 프로토타입을 구현하고 테스트했다.

실험 결과

연구 질문

• RQ1 중앙 집중식 분석 구성 요소가 없는 완전히 분산된 침입 탐지 시스템을 설계할 수 있는가?
• RQ2 자율적 에이전트가 확장성과 장애 내성을 유지하면서 효과적으로 침입을 탐지하기 위해 어떻게 협력할 수 있는가?
• RQ3 관심사와 데이터의 계층적 통신이 시스템 성능과 탐지 정확도에 미치는 영향은 무엇인가?
• RQ4 가장자리의 에이전트가 중앙 집중적 집계 없이도 효과적인 침입 탐지를 달성할 수 있는가?
• RQ5 기존 모델과 비교해 제안된 아키텍처는 손상에 저항하고 단일 장애 지점(점)을 어떻게 방지하는가?

주요 결과

• 제안된 시스템은 모든 분석 기능을 최하위 수준의 에이전트로 분산시켜 단일 장애 지점(점)을 성공적으로 제거하였다.
• 계층적 통신 모델은 협력하는 에이전트 간에 효율적이고 확장 가능한 데이터 공유를 가능하게 하였다.
• 프로토타입은 실제 테스트 환경에서 침입 행위의 효과적인 탐지를 보여주었다.
• 에이전트 한 명의 장애가 전체 탐지 과정을 손상시키지 않기 때문에 시스템은 높은 장애 내성을 보였다.
• 아키텍처는 확장성과 적응 가능성을 지원하여, 에이전트의 동적 추가 또는 제거가 가능했다.
• 시스템은 높은 설정 가능성과 내성성을 유지하며, 전통적인 중앙 집중식 모델에 비해 내구성과 확장성 면에서 뛰어난 성능을 보였다.