[论文解读] A Multi-Dimensional approach towards Intrusion Detection System

Manoj Thakur, Sugata Sanyal|arXiv (Cornell University)|May 10, 2012

Network Security and Intrusion Detection参考文献 10被引用 15

一句话总结

本文提出了一种多维入侵检测系统，通过为每个监控参数（如IP地址、端口、流量速率和CPU使用率）建模网络和系统行为的个体异常指标，再将这些指标整合为全局异常指标。该系统使用训练好的函数实时检测偏差，并通过实时流量反馈持续改进，从而随时间推移提高检测准确性。

ABSTRACT

In this paper, we suggest a multi-dimensional approach towards intrusion detection. Network and system usage parameters like source and destination IP addresses; source and destination ports; incoming and outgoing network traffic data rate and number of CPU cycles per request are divided into multiple dimensions. Rather than analyzing raw bytes of data corresponding to the values of the network parameters, a mature function is inferred during the training phase for each dimension. This mature function takes a dimension value as an input and returns a value that represents the level of abnormality in the system usage with respect to that dimension. This mature function is referred to as Individual Anomaly Indicator. Individual Anomaly Indicators recorded for each of the dimensions are then used to generate a Global Anomaly Indicator, a function with n variables (n is the number of dimensions) that provides the Global Anomaly Factor, an indicator of anomaly in the system usage based on all the dimensions considered together. The Global Anomaly Indicator inferred during the training phase is then used to detect anomaly in the network traffic during the detection phase. Network traffic data encountered during the detection phase is fed back to the system to improve the maturity of the Individual Anomaly Indicators and hence the Global Anomaly Indicator.

研究动机与目标

• 解决传统入侵检测系统依赖签名匹配或简单统计方法的局限性。
• 对多个网络和系统参数建模系统行为，以提高异常检测的灵敏度。
• 开发一种动态、自适应的框架，随观测到的流量模式演变。
• 通过跨多个维度分析而非孤立指标，减少误报。

提出的方法

• 系统将网络和系统参数（如源/目的IP、端口、流量速率和CPU周期）划分为不同的维度。
• 针对每个维度，训练一个成熟函数（个体异常指标），将输入值映射为异常得分。
• 使用具有n个变量的全局异常指标函数将这些个体异常得分组合，其中n为维度数量。
• 全局异常指标在历史数据上进行训练，以表示整体系统异常水平。
• 在检测过程中，使用训练好的全局异常指标评估实时流量，以标记潜在入侵。
• 系统通过实时流量反馈持续优化个体和全局异常指标，实现自适应学习。

实验结果

研究问题

• RQ1 如何将多个系统和网络参数组合以提高入侵检测的准确性？
• RQ2 如何最优地建模单个维度的行为以检测异常使用模式？
• RQ3 全局异常指标能否有效将多个异常得分整合为统一的检测信号？
• RQ4 系统如何利用实时流量反馈随时间自适应并提升检测能力？
• RQ5 与单指标方法相比，多维方法在多大程度上减少了误报？

主要发现

• 多维方法能够检测到复杂且低调的攻击，这些攻击可能被单指标系统忽略。
• 为每个维度使用个体异常指标可实现针对特定系统行为的细粒度异常检测。
• 全局异常指标成功地将多个异常信号聚合为一个单一且可解释的异常因子。
• 检测过程中来自实时流量的反馈可随时间提高异常指标的成熟度和准确性。
• 该系统表现出对网络行为演变的适应性，降低了对静态阈值或预定义签名的依赖。