[논문 리뷰] Autonomic Intrusion Response in Distributed Computing using Big Data

Kleber Vieira, Fernando Koch외 3명|arXiv (Cornell University)|2018. 01. 01.

Network Security and Intrusion Detection참고 문헌 24인용 수 1

한 줄 요약

이 논문은 분산 컴퓨팅 환경에서 사이버 위협을 탐지하고 분류하며 자율적으로 대응하기 위해 빅데이터 분석과 자율 컴퓨팅 원리를 활용하는 자율적 침입 대응 시스템을 제안한다. MapReduce 기반 병렬 처리를 갖춘 모니터링-분석-계획-실행-지식(MAP-K) 아키텍처를 통해 저지연, 확장 가능한 대응을 실현하였으며, 공용 클라우드 테스트에서 처리 시간 950초, 유틸리티 점수 0.3403을 기록하여 대응 효과성에서 뚜렷한 향상을 보였다.

ABSTRACT

We introduce a method for Intrusion Detection based on the classification, understanding and prediction of behavioural deviance and potential threats, issuing recommendations, and acting to address eminent issues. Our work seeks a practical solutions to automate the process of identification and response to Cybersecurity threats in hybrid Distributed Computing environments through the analysis of large datasets generated during operations. We are motivated by the growth in utilisation of Cloud Computing and Edge Computing as the technology for business and social solutions. The technology mix and complex operation render these environments target to attacks like hijacking, man-in-the-middle, denial of service, phishing, and others. The Autonomous Intrusion Response System implements innovative models of data analysis and context-aware recommendation systems to respond to attacks and self-healing. We introduce a proof-of-concept implementation and evaluate against datasets from experimentation scenarios based on public and private clouds. The results present significant improvement in response effectiveness and potential to scale to large environments.

연구 동기 및 목표

• 복잡하고 이질적인 분산 컴퓨팅 환경에서 침입 탐지와 자동 응답 사이의 핵심 기술 격차를 해소한다.
• 수동 간섭에 의존도를 줄이고 자가 치유 및 맥락 인식 기능을 갖춘 시스템을 개발한다.
• 하이브리드 클라우드 및 엣지 인fra에서 유입되는 대규모 감사 데이터를 실시간으로 분석할 수 있는 확장 가능한 능력을 확보한다.
• 제안된 아키텍처의 타당성과 성능을 사설 클라우드 및 공용 클라우드 환경에서 검증한다.
• 확장 가능한 지식 및 학습 기능을 통해 향후 인지 기반 침입 탐지 시스템의 기반을 마련한다.

제안 방법

• 자율 컴퓨팅 원리를 기반으로 한 모니터링-분석-계획-실행-지식(MAP-K) 아키텍처를 채택하여 자가 관리 및 자동 응답을 가능하게 한다.
• 빅데이터 분석 기법과 MapReduce를 활용해 분산 클러스터에서 대규모 시스템 로그 및 감사 데이터를 병렬 처리한다.
• 사전 정의된 공격 서명을 포함한 지식 기반을 활용해 패턴 매칭을 통한 기존 위협 탐지 수행한다.
• 비용, 효과성 및 맥락을 기반으로 최적의 응답 조치를 평가하고 선택하기 위해 기대 유틸리티 이론을 적용한다.
• 응답 효과성과 자원 비용을 균형 있게 유지하기 위해 유틸리티 함수를 사용해 조치 우선순위를 정하는 추천 엔진을 통합한다.
• 사설 클라우드 및 공용 클라우드 테스트베드에 배포된 모니터링, 계획, 실행, 지식 구성 요소를 갖춘 개념 증명 시스템을 구현한다.

실험 결과

연구 질문

• RQ1 빅데이터 분석을 활용한 자율 침입 대응 시스템은 분산 컴퓨팅 환경에서 응답 시간을 효과적으로 단축시킬 수 있는가?
• RQ2 자율 컴퓨팅 원리와 빅데이터의 통합은 탐지 및 응답 정확도와 확장성에 어떤 영향을 미치는가?
• RQ3 실제 클라우드 환경에서 시스템의 처리 시간, 응답 지연 및 조치 유틸리티 측면에서의 성능은 어떠한가?
• RQ4 이질적이고 하이브리드 클라우드 및 엣지 인프라에 걸쳐 시스템은 어느 정도 확장 가능한가?
• RQ5 자원 제약 조건 하에서 유틸리티 기반 의사결정 모델은 최적의 응답 조치를 선택하는 데 얼마나 효과적인가?

주요 결과

• 공용 클라우드 환경에서 총 처리 시간이 950초로 측정되어 실시간 위협 대응에 적합한 지연 시간을 확보하였다.
• 가장 효과적인 응답 조치는 유틸리티 점수 0.340309094를 기록하여 비용 대비 높은 효과성을 보였다.
• 공용 클라우드 환경에서는 더 높은 컴퓨팅 자원 가용성 덕분에 시스템 단계 간 시간 지연이 짧아져 확장성 우수성을 입증하였다.
• 프로토타입은 사설 클라우드 및 공용 클라우드 환경 모두에서 대규모 액세스 로그를 성공적으로 처리하여 실제 환경 적용 가능성 확인하였다.
• 시스템은 응답 효과성에서 뚜렷한 향상을 보였으며, 대규모이고 복잡한 분산 환경으로의 확장 잠재력도 높게 평가되었다.
• 이러한 접근은 수동 간섭을 효과적으로 줄이고, 빅데이터 및 자율 컴퓨팅 원리를 기반으로 한 자동화되고 맥락 인식 기반의 사이버 위협 대응을 가능하게 하였다.