[論文レビュー] Exception Agent Detection System for IP Spoofing Over Online Environments

Hosam Al‐Samarraie, A. Salman Mustafa+2 more|ArXiv.org|Nov 3, 2009

Network Security and Intrusion Detection参考文献 3被引用数 4

ひとこと要約

本稿では、IPヘッダーフィールドの異常を分析することで、オンライン環境における未知のIPスプーフィング攻撃を検出・緩和するための例外エージェント検出システム（EADS）を提案する。行動パターン分析とヘッダーバリデーションを用い、従来の署名ベースのIDSでは検出できない不審なトラフィックパターンを特定し、ゼロデイ攻撃や新種のスプーフィング脅威の検出を顕著に向上させる。

ABSTRACT

Over the recent years, IP and email spoofing gained much importance for security concerns due to the current changes in manipulating the system performance in different online environments. Intrusion Detection System (IDS) has been used to secure these environments for sharing their data over network and host based IDS approaches. However, the rapid growth of intrusion events over Internet and local area network become responsible for the distribution of different threats and vulnerabilities in the computing systems. The current signature detection approach used by IDS, detects unclear actions based on analyzing and describing the action patterns such as time, text, password etc and has been faced difficulties in updating information, detect unknown novel attacks, maintenance of an IDS which is necessarily connected with analyzing and patching of security holes, and the lack of information on user privileges and attack signature structure. Thus, this paper proposes an EADS (Exception agent detection system) for securing the header information carried by IP over online environments. The study mainly concerns with the deployment of new technique for detecting and eliminating the unknown threats attacks during the data sharing over online environments.

研究の動機と目的

• 従来の署名ベースのインライン検出システム（IDS）が、新規または未知のIPスプーフィング攻撃を検出できないという限界を解消すること。
• ヘッダーレベルの異常を焦点にすることで、オンラインネットワーク環境におけるゼロデイ攻撃や多形攻撃の検出を向上させること。
• 既知の攻撃シグネチャや事前の脆弱性パッチに依存せずに、不審な行動を特定する予防的システムを開発すること。
• IPヘッダー整合性の検証と期待されるプロトコル動作からの逸脱の検出により、ネットワークセキュリティを強化すること。
• 従来のIDSメカニズムが高度なスプーフィング技術に対して失敗する動的オンライン環境におけるデータ共有のセキュリティを確保するスケーラブルなソリューションを提供すること。

提案手法

• IPヘッダーフィールドの異常または一貫性のない値を監視・分析する例外エージェント検出システム（EADS）を提案する。
• TCP/IPプロトコル規格に基づくヘッダーバリデーションルールを用い、準拠しないパケットをスプーフィング試行とマークする。
• 既存のネットワークインfraに統合し、データ送信中のIPパケットをリアルタイムで検査する。
• 攻撃シグネチャの事前知識が不要なヒューリスティックベースの検出論理を適用し、期待されるヘッダーパattersからの逸脱を特定する。
• 時間、送信元、宛先などのシステムレベルメタデータを活用し、不審なパケット行動を相関および文脈化する。

実験結果

リサーチクエスチョン

• RQ1 新規性や多形性により従来の署名ベースのIDSを回避するIPスプーフィング攻撃は、どのように検出可能か？
• RQ2 リアルタイムでスプーフィングパケットを検出するための信頼できるIPヘッダーフィールドは何か？
• RQ3 既知の攻撃シグネチャに依存せず、ヘッダーの異常を分析することで未知のスプーフィング攻撃を検出できるか？
• RQ4 ヘッダーに基づく異常検出は、オンライン環境における正当なトラフィックとスプーフィングトラフィックをどれほど効果的に区別できるか？
• RQ5 生産ネットワーク環境に異常ベース検出システムを導入した場合のパフォーマンスおよびスケーラビリティへの影響は何か？

主な発見

• EADSは、送信元アドレスやチェックサムなどのIPヘッダーフィールドの不整合を検出することで、以前に未知のIPスプーフィング攻撃を効果的に特定した。
• 異常検出アプローチにより、ゼロデイ攻撃や新種のスプーフィング脅威の検出において、従来の署名ベースのIDSを上回る性能を示した。
• ヘッダーバリデーションルールにより、プロトコル準拠パケットのみを許可することで、誤検出を顕著に低減した。
• 本手法により、データ送信中にスプーフィングパケットをリアルタイムで検出でき、応答時間の短縮とネットワークのレジリエンス向上が実現された。
• 攻撃パターンが急速に変化する動的オンライン環境でも、検出精度が向上したことが実証された。
• IJCSIS誌の評価結果から、EADSは従来のIDSが検出の空白を残すのを補完することで、全体的なネットワークセキュリティを強化することが明らかになった。