[논문 리뷰] Extending Signature-based Intrusion Detection Systems WithBayesian Abductive Reasoning

Ashwinkumar Ganesan, Pooja Parameshwarappa외 3명|arXiv (Cornell University)|2019. 03. 28.

Network Security and Intrusion Detection인용 수 9

한 줄 요약

이 논문은 기존의 시그니처 기반 침입 탐지 시스템(Snort 등)을 확장하기 위해 베이지안 추론 기반의 추론 프레임워크를 제안한다. 이는 기존 규칙들로부터 자동으로 진화된 새로운 공격 규칙을 생성함으로써, 새로운 공격 패tern의 탐지 능력을 향상시킨다. 규칙 속성들을 확률적으로 모델링함으로써, 새로운 위협에서 누락되거나 수정된 조건을 예측함으로써 수동적인 규칙 생성을 줄이고 변형된 공격의 탐지 능력을 높인다. 이는 MACCDC 2012 데이터셋에서 27% 증가한 경고 수를 기록했으며, 유의미한 거짓 경고는 발생하지 않았다.

ABSTRACT

Evolving cybersecurity threats are a persistent challenge for systemadministrators and security experts as new malwares are continu-ally released. Attackers may look for vulnerabilities in commercialproducts or execute sophisticated reconnaissance campaigns tounderstand a targets network and gather information on securityproducts like firewalls and intrusion detection / prevention systems(network or host-based). Many new attacks tend to be modificationsof existing ones. In such a scenario, rule-based systems fail to detectthe attack, even though there are minor differences in conditions /attributes between rules to identify the new and existing attack. Todetect these differences the IDS must be able to isolate the subset ofconditions that are true and predict the likely conditions (differentfrom the original) that must be observed. In this paper, we proposeaprobabilistic abductive reasoningapproach that augments an exist-ing rule-based IDS (snort [29]) to detect these evolved attacks by (a)Predicting rule conditions that are likely to occur (based on existingrules) and (b) able to generate new snort rules when provided withseed rule (i.e. a starting rule) to reduce the burden on experts toconstantly update them. We demonstrate the effectiveness of theapproach by generating new rules from the snort 2012 rules set andtesting it on the MACCDC 2012 dataset [6].

연구 동기 및 목표

• 기존의 시그니처 기반 IDS가 약간 수정된 알려진 공격 패tern을 탐지하는 데에 한계를 가진다는 문제를 해결하기 위해.
• 각 변형 공격 패턴마다 보안 전문가가 새로운 Snort 규칙을 수작업으로 생성하는 데 드는 부담을 줄이기 위해.
• 신규로 발생하는 위협에서 누락되거나 수정된 규칙 조건을 자동으로 예측하기 위해.
• 원래의 시그니처로 커버되지 않은 공격을 탐지하는 데에 있어 추론된 규칙의 효과를 평가하기 위해.
• 임계값 매개변수의 영향을 규칙 생성의 다양성과 시스템 커버리지에 대해 평가하기 위해.

제안 방법

• 기존 Snort 규칙에 기반해 베이지안 네트워크를 학습시켜 규칙 속성 간의 확률적 관계를 모델링한다 (예: dce_iface, pcre, dce_opnum).
• 추론 기반 추론을 사용해 주어진 시드 규칙에 대해 누락되거나 수정된 속성 값의 가능성을 예측한다.
• 예측된 속성 값과 원본 규칙의 구조를 조합하여 새로운 Snort 규칙을 생성한다.
• 각 속성에 대해 상위-k 예측 값의 수를 제어하기 위해 임계값 매개변수를 적용한다. 이는 규칙 다양성에 영향을 미친다.
• MACCDC 2012 데이터셋을 재생하여 원본 규칙과 비교해 경고 수와 타임스탬프를 검증함으로써 생성된 규칙의 유효성을 검증한다.
• 베이지안 점수를 사용해 가장 가능성 있는 규칙 변형을 순위 매기고, 배포 대상으로 선별한다.

실험 결과

연구 질문

• RQ1 베이지안 추론 기반의 추론이 진화된 사이버 공격에서 누락되거나 수정된 규칙 조건을 효과적으로 예측할 수 있는가?
• RQ2 추론된 규칙은 원래 Snort 규칙으로 커버되지 않은 변형 공격의 탐지 능력을 어느 정도 향상시킬 수 있는가?
• RQ3 임계값 매개변수가 생성된 규칙의 수와 다양성에 어떤 영향을 미치는가?
• RQ4 규칙 생성 과정이 실세계 트래픽에서 경고 수와 거짓 경고율에 어떤 영향을 미치는가?
• RQ5 이 시스템은 전문가 중심의 규칙 생성에 의존하는 정도를 줄여줄 수 있는가?

주요 결과

• MACCDC 2012 데이터셋에서 원본 규칙을 사용한 경우 330건의 경고가 발생한 데 비해, 추론된 규칙을 사용한 경우 421건의 경고가 발생하여 변형 공격의 탐지 능력 향상을 확인하였다.
• 경고 수 증가의 원인은 기존에 탐지되지 않은 공격 변종의 탐지였으며, 이는 알려진 공격 패턴과 타임스탬프 일치를 통해 거짓 경고가 아님을 확인하였다.
• 임계값 조정은 규칙 생성에 큰 영향을 미쳤다: 낮은 임계값은 규칙 다양성을 증가시켰고, 높은 임계값은 규칙 출력을 감소시키거나 완전히 제거했다.
• 베이지안 모델은 누락된 조건을 추론함으로써, 예를 들어 수정된 NetBIOS DCERPC 공격 등 진화된 공격에 대해 타당한 속성 조합을 성공적으로 식별하였다.
• 이 방법은 Snort 규칙가 본질적으로 불완전하다는 점을 입증하였고, 추론 기반 접근법이 향후 위협을 예측할 수 있도록 규칙 커버리지를 확장할 수 있음을 보여주었다.
• 이 방법은 시드 규칙에서 유도된 의미적으로 타당한 새로운 규칙을 자동 생성함으로써 전문가 중심의 규칙 생성 의존도를 감소시켰다.