[논문 리뷰] IDPS: An Integrated Intrusion Handling Model for Cloud

Hassen Mohammed Alsafi, Wafaa Mustafa Abduallah외 1명|arXiv (Cornell University)|2012. 03. 15.

Network Security and Intrusion Detection참고 문헌 7인용 수 6

한 줄 요약

이 논문은 클라우드 환경을 위한 통합 침입 탐지 및 방지 시스템(IDPS)을 제안하며, 이는 이질적인 침입 탐지(AD)와 서명 기반 탐지(SD)를 통합된 프레임워크 내에서 결합하여 보안을 향상시킵니다. IDS 및 IPS 功能을 통합함으로써 다양한 사이버 공격을 실시간으로 탐지하고 자동으로 차단할 수 있으며, 클라우드 컴퓨팅의 동적이고 확장 가능한 아키텍처에 맞춤형으로 설계된 강력하고 적응 가능한 방어 메커니즘을 제공합니다.

ABSTRACT

Today, many organizations are moving their computing services towards the Cloud. This makes their computer processing available much more conveniently to users. However, it also brings new security threats and challenges about safety and reliability. In fact, Cloud Computing is an attractive and cost-saving service for buyers as it provides accessibility and reliability options for users and scalable sales for providers. In spite of being attractive, Cloud feature poses various new security threats and challenges when it comes to deploying Intrusion Detection System (IDS) in Cloud environments. Most Intrusion Detection Systems (IDSs) are designed to handle specific types of attacks. It is evident that no single technique can guarantee protection against future attacks. Hence, there is a need for an integrated scheme which can provide robust protection against a complete spectrum of threats. On the other hand, there is great need for technology that enables the network and its hosts to defend themselves with some level of intelligence in order to accurately identify and block malicious traffic and activities. In this case, it is called Intrusion prevention system (IPS). Therefore, in this paper, we emphasize on recent implementations of IDS on Cloud Computing environments in terms of security and privacy. We propose an effective and efficient model termed as the Integrated Intrusion Detection and Prevention System (IDPS) which combines both IDS and IPS in a single mechanism. Our mechanism also integrates two techniques namely, Anomaly Detection (AD) and Signature Detection (SD) that can work in cooperation to detect various numbers of attacks and stop them through the capability of IPS.

연구 동기 및 목표

• 증가하는 공격 표면과 동적 워크로드로 인한 클라우드 컴퓨팅의 보안 도전 과제를 해결합니다.
• 단일 공격 유형에 집중하거나 통합이 부족한 전통적인 IDS/IPS 시스템의 한계를 극복합니다.
• 클라우드 환경에서 다양한 사이버 위협을 탐지하고 방지할 수 있는 통합형 지능형 시스템을 개발합니다.
• 사전 위협 식별 및 자동 반응 메커니즘을 통해 클라우드 인fra구조의 보안과 프라이버시를 향상시킵니다.

제안 방법

• 포괄적인 위협 커버리지를 위해 이종 탐지(AD)와 서명 기반 탐지(SD)를 통합한 하이브리드 탐지 메커니즘을 설계합니다.
• 다양한 클라우드 노드로부터의 데이터를 연동하여 이상 행동 패턴을 식별할 수 있는 중앙집중식 탐지 엔진을 구현합니다.
• 높은 정확도와 낮은 가짜 경고 비율을 위해 서명 기반 분석을 활용해 알려진 공격 패턴을 탐지합니다.
• 기본 시스템 동작 패턴을 설정함으로써 제로데이 및 알려지지 않은 위협을 이종 기반 탐지로 식별합니다.
• 실시간으로 탐지된 위협을 자동으로 차단하거나 완화할 수 있는 침입 방지 기능을 통합합니다.
• 저지연성과 고가용성을 확보하기 위해 확장 가능한 분산 클라우드 아키텍처에 시스템을 구축합니다.

실험 결과

연구 질문

• RQ1 클라우드 환경의 다양하고 변화하는 위협에 대응하기 위해 통합된 침입 탐지 및 방지 시스템을 어떻게 설계할 수 있는가?
• RQ2 클라우드 네이티브 아키텍처에서 이종 탐지와 서명 기반 탐지를 통합할 경우 성능과 정확도 간의 상충 관계는 어떻게 나타나는가?
• RQ3 독립형 IDS 또는 IPS 솔루션에 비해 통합 IDPS 모델이 가짜 경고와 가짜 부정률을 얼마나 줄일 수 있는가?
• RQ4 확장 가능한 클라우드 인fra구조에서 제안된 모델은 알려진 공격과 제로데이 공격을 얼마나 효과적으로 탐지하는가?
• RQ5 생산용 클라우드 환경에 지능적이고 적응 가능한 IDPS를 구현하기 위한 주요 아키텍처적 고려사항은 무엇인가?

주요 결과

• 통합 IDPS 모델은 이종 탐지와 서명 기반 탐지의 장점을 조합함으로써 위협 탐지 커버리지가 크게 향상됩니다.
• AD 및 SD 출력 결과의 상관관계를 통해 시스템은 탐지 정확도가 향상되고 가짜 경고 비율이 감소합니다.
• 실시간 방지 기능을 통해 악성 트래픽을 즉각 차단함으로써 클라우드 워크로드의 잠재적 피해를 최소화할 수 있습니다.
• 수평 확장성이 지원되어 동적 자원 할당이 이루어지는 대규모 클라우드 배포에 적합합니다.
• 기존에 알려지지 않은 위협을 포함한 변화하는 공격 패턴에 적응할 수 있는 사전 대응 방어 메커니즘을 제공합니다.
• IDS 및 IPS 기능을 단일 프레임워크로 통합함으로써 독립형 시스템에 비해 운영 오버헤드가 감소하고 반응 효율성이 향상됩니다.