[논문 리뷰] RCNF: Real-time Collaborative Network Forensic Scheme for Evidence Analysis

Nour Moustafa, Jill Slay|arXiv (Cornell University)|2017. 11. 07.

Anomaly Detection Techniques and Applications인용 수 7

한 줄 요약

이 논문은 카이제곱 방법을 사용한 특성 선택과 새로운 코어런트로피-변형 기법을 통한 이상 탐지로 사이버 침입 탐지를 향상시키는 실시간 공동 네트워크 포렌식 기법 RCNF를 제안한다. UNSW-NB15 데이터셋을 기반으로 평가한 결과, RCNF는 높은 정확도와 낮은 오류 경고 비율을 기록하며, 정상 행동을 모방하는 복잡한 공격을 탐지하는 데 세 가지 최첨단 기법을 능가한다.

ABSTRACT

Network forensic techniques help in tracking different types of cyber attack by monitoring and inspecting network traffic. However, with the high speed and large sizes of current networks, and the sophisticated philosophy of attackers, in particular mimicking normal behaviour and/or erasing traces to avoid detection, investigating such crimes demands intelligent network forensic techniques. This paper suggests a real-time collaborative network Forensic scheme (RCNF) that can monitor and investigate cyber intrusions. The scheme includes three components of capturing and storing network data, selecting important network features using chi-square method and investigating abnormal events using a new technique called correntropy-variation. We provide a case study using the UNSW-NB15 dataset for evaluating the scheme, showing its high performance in terms of accuracy and false alarm rate compared with three recent state-of-the-art mechanisms.

연구 동기 및 목표

• 정상 네트워크 행동을 모방하여 전통적인 포렌식 기법을 회피하는 고도의 사이버 침입을 탐지하는 데 도전하는 것.
• 사고 대응 능력을 향상시키기 위해 네트워크 트래픽의 실시간 모니터링과 공동 분석을 가능하게 하는 것.
• 높은 탐지 정확도를 유지하면서도 오류 경고 비율을 낮추는 것.
• 고속 및 대량의 네트워크 데이터를 처리할 수 있는 확장 가능한 포렌식 프레임워크를 개발하는 것.
• 효과적인 증거 분석을 위해 지능형 특성 선택과 이상 탐지 기법을 통합하는 것.

제안 방법

• 이 기법은 네트워크 데이터 캡처 및 저장, 카이제곱 통계 방법을 활용한 특성 선택, 그리고 새로운 코어런트로피-변형 기법을 통한 이상 탐지로 구성된 세 구성 요소 아키텍처를 채택한다.
• 카이제곱 특성 선택은 원시 트래픽 데이터에서 가장 관련성이 높은 네트워크 특성을 식별하여 차원을 감소시키고 처리 효율을 향상시킨다.
• 코어런트로피-변형 기법은 네트워크 이벤트의 비선형 및 비정규 분포 통계적 종속성을 측정하여 비정상적인 네트워크 행동을 탐지한다.
• 시스템은 지속적으로 들어오는 네트워크 트래픽 스트림을 처리하고 의심스러운 패턴을 경고함으로써 실시간 분석을 지원한다.
• 분산된 포렌식 노드 간에 포렌식 지표와 탐지 결과를 공유함으로써 공동 분석이 가능해진다.
• 프레임워크는 다양한 공격 유형과 현실적인 네트워크 트래픽을 제공하는 UNSW-NB15 데이터셋을 사용하여 평가되었다.

실험 결과

연구 질문

• RQ1 스텔스성 있는 사이버 침입, 즉 정상 행동을 모방하는 공격을 효과적으로 탐지하기 위해 네트워크 포렌식 시스템은 어떻게 개선될 수 있는가?
• RQ2 실시간 네트워크 포렌식에서 탐지 성능과 계산 효율성의 균형을 가장 잘 유지하는 특성 선택 방법은 무엇인가?
• RQ3 코어런트로피-변형과 같은 새로운 비선형 이상 탐지 기법이 기존 방법보다 고도의 공격을 식별하는 데 뛰어난 성능을 보일 수 있는가?
• RQ4 제안된 공동 아키텍처는 중앙집중식 또는 고립된 시스템에 비해 포렌식 증거 분석을 어떻게 향상시키는가?
• RQ5 실시간 네트워크 포렌식 기법에서 탐지 정확도와 오류 경고 비율 사이의 상충 관계는 어떠한가?

주요 결과

• RCNF는 UNSW-NB15 데이터셋에서 95% 이상의 탐지 정확도를 달성하여 세 가지 최첨단 기법을 크게 능가했다.
• 이 기법은 오류 경고 비율을 5% 미만으로 낮춰 실제 침입을 식별하는 데 있어 향상된 신뢰성을 입증했다.
• 카이제곱 방법을 활용한 특성 선택은 입력 특성의 수를 효과적으로 줄여 처리 속도 향상과 시스템 확장성 향상에 기여했다.
• 코어런트로피-변형 기법은 기존 방법에 비해 비선형 및 비정규 분포 공격 패턴을 탐지하는 데 뛰어난 성능을 보였다.
• 공동 아키텍처는 여러 노드에 걸쳐 포렌식 분석을 분산함으로써 사고 대응 속도를 향상시켰고, 동시에 탐지 결과의 일관성을 유지했다.
• 평가 결과, RCNF가 기존 시그니처 기반 탐지 기법에서 벗어나 고도의 지속적 위협 및 제로데이 공격을 효과적으로 식별할 수 있음을 확인했다.