[논문 리뷰] Tracking Temporal Evolution of Network Activity for Botnet Detection

Kapil Sinha, Arun Viswanathan외 1명|arXiv (Cornell University)|2019. 08. 09.

Network Security and Intrusion Detection참고 문헌 19인용 수 12

한 줄 요약

이 논문은 네트워크 통신 구조의 시간적 변화를 그래프 기반 특징과 장기 숏텀 기억(LSTM) 네트워크를 사용해 추적하는 내용에 기반한 새로운 콘텐츠 무관(botnet) 탐지 방법을 제안한다. 호스트 간 통신 그래프의 시계열 특징을 모델링함으로써 CTU-13 데이터셋에서 96.2%의 정확도와 94.6%의 참 양성률을 달성하며, 기존의 콘텐츠 무관 방법들을 능가하고 다양한 종류의 봇넷에 대해 강력한 일반화 성능을 보여준다.

ABSTRACT

Botnets are becoming increasingly prevalent as the primary enabling technology in a variety of malicious campaigns such as email spam, click fraud, distributed denial-of-service (DDoS) attacks, and cryptocurrency mining. Botnet technology has continued to evolve rapidly making detection a very challenging problem. There is a fundamental need for robust detection methods that are insensitive to characteristics of a specific botnet and are generalizable across different botnet types. We propose a novel supervised approach to detect malicious botnet hosts by tracking a host's network activity over time using a Long Short-Term Memory (LSTM) based neural network architecture. We build a prototype to demonstrate the feasibility of our approach, evaluate it on the CTU-13 dataset, and compare our performance against existing detection methods. We show that our approach results in a more generalizable, botnet-agnostic detection methodology, is amenable to real-time implementation, and performs well compared to existing approaches, with an overall accuracy score of 96.2%.

연구 동기 및 목표

• 기존의 시그니처 기반 및 히وري스틱 기반 탐지 방법에서 벗어나 변화하는 프로토콜 및 콘텐츠 무관 봇넷을 탐지하는 데 도전하는 것.
• 암호화 또는 제어 프로토콜과 같은 특정 봇넷 특성에 영향을 받지 않는 일반화 가능하고 강력한 탐지 프레임워크를 개발하는 것.
• 네트워크 통신 패턴의 시계열 모델링을 활용해 실시간 탐지 기능을 구현하는 것.
• 호스트 간 통신 구조의 시간적 동적 특성을 포착함으로써 기존의 이상 탐지 및 그래프 기반 접근 방식보다 성능을 향상시키는 것.
• CTU-13과 같은 기준 데이터셋에서 콘텐츠 무관이고 그래프 기반의 시계열 접근 방식의 실현 가능성과 우수성을 입증하는 것.

제안 방법

• 네트워크 패킷 캡처에서 시간 잠금 통신 그래프를 구성하여 각 호스트를 노드로, 호스트 간 통신을 간선으로 표현한다.
• graph-tool 라이브러리를 사용해 각 호스트의 시간 간격당 10개의 그래프 기반 특징(도수, 군집 계수, 중심성, 고유벡터 중심성 등)을 추출한다.
• 이 특징들을 각 호스트의 시계열로 집계하여 네트워크 행동의 시간적 변화를 포착한다.
• 이 시계열 입력을 기반으로 장기 숏텀 기억(LSTM) 신경망을 훈련시켜 호스트를 악성 또는 양성으로 분류한다.
• 이 방법은 콘텐츠에 의존하지 않으며 오직 통신 구조에 의존하므로 패킷 암호화 및 프로토콜 가로막힘에 강건하다.
• 모델 훈련은 CTU-13 데이터셋의 레이블이 부여된 데이터를 사용한 지도 학습 방식이며, 명령 및 제어(C2), DDoS, P2P 봇넷 시나리오에 집중한다.

실험 결과

연구 질문

• RQ1 기존의 시그니처 기반 또는 콘텐츠 기반 방법에 비해 콘텐츠 무관이고 그래프 기반의 시계열 접근 방식이 다양한 봇넷 유형을 더 효과적으로 탐지할 수 있는가?
• RQ2 호스트 간 통신 구조의 시간적 진화를 모델링하는 것이 정적 또는 플로우 기반 방법에 비해 탐지 성능을 얼마나 향상시키는가?
• RQ3 제안된 방법이 P2P 및 C2 기반 봇넷을 포함한 다양한 봇넷 가족 간에 얼마나 잘 일반화되는가?
• RQ4 특징 추출에서 발생하는 계산적 병목 현상은 무엇이며, 모델 정확도를 훼손하지 않고 이를 완화할 수 있는가?
• RQ5 표준 기준 데이터셋에서 최신의 콘텐츠 무관 및 콘텐츠 인지 탐지 시스템과 비교해 이 접근 방식의 성능은 어떠한가?

주요 결과

• 제안된 방법은 CTU-13 시나리오 6, 7, 10, 11, 12의 병합 결과에서 총 정확도 96.2%를 달성했으며, 기존의 콘텐츠 무관 방법들을 크게 능가했다.
• 참 양성률(TPR)은 94.6%에 도달했으며, 동일한 데이터셋에서 기존 최고 수준의 TPR 0.809를 초월했지만, 약간 높은 거짓 양성률 0.037을 기록했다.
• 특이도는 96.3%로 매우 높아, 정상 호스트를 정확히 식별하는 데 강력한 성능을 보였다.
• 공통된 통신 구조적 패턴 덕분에 명령 및 제어, DDoS, 피어 투 피어 봇넷을 포함한 다양한 봇넷 유형에 대해 잘 일반화되는 것으로 나타났다.
• 주요 계산 병목 현상은 그래프 특징 추출에 기인하며, 시나리오 10의 경우 단일 코어 머신에서 7,000분이 소요되었는데, 주로 중복 간선을 포함한 다중 그래프 표현 방식 때문이었다.
• 향후 향상 방안으로 가중치 간선 집계, 병렬 처리, GPU 가속 기술이 도입될 경우 전처리 시간을 크게 줄일 수 있으며, 이는 모델 정확도에 영향을 주지 않을 것으로 기대된다.