[论文解读] A consensus based network intrusion detection system

Michel Toulouse, B. Minh+1 more|arXiv (Cornell University)|May 20, 2015

Network Security and Intrusion Detection参考文献 17被引用 5

一句话总结

本文提出了一种完全分布式的基于异常的网络入侵检测系统，每个网络节点使用朴素贝叶斯分类器，并通过基于共识的聚合方法整合本地概率估计，从而实现可扩展、容错的检测。该系统在检测精度上与分层系统相当，同时消除了单点故障，并与完全集中式信息共享相比显著降低了通信开销。

ABSTRACT

Network intrusion detection is the process of identifying malicious behaviors that target a network and its resources. Current systems implementing intrusion detection processes observe traffic at several data collecting points in the network but analysis is often centralized or partly centralized. These systems are not scalable and suffer from the single point of failure, i.e. attackers only need to target the central node to compromise the whole system. This paper proposes an anomaly-based fully distributed network intrusion detection system where analysis is run at each data collecting point using a naive Bayes classifier. Probability values computed by each classifier are shared among nodes using an iterative average consensus protocol. The final analysis is performed redundantly and in parallel at the level of each data collecting point, thus avoiding the single point of failure issue. We run simulations focusing on DDoS attacks with several network configurations, comparing the accuracy of our fully distributed system with a hierarchical one. We also analyze communication costs and convergence speed during consensus phases.

研究动机与目标

• 解决集中式和分层式网络入侵检测系统（NIDS）存在的单点故障和可扩展性限制问题。
• 设计一种完全分布式的NIDS架构，在不依赖中心化权威机构的前提下保持检测精度。
• 评估在基于共识的分布式NIDS中，检测精度、通信成本与收敛速度之间的权衡。
• 探索使用平均共识协议在NIDS模块网络中聚合本地异常检测结果的可行性。

提出的方法

• 每个网络节点运行朴素贝叶斯分类器，基于提取的特征计算正常与异常流量的本地后验概率。
• 通过迭代式平均共识协议在相邻节点间共享本地概率估计，以收敛到全局估计值。
• 共识协议使用权重矩阵（本地度、最大度、最优常数）来定义节点之间的通信与平均规则。
• 最终的检测决策在每个节点冗余地基于共识聚合后的后验概率做出。
• 通过模拟评估系统在各种网络拓扑（环形、环面、彼得森图、随机图）和攻击场景（DDoS）下的性能。
• 通信成本以每次模拟迭代的跳数为度量，与分层和完全分布式方案进行比较。

实验结果

研究问题

• RQ1 使用基于共识聚合的完全分布式NIDS能否实现与分层系统相当的检测精度？
• RQ2 基于共识的方法的通信成本与分层和完全分布式方案相比如何？
• RQ3 不同的权重矩阵（本地度、最大度、最优常数）对共识收敛速度和检测性能有何影响？
• RQ4 网络拓扑（环形、环面、随机图、彼得森图）如何影响基于共识的NIDS的精度和收敛速度？

主要发现

• 基于共识的NIDS在检测精度上几乎与分层方法相当，仅在微小范围内略逊于分层系统。
• 基于共识的方法的通信成本增长速度快于分层系统，但显著低于需要全节点信息广播的完全分布式方法。
• 在121个节点的网络中，与典型完全分布式方法相比，基于共识的方法将通信成本降低了高达80%。
• 在所有测试的拓扑中，最优常数权重矩阵在收敛速度和精度稳定性方面始终优于本地度和最大度矩阵。
• 在所有测试的网络配置中，稳定后验估计的收敛在15至20轮共识迭代内完成，表明其在实时检测中的实际可行性。
• 该系统在多种拓扑（包括环形、环面、彼得森图和随机图）中表现出鲁棒性，证实了其可扩展性和适应性。