[论文解读] APHRODITE: an Anomaly-based Architecture for False Positive Reduction

Damiano Bolzoni, Sandro Etalle|ArXiv.org|Apr 7, 2006

Network Security and Intrusion Detection参考文献 37被引用 11

一句话总结

APHRODITE 是一种基于异常的架构，通过将输入 NIDS 的警报与系统输出流量中检测到的异常进行相关联，从而减少网络入侵检测系统中的误报。通过丢弃不会引发输出异常的警报——即使在设置极少的情况下也极为有效——该方法在标准基准测试中实现了 50–100% 的误报减少，且未引入任何漏报。

ABSTRACT

We present APHRODITE, an architecture designed to reduce false positives in network intrusion detection systems. APHRODITE works by detecting anomalies in the output traffic, and by correlating them with the alerts raised by the NIDS working on the input traffic. Benchmarks show a substantial reduction of false positives and that APHRODITE is effective also after a "quick setup", i.e. in the realistic case in which it has not been "trained" and set up optimally

研究动机与目标

• 解决网络入侵检测系统（NIDS）中高误报率这一关键问题，该问题使管理员不堪重负并降低系统有效性。
• 设计一种架构，利用输出流量异常来验证或排除输入 NIDS 触发的警报。
• 证明即使采用“快速设置”——无需大量手动数据清洗或最优阈值调优——也能实现误报减少。
• 提供一种即插即用的解决方案，兼容基于签名的和基于异常的 NIDS，提升实际部署的可行性。

提出的方法

• APHRODITE 集成了一种输出异常检测器（OAD），用于监控出站网络流量中与正常行为的偏差。
• 它将输入 NIDS 的警报与 OAD 在输出中检测到的异常进行关联，丢弃不会产生可观测输出异常的警报。
• 该系统在 OAD 中使用基于阈值的异常检测机制，通过简单启发式方法设置阈值，以实现快速部署。
• 它包含三条例外规则：(1) 若未检测到输出异常，则未处理的警报被视为真实事件；(2) 高幅度输入警报被保留；(3) 高数据包数量的警报被保留。
• 该架构设计为与输入 NIDS 类型无关，支持基于签名的系统（如 Snort）和基于异常的系统（如 POSEIDON）。
• 训练使用最小数据集 τ 包进行，避免了对大量手动数据清洗的需求。

实验结果

研究问题

• RQ1 输出流量异常能否可靠地用于区分 NIDS 警报中的真实正例与误报？
• RQ2 在训练数据极少且采用启发式阈值配置的情况下，误报减少的幅度有多大？
• RQ3 当快速部署而无需最优调优或清洗过的训练数据时，该架构是否仍具有效性？
• RQ4 OAD 是否能在无需应用特定签名或重新配置的情况下检测输出流量中的异常？
• RQ5 APHRODITE 在公共和私有数据集上与现有误报减少技术相比表现如何？

主要发现

• 当与 Snort 或 POSEIDON 结合使用时，APHRODITE 在 DARPA 1999 数据集的 7 个基准测试中的 6 个中实现了 50–100% 的误报减少。
• 该系统在所有测试场景中均保持了 100% 的真实正例检测率，未引入任何漏报。
• 即使使用未经清洗的训练数据和基于启发式的阈值设置，APHRODITE 仍实现了有效的误报减少，证明其在快速部署中的强大实用性。
• 在私有数据集上，APHRODITE 在未进行最优训练的情况下依然有效，证实其在真实环境中的鲁棒性。
• 在公共数据上，该架构在误报减少方面优于唯一其他公开基准对比的竞争对手。
• 例外处理机制（如对未处理警报或高幅度警报的处理）确保了关键警报在过滤过程中不会丢失。