[论文解读] Extending Signature-based Intrusion Detection Systems With Bayesian Abductive Reasoning

Ashwinkumar Ganesan, Pooja Parameshwarappa+3 more|arXiv (Cornell University)|Mar 28, 2019

Network Security and Intrusion Detection参考文献 31被引用 9

一句话总结

该论文提出了一种贝叶斯溯因推理框架，通过自动从现有规则生成新的、演化后的攻击规则，扩展了像 Snort 这类基于签名的入侵检测系统（IDS）。通过概率建模规则属性，该系统能够预测攻击模式中可能缺失或修改的条件，从而提升检测覆盖率——在 MACCDC 2012 数据集上对 NetBIOS 规则应用该方法后，警报数量从 330 增加至 421，提升了 27.6%。

ABSTRACT

Evolving cybersecurity threats are a persistent challenge for system administrators and security experts as new malwares are continually released. Attackers may look for vulnerabilities in commercial products or execute sophisticated reconnaissance campaigns to understand a target’s network and gather information on security products like firewalls and intrusion detection / prevention systems (network or host-based). Many new attacks tend to be modifications of existing ones. In such a scenario, rule-based systems fail to detect the attack, even though there are minor differences in conditions / attributes between rules to identify the new and existing attack. To detect these differences the IDS must be able to isolate the subset of conditions that are true and predict the likely conditions (different from the original) that must be observed. In this paper, we propose a probabilistic abductive reasoning approach that augments an existing rule-based IDS (snort [29]) to detect these evolved attacks by (a) Predicting rule conditions that are likely to occur (based on existing rules) and (b) able to generate new snort rules when provided with seed rule (i.e. a starting rule) to reduce the burden on experts to constantly update them. We demonstrate the effectiveness of the approach by generating new rules from the snort 2012 rules set and testing it on the MACCDC 2012 dataset.

研究动机与目标

• 解决基于签名的 IDS 在检测对已知攻击模式进行微小修改的演化攻击时的局限性。
• 通过自动从种子规则生成新的 Snort 规则，减少规则编写的手动工作量。
• 将规则不完整性建模为对属性变化的贝叶斯溯因推理。
• 评估所生成的溯因规则在真实世界数据集中检测先前未被发现的攻击变体的有效性。

提出的方法

• 在 Snort 2012 规则集中基于规则属性（如 dce_iface、pcre、dce_opnum 等）训练贝叶斯网络，以建模条件依赖关系。
• 使用溯因推理预测规则中缺失或修改的前件条件，将其视为已知攻击模式的可能变体。
• 应用基于阈值的 top-k 选择机制，生成候选规则变体，以控制规则的多样性与特异性。
• 在 MACCDC 2012 数据集上评估生成的规则，测量警报数量的增加情况以及各类规则的分类准确率。
• 使用 sid 基于的规则匹配方法，关联原始规则与溯因规则产生的警报，验证对新型攻击实例的检测能力。
• 将规则不完整性视为概率推理问题，从而实现对合理规则扩展的预测。

实验结果

研究问题

• RQ1 贝叶斯溯因推理能否有效预测现有 Snort 规则中缺失或修改的条件，以检测演化攻击？
• RQ2 阈值参数如何影响生成规则的数量与多样性？
• RQ3 与原始规则相比，溯因规则在真实网络流量中能将检测覆盖率提升多少？
• RQ4 该模型能否在不同攻击类别（如 Web-Misc、NetBIOS、Web-CGI）之间保持一致的性能表现？
• RQ5 规则生成对警报数量及潜在误报率有何影响？

主要发现

• 贝叶斯溯因模型将 NetBIOS 规则的警报数量从 330 提升至 421，检测覆盖率提升了 27.6%。
• 各类规则集（Web-Misc、NetBIOS 等）的分类准确率在 85% 至 95% 之间，表明各属性上均具有较强的预测性能。
• 阈值调优显著影响规则生成：较低阈值提升规则多样性，较高阈值则减少输出规则数量。
• 该模型成功从种子规则（如 SID: 13162）生成新规则，包括 pcre 和 dce_opnum 模式被修改的变体。
• 系统检测到了原始规则未触发的新型攻击实例，表现为新增警报（如 SID: 250016）。
• 该方法揭示了 Snort 规则集中的固有不完整性，因为许多规则被发现缺少合理的变体。