[论文解读] Extending Signature-based Intrusion Detection Systems WithBayesian Abductive Reasoning

Ashwinkumar Ganesan, Pooja Parameshwarappa+3 more|arXiv (Cornell University)|Mar 28, 2019

Network Security and Intrusion Detection被引用 9

一句话总结

本文提出了一种贝叶斯溯因推理框架，通过从现有规则自动生成新演化攻击规则，扩展了类似 Snort 的基于签名的入侵检测系统（IDS）。通过概率建模规则属性，该系统可预测新兴威胁中缺失或修改的条件，减少手动规则创建工作量，并提高对变体攻击的检测能力——在 MACCDC 2012 数据集上，警报数量提升了 27%，且未带来显著的误报率上升。

ABSTRACT

Evolving cybersecurity threats are a persistent challenge for systemadministrators and security experts as new malwares are continu-ally released. Attackers may look for vulnerabilities in commercialproducts or execute sophisticated reconnaissance campaigns tounderstand a targets network and gather information on securityproducts like firewalls and intrusion detection / prevention systems(network or host-based). Many new attacks tend to be modificationsof existing ones. In such a scenario, rule-based systems fail to detectthe attack, even though there are minor differences in conditions /attributes between rules to identify the new and existing attack. Todetect these differences the IDS must be able to isolate the subset ofconditions that are true and predict the likely conditions (differentfrom the original) that must be observed. In this paper, we proposeaprobabilistic abductive reasoningapproach that augments an exist-ing rule-based IDS (snort [29]) to detect these evolved attacks by (a)Predicting rule conditions that are likely to occur (based on existingrules) and (b) able to generate new snort rules when provided withseed rule (i.e. a starting rule) to reduce the burden on experts toconstantly update them. We demonstrate the effectiveness of theapproach by generating new rules from the snort 2012 rules set andtesting it on the MACCDC 2012 dataset [6].

研究动机与目标

• 解决基于签名的 IDS 在检测对已知攻击模式进行微小修改的演化型攻击时的局限性。
• 减少安全专家为每个变体手动创建新 Snort 规则的工作负担。
• 实现对新兴威胁中可能缺失或修改的规则条件的自动化预测。
• 评估溯因生成规则在检测原始签名未覆盖攻击方面的能力。
• 评估阈值参数对规则生成多样性与系统覆盖范围的影响。

提出的方法

• 在现有 Snort 规则上训练贝叶斯网络，以建模规则属性（如 dce_iface、pcre、dce_opnum）之间的概率关系。
• 使用溯因推理预测给定种子规则下可能缺失或修改的属性值。
• 通过将预测的属性值与原始规则的结构结合，生成新的 Snort 规则。
• 应用阈值参数控制每个属性的 top-k 预测值数量，从而影响规则多样性。
• 通过重放 MACCDC 2012 数据集验证生成的规则，并与原始规则对比警报数量和时间戳。
• 使用贝叶斯评分对规则变体进行排序并选择最可能的版本进行部署。

实验结果

研究问题

• RQ1 贝叶斯溯因推理能否有效预测演化型网络攻击中缺失或修改的规则条件？
• RQ2 溯因生成的规则在多大程度上可提升对原始 Snort 规则未覆盖的变体攻击的检测能力？
• RQ3 阈值参数如何影响生成规则的数量与多样性？
• RQ4 规则生成对实际网络流量中警报数量与误报率有何影响？
• RQ5 该系统能否显著减少维护和更新基于签名的 IDS 规则所需的人工投入？

主要发现

• 在 MACCDC 2012 数据集上，使用溯因生成规则检测到 421 个警报，而原始规则仅检测到 330 个，表明对变体攻击的检测能力得到提升。
• 警报数量的增加归因于检测到此前未被识别的攻击变体，而非误报，该结论通过与已知攻击模式的时间戳对齐得到验证。
• 阈值调优显著影响规则生成：较低阈值可提升规则多样性，而较高阈值则会减少或完全消除规则输出。
• 贝叶斯模型成功识别出演化攻击中可能的属性组合，例如通过溯因推断出修改后的 NetBIOS DCERPC 漏洞利用的缺失条件。
• 该方法表明 Snort 规则本身具有固有不完整性，而溯因推理可扩展规则覆盖范围，以预测未来潜在威胁。
• 该方法通过从种子规则自动生成语义上合理的新型规则，显著降低了对专家驱动规则创建的依赖。