[论文解读] Predicting the Presence of Internet Worms using Novelty Detection

Emil Marais, Tshilidzi Marwala|arXiv (Cornell University)|May 9, 2007

Network Security and Intrusion Detection参考文献 21被引用 5

一句话总结

本文提出一种基于自编码器的新型检测方法，通过分析单台路由器的路由数据来预测互联网蠕虫的存在。该方法在正常路由行为上进行训练，能够检测出由蠕虫引发的全局或局部路由不稳定现象，实现低基础设施要求下的有效早期预警。

ABSTRACT

Internet worms cause billions of dollars in damage yearly, affecting millions of users worldwide. For countermeasures to be deployed timeously, it is necessary to use an automated system to detect the spread of a worm. This paper discusses a method of determining the presence of a worm, based on routing information currently available from Internet routers. An autoencoder, which is a specialized type of neural network, was used to detect anomalies in normal routing behavior. The autoencoder was trained using information from a single router, and was able to detect both global instability caused by worms as well as localized routing instability.

研究动机与目标

• 解决对自动化、及时检测互联网蠕虫的迫切需求，以减轻广泛损害。
• 克服传统基于特征签名的蠕虫检测方法的局限性，识别新型或未知蠕虫活动。
• 利用互联网路由器中现有的路由信息，实现可扩展、低开销的蠕虫检测。
• 在无需完整网络可见性的前提下，检测由蠕虫传播引起的全局和局部路由不稳定。
• 开发一种仅使用单台路由器数据即可实时运行的系统，提升实际部署的可行性。

提出的方法

• 在单台互联网路由器收集的正常路由行为上训练自编码器——一种神经网络。
• 利用自编码器学习正常路由模式的压缩表示，并重建输入数据。
• 通过测量重建误差检测异常；重建误差较高表示与正常行为偏离。
• 应用新型检测原理，标记明显偏离学习到的正常模式的路由数据。
• 将路由度量指标（如路由表变更和更新频率）作为自编码器的输入特征。
• 将高重建误差视为潜在蠕虫活动的早期指示信号，无论其为局部还是广泛传播。

实验结果

研究问题

• RQ1 在仅使用单台路由器路由数据的情况下，自编码器能否在蠕虫广泛传播前检测到其存在？
• RQ2 新型检测方法在识别由蠕虫传播引起的全局和局部路由不稳定性方面效果如何？
• RQ3 在仅依赖单台路由器的有限数据条件下，该方法在真实环境中的表现程度如何？
• RQ4 自编码器的重建误差能否作为新型蠕虫活动的可靠早期预警信号？
• RQ5 与传统基于特征签名的检测方法相比，该方法在响应速度和可扩展性方面表现如何？

主要发现

• 自编码器成功检测到与蠕虫传播事件相对应的路由数据异常。
• 系统识别出既包括影响大规模路由的全局不稳定性，也包括影响特定网络段的局部不稳定性。
• 在蠕虫爆发期间，重建误差显著增加，作为异常行为的可靠指标。
• 该方法仅需单台路由器的数据，证明了在监控基础设施有限的真实环境中部署的可行性。
• 该方法实现了蠕虫活动的早期检测，使在广泛感染发生前采取及时应对措施成为可能。
• 结果表明，仅凭路由数据本身已包含足够信号，可实现有效的基于新型检测的蠕虫识别，而无需完整数据包检查或跨多个源的复杂关联分析。