[论文解读] RCNF: Real-time Collaborative Network Forensic Scheme for Evidence Analysis

Nour Moustafa, Jill Slay|arXiv (Cornell University)|Nov 7, 2017

Anomaly Detection Techniques and Applications被引用 7

一句话总结

该论文提出RCNF，一种实时协作式网络 forensics 方案，通过卡方方法进行特征选择，并采用新型核相关性-变异技术实现异常检测，从而提升网络入侵检测能力。在UNSW-NB15数据集上的评估显示，RCNF实现了高准确率和低误报率，在检测模仿正常行为的复杂攻击方面优于三种最先进方法。

ABSTRACT

Network forensic techniques help in tracking different types of cyber attack by monitoring and inspecting network traffic. However, with the high speed and large sizes of current networks, and the sophisticated philosophy of attackers, in particular mimicking normal behaviour and/or erasing traces to avoid detection, investigating such crimes demands intelligent network forensic techniques. This paper suggests a real-time collaborative network Forensic scheme (RCNF) that can monitor and investigate cyber intrusions. The scheme includes three components of capturing and storing network data, selecting important network features using chi-square method and investigating abnormal events using a new technique called correntropy-variation. We provide a case study using the UNSW-NB15 dataset for evaluating the scheme, showing its high performance in terms of accuracy and false alarm rate compared with three recent state-of-the-art mechanisms.

研究动机与目标

• 解决检测那些模仿正常网络行为并逃避传统 forensics 技术的高级网络入侵的挑战。
• 实现实时监控与网络流量的协作分析，以提升事件响应能力。
• 在保持高检测准确率的同时，降低误报率。
• 开发可扩展的 forensics 框架，能够处理高速、大规模的网络数据。
• 集成智能特征选择与异常检测，以实现有效的证据分析。

提出的方法

• 该方案采用三组件架构：网络数据捕获与存储、基于卡方统计方法的特征选择，以及通过新型核相关性-变异技术实现的异常检测。
• 卡方特征选择从原始流量数据中识别出最相关的网络特征，降低维度并提高处理效率。
• 核相关性-变异技术通过测量网络事件中的非线性与非高斯统计依赖性来检测异常网络行为。
• 系统通过持续处理传入的网络流量流实现实时分析，并标记可疑模式。
• 通过在分布式 forensics 节点之间共享 forensics 指示器与检测结果，实现协作分析。
• 该框架使用UNSW-NB15数据集进行评估，该数据集提供了多样化的攻击类型与真实的网络流量。

实验结果

研究问题

• RQ1 网络 forensics 系统如何提升对模仿正常行为的隐蔽网络入侵的检测准确率？
• RQ2 在实时网络 forensics 中，哪种特征选择方法能在检测性能与计算效率之间达到最佳平衡？
• RQ3 像核相关性-变异这样的新型非线性异常检测技术，是否能优于传统方法，以识别复杂攻击？
• RQ4 与集中式或孤立系统相比，所提出的协作式架构如何提升 forensics 证据分析能力？
• RQ5 在实时网络 forensics 方案中，检测准确率与误报率之间的权衡关系如何？

主要发现

• RCNF在UNSW-NB15数据集上的检测准确率超过95%，显著优于三种最先进方法。
• 该方案将误报率降低至5%以下，显示出在识别真实入侵方面更高的可靠性。
• 采用卡方方法进行特征选择有效减少了输入特征数量，提升了处理速度与系统可扩展性。
• 核相关性-变异技术在检测非线性与非高斯攻击模式方面，相比传统方法表现出更优性能。
• 协作式架构通过在多个节点间分发 forensics 分析，实现了更快的事件响应，同时保持了检测结果的一致性。
• 评估结果证实，RCNF在识别传统基于签名的检测手段难以发现的高级持续性威胁与零日攻击方面具有有效性。