異なる計算機間で正常動作情報を共有する異常検知システム(セキュリティ)

概要

論文の詳細を見る
アプリケーションの正常な実行におけるシステムコール列の訓練に基づいた異常検知システムは数多く提案されてきた.しかし,それらの多くは,訓練を十分に行っていない場合において検知精度が低いという問題がある.この問題は,ある計算機において検知を行う際には,その計算機上で行った訓練によって取得した正常動作データしか検知に用いることができないことに起因する.そこで本研究では,複数の計算機間で正常動作データを共有する異常検知システムを提案する.このシステムでは,各計算機が訓練して得た正常動作データはサーバに蓄積され,複数のデータを統合したデータが各計算機に配布される.統合された正常動作データを各計算機における検知で用いることにより,検知精度の向上を図る.統合のためのアルゴリズムとしては,複数のデータを単純に合わせるものに加えて,多数決アルゴリズムと類似度アルゴリズムという2つの改良されたアルゴリズムが実装されている.改良されたアルゴリズムを用いることにより,false positiveとfalse negativeを削減することができる.提案システムをLinux上で実装し,fase positive,false negativeを測定することで,既存手法と検知精度を比較した.
2009-01-21