BARS: Benign-Anchored Ranking and Selection for False Alarm Reduction in Network Intrusion Detection

あなたは、巨大で賑やかな都市のセキュリティ責任者だと想像してください。毎秒、何百万もの車、歩行者、そして配送ドローンが街中を駆け抜けています。あなたの仕事は、群衆の中に隠れている悪党（泥棒、破壊活動家、またはサボタージュ工作員）を見つけ出すことです。あなたには、あらゆるものを監視するハイテクカメラシステム（侵入検知システム）があります。しかし、ここには落とし穴があります。そのシステムはあまりに敏感すぎて、配送ドローンが少しふらついたり、歩行者が腕時計を確認したりしただけで「泥棒だ！」と叫んでしまうのです。これほど大きな都市では、たとえわずかなエラー率であっても、毎日数千件もの誤報が発生することになります。セキュリティチームは疲れ果て、アラートを無視するようになり、本当の悪党が目の前を通り過ぎてしまうのです。これがサイバーセキュリティにおける「誤報（false alarm）」の問題です。つまり、システムが通常の、退屈なトラフィックを危険な攻撃と間違えてしまう現象です。

これを解決するために、科学者たちはセキュリティカメラに対し、例えば車のバンパーの色のように、犯罪者を特定するのに役立たない細部を無視するように教えようとすることがよくあります。これは「特徴量選択（feature selection）」と呼ばれます。しかし、従来の手法はほとんどの場合、あらゆる種類のトラフィックを同じように扱います。それはまるで、一方がただの善良な市民であり、もう一方が既知の犯罪者であるにもかかわらず、被告と告発者の意見を平等に重んじる裁判官のようなものです。新しい手法は、トラフィックが平均からどれだけ「逸脱」しているかに注目することでこの問題を解決しようとしましたが、微妙なミスを犯しました。それは、「全員の平均」を基準点として使用してしまったことです。もし、その都市が主に犯罪者で満たされている場合（データにおいて起こり得るシナリオです）、その平均値は変化し、システムは犯罪者を見逃すようになります。なぜなら、彼らは歪んだ平均と比較すると「普通」に見えてしまうからです。

本論文は、これらのセキュリティカメラを調整するための、よりスマートで新しい方法であるBARS（Benign-Anchored Ranking and Selection：良性アンカーによるランキングと選択）を紹介しています。BARSは、乱雑な「全員の平均」を基準にする代わりに、その判断を厳格に「善人（良性トラフィック）」に固定（アンカー）します。それは、「このトラフィックは、正常で無害な市民と比較して、どの程度犯罪者に似ているか？」という単純な問いを投げかけます。こうすることで、誤報を引き起こすノイズをフィルタリングします。研究者たちは、異なる善悪のトラフィックの混ざり方を持つ3つの異なるデジタル「都市」でこのテストを行いました。その結果、BARSはデータが攻撃で溢れている状況下において、前回の最良の手法と比較して、実際の攻撃を見逃すことなく、誤報を約15%から23%削減できることが分かりました。これは軽量で高速なツールであり、スーパーコンピューターを必要としないため、すでに大量のアラートに溺れている現実世界のセキュリティチームにとって最適です。

圧倒される警備員の物語

BARSがどのように誕生したのか、その物語を掘り下げてみましょう。コンピュータセキュリティの世界には、**ネットワーク侵入検知システム（NIDS）**と呼ばれるシステムがあります。これらはインターネットの究極の門番（バウンサー）だと考えてください。彼らはネットワークの入り口に立ち、中に入ろうとしたり外に出ようとしたりするあらゆるデータ片をチェックしています。彼らの仕事は、「侵入者（ハッカー、ウイルス、またはデータの窃盗犯）」を見つけ出すことです。

しかし、大きな問題があります。これらの門番は、しばしば過剰に反応しすぎるのです。忙しいネットワーク内では、毎日何百万もの「良性（正常で安全な）」データパケットが存在します。もし門番が、正常なパケットを不正なものと間違える確率がわずか1%でもあるとしたら、それは毎日数万件もの誤報を意味します。警備員が1日に5万回も「火事だ！」と叫ぶ場面を想像してみてください。やがて、警備員は疲れ果て、耳を貸さなくなり、本当の火災が見過ごされてしまいます。これが、本論文が取り組んでいる「誤報の危機」です。

旧来の方法 vs 新しい方法

門番が罪のない人々に対して叫び声を上げないようにするために、科学者たちは特徴量選択という技術を使用します。データパケットを、金属探知機を通る人物だと想像してください。パケットには、身長、靴のサイズ、歩く速さ、持ち物など、何百もの「特徴量」があります。従来の手法は、どの特徴量が犯罪者を特定するのに有用かを判断しようとしました。

旧来の手法の問題は、それらが「対称的」であったことです。彼らは「善人（正常なトラフィック）」と「悪党（攻撃）」を、単にゲームにおける異なる2つのチームであるかのように扱い、両者の間の違いを探そうとしました。しかし現実の世界では、「善人」こそがベースラインです。彼らは世界の正常な状態です。「悪党」は、その正常な状態からの奇妙な逸脱なのです。

CMDと呼ばれる最近の手法は、「悪党」が平均からどれだけ逸脱しているかに注目することで、この問題を修正しようと試みました。しかし、そこには欠陥がありました。それは「グローバル平均（部屋にいる全員の平均）」を基準点として使用していたことです。

• 欠陥: もし部屋が主に悪党で満たされている場合（一部のデータセットで発生します）、その「グローバル平均」は悪党に似た形へとシフトします。すると突然、悪党は平均からそれほど違わないように見えてしまうのです！ システムは彼らをフラグ立てすることをやめてしまいます。それは、もし部屋が赤いシャツを着た人々で満たされており、あなたが「赤」を新しい標準だと決めた場合のようなものです。そうなると、赤いシャツを着た犯罪者が入ってきても、あなたは気づかなくなります。

BARSの登場： 「良性のアンカー」

この論文の著者であるアブ・フアド・アフマドとイスティアケ・アーメドは、巧妙な解決策であるBARSを提案しました。

歪む可能性のある「グローバル平均」を使用する代わりに、BARSは**良性アンカー（Benign Anchor）**を使用します。それはこう言います。「基準を設定するときは、悪党のことは無視しよう。正常で安全なトラフィックのみに注目し、『これが正常な姿である』と言おう。」

BARSの仕組みは、以下の2つのシンプルなステップで行われます。

1. ステージ1：偏差のチェック
   BARSはすべての特徴量（靴のサイズや歩行速度など）を見て、「悪党の平均は、善人の平均からどれほど異なっているか？」と問いかけます。グローバルな群衆は無視します。もしある特徴量が、善人と比較して悪党を非常に異なって見せるのであれば、その特徴量は高いスコアを得ます。もしその特徴量が両者を似て見せるのであれば、低いスコアになります。これにより、システムは常に、歪んだ群衆からではなく、「正常さ」からの逸脱を測定することを保証します。

2. ステージ2：「重複排除」のチェック
   時として、2つの特徴量は実質的に同じものであることがあります。例えば、「送信されたパケット数」と「送信された総バイト数」は、共に増減することがあります。もし両方を選んでしまうと、単にノイズを倍増させているだけになります。BARSは選んだ特徴量のリストを辿り、「この新しい特徴量は、すでに選んだものと似すぎていないか？」とチェックします。もし似ている場合は、BARSはその特徴量をスキップします。これにより、特徴量のリストを多様かつ効率的なものに保ちます。

研究結果

研究者たちは、BARSがどのように機能するかを確認するために、3つの異なる「都市（データセット）」でテストを行いました。

• CICIDS2017: 正常なトラフィックが多数派である都市（実際のオフィスネットワークのようなもの）。
• CICDDoS2019: ほぼ完全に攻撃下にある都市（DDoSストームの状態）。
• UNSW-NB15: 混合しているが、攻撃側に傾いている都市。

彼らは、BARSを従来のCMD手法や他の標準的なツールと比較しました。

結果：

• 都市が攻撃を受けているとき（攻撃多数派の場合）: これは、旧来の手法が最も失敗した場面です。攻撃によって「グローバル平均」が歪んでいたため、旧来の手法は多くの悪党を見逃しました。しかし、BARSは「良性アンカー」によって、ノイズを見通すことができました。一つのデータセットでは誤報を**15.4%削減し、別のデータセットでは21〜23%**削減しながら、すべての実際の攻撃を捕捉しました。
• 都市が主に安全なとき（良性多数派の場合）: この場合、「グローバル平均」と「善人の平均」はほぼ同一でした。そのため、BARSと旧来の手法はほぼ同じ性能を示しました。これは、BARSが何かを壊しているのではなく、問題が存在する箇所を修正しているに過ぎないことを証明しています。

なぜこれが重要なのか

著者たちは、BARSがすべての問題を解決する魔法の杖ではない、という点に注意深く触れています。さらに少ない誤報を見つけ出せる、より複雑な手法も存在します。しかし、それらの手法は非常に重いです。膨大なコンピュータメモリ（いくつかのテストでは1テラバイト以上！）を必要とし、実行にも長い時間がかかります。

BARSが特別なのは、軽量で高速であることです。それは「線形時間」で動作するため、ネットワークが巨大化しても容易にスケールアップできます。また、使用するメモリも非常にわずかです。これは、標準的なハードウェア上で今すぐ使えるツールを必要としている、現実世界のセキュリティチームにとって完璧なものです。

要するに、BARSは特定の、そして重要な問題に対するスマートでシンプルな解決策です。データが乱雑で攻撃に満ちているとき、平均に騙されてはいけません。「正常とは何か」を明確に捉えておけば、悪党ははっきりと浮かび上がります。これは、時として、奇妙なものを見つけるための最善の方法は、正常なものの非常に明確なイメージを持つことである、という教訓を与えてくれます。