NL2020552B1

NL2020552B1 - Attribute-based policies for integrity monitoring and network intrusion detection

Info

Publication number: NL2020552B1
Application number: NL2020552A
Authority: NL
Inventors: Costante Elisa
Original assignee: Forescout Tech B V
Priority date: 2018-03-08
Filing date: 2018-03-08
Publication date: 2019-09-13

Claims

CONCLUSIES

1. Werkwijze voor het detecteren van abnormaal gedrag in dataverkeer op een datacommunicatienetwerk, waarbij een eerste host en een tweede host zijn verbonden met het datacommunicatienetwerk, waarbij het dataverkeer op het datacommunicatienetwerk een link verschaft tussen de eerste host en de tweede host, waarbij de werkwijze omvat:

a) het parsen van het dataverkeer voor het extraheren van protocolveldwaarden van een protocolbericht van het dataverkeer;

b) het afleiden, uit de geëxtraheerde protocolveldwaarden, van attribuutwaarden van attributen van één van de eerste host, de tweede host, en de link;

c) het selecteren uit een set met modellen, van een model dat betrekking heeft op de ene van de eerste host, de tweede host, en de link, waarbij de geselecteerde host meerdere attributen omvat voor het beschrijven van ene van de eerste host, de tweede host, en de link, waarbij ten minste één van de attributen een semantisch attribuut is, waarbij het semantische attribuut een semantische betekenis uitdrukt voor de ene van de eerste host, de tweede host, en de link,

d) het updaten van het geselecteerde model met de afgeleide attribuutwaarden, wanneer de afgeleide attribuutwaarden niet zijn opgenomen in het geselecteerde model bij selectie;

e) het beoordelen of het ge-update, geselecteerde model voldoet aan een set attribuut gebaseerde policies, waarbij elke attribuut gebaseerde policy een veiligheidsrandvoorwaarde definieert van het datacommunicatienetwerk gebaseerd op ten minste één van de attributen van de eerste host, de tweede host of de link, en

f) het genereren van een alert signaal in het geval dat de attribuut gebaseerde policies aangeven dat het ge-update geselecteerde model ten minste één van de attributen gebaseerde policies schendt.
2. Werkwijze volgens conclusie 1, waarbij de ten minste ene semantische attribuutwaarde is afgeleid uit een combinatie van protocolveldwaarden die zijn verkregen van ten minste twee protocolberichten die over het datacommunicatienetwerk op verschillende punten in tijd zijn verzonden.
3. Werkwijze volgens conclusie 1 of 2, waarbij de set met modellen een model omvat voor de eerste host, een model voor de tweede host en een model voor de link, waarbij elke van de modellen ten minste één semantisch attribuut omvat.
4. Werkwijze volgens een van de voorgaande conclusies, waarbij de policies elk een uitkomst definiëren in het geval aan een conditie is voldaan, waarbij de conditie is gedefinieerd in termen dat een respectieve ten minste ene van de attributen een gedefinieerde attribuutwaarde heeft, waarbij de uitkomst van de attribuut gebaseerde policy aangeeft of het geselecteerde model toelaatbaar of niet toelaatbaar is.
5. Werkwijze volgens een van de voorgaande conclusies, waarbij de conditie van elke policy ten minste één semantische attribuutwaarde omvat.
6. Werkwijze volgens een van de voorgaande conclusies, waarbij b) het toepassen van regels omvat op de protocolveldwaarden, waarbij de regels attribuutwaarden toekennen aan attributen gebaseerd op de protocolveldwaarden.
7. Werkwijze volgens een van de voorgaande conclusies, waarbij b) het direct meppen van protocolvelden op attribuutwaarden omvat.
8. Werkwijze volgens een van de voorgaande conclusies, waarbij b) het toepassen omvat van een heuristic op het dataverkeer en het afleiden van de semantische attribuutwaarde gebruikmakend van de heuristic.
9. Werkwijze volgens een van de voorgaande conclusies, waarbij b) het toepassen van een classifier op het dataverkeer omvat en het afleiden van de semantische attribuutwaarde gebruikmakend van classifier.
10. Werkwijze volgens conclusie 9, verder omvattende het bepalen van een niveau van vertrouwen van de classifier en waarbij de attribuutwaarde alleen uit de classifier wordt afgeleid wanneer het niveau van vertrouwen boven een tevoren bepaald vertrouwensniveau is.
11. Werkwijze volgens een van conclusies 8-10, waarbij de attribuutwaarde die is verkregen gebruikmakend van heuristic prioriteit heeft boven de attribuutwaarde die is verkregen gebruikmakend van de classifier.
12. Werkwijze volgens een van de voorgaande conclusies, waarbij geen stimulus wordt geïnjecteerd in het datacommunicatienetwerk.
13. Werkwijze volgens een van de voorgaande conclusies, waarbij stappen b), c), d) en e) worden uitgevoerd voor de eerste host, voor de tweede host en voor de link, waarbij de set met modellen een model omvat dat gerelateerd is aan eerste host, een model dat gerelateerd is aan de tweede host, en een model dat gerelateerd is aan de link, waarbij de attribuut gebaseerde policies van de set met attribuut gebaseerde policies condities definiëren in termen van de attributen van de eerste host, de attributen van de tweede host en de attributen van de link.
14. Werkwijze volgens een van de voorgaande conclusies, waarbij de set met attribuut gebaseerde policies witte lijst policies omvat, waarbij de uitkomst van de witte lijst policies aangeeft of het geselecteerde model toelaatbaar is.
15. Werkwijze volgens een van de voorgaande conclusies, waarbij de set met attribuut gebaseerde policies zwarte lijst policies omvat, waarbij de uitkomst van de zwarte lijst policies aangeeft of het geselecteerde model niet toelaatbaar is.
16. Werkwijze volgens een van de voorgaande conclusies, verder omvattende het verschaffen van een consistentieregel, waarbij de consistentieregel consistente combinaties definieert van ten minste twee attributen van één van het model gerelateerd aan de eerste host, het model gerelateerd aan de tweede host en het model gerelateerd aan de link, omvattende • het verifiëren, op basis van de attributen die zijn afgeleid uit het gemonitorde dataverkeer, of het gemonitorde dataverkeer voldoet aan de consistentieregel, • het opslaan van de dataverkeer in een quarantaine in het geval het dataverkeer niet aan de consistentieregel voldoet.
17. Werkwijze volgens conclusie 16, waarbij het detecteren, op basis van de attributen die zijn afgeleid uit het gemonitorde dataverkeer, of het gemonitorde dataverkeer voldoet aan de consistentieregel, wordt uitgevoerd voorafgaand aan stap e).
18. Werkwijze volgens conclusie 16 of 17, waarbij de consistentieregel ten minste één omvat van een tijd van optreden van het dataverkeer en een locatie van optreden van het dataverkeer.
19. Werkwijze volgens een van conclusie 16-18 waarbij de consistentieregel die is gerelateerd aan de eerste host een attribuut van een andere host, bij voorkeur een attribuut van de tweede host, omvat.
20. Werkwijze volgens een van conclusies 16-19, waarbij een groep met hosts is gedefinieerd, waarbij de werkwijze het bepalen omvat of de host waaraan de attributen relateren is opgenomen in de groep, en het toepassen van de consistentieregel in het geval de host waaraan de attributen relateren, in de groep is opgenomen.
21. Werkwijze volgens een van conclusies 16-20, waarbij de consistentieregels worden geleerd gebruikmakend van machine-leren, bij voorkeur gebruikmakend van associatieregels.
22. Werkwijze volgens een van de voorgaande conclusies, waarbij de attribuut gebaseerde policy verder ten minste één van een tijd voor het uitvoeren van de actie, en een link via welke de actie wordt uitgevoerd, uitdrukt.
23. Werkwijze volgens een van de voorgaande conclusies, omvattende het leren van de attribuut gebaseerde policy uit het dataverkeer, waarbij het leren omvat:

• het monitoren van het dataverkeer, • het afleiden van het host-attributen en linkattributen uit het gemonitorde dataverkeer, • het transformeren van het dataverkeer in een dataset met attribuut gebaseerde transacties, • het genereren van regels door het rekening houden met een frequentie van itemsets van de host-attribuutwaarden en link-attribuutwaarden in de dataset, waarbij elk van de regels een antecedent omvat die een conditie definieert en een consequent die een actie definieert, een vertrouwen en een supportniveau, • het bepalen voor elke regel van een vertrouwen dat specificeert hoe vaak de regel waar blijkt te zijn, en een support die specificeert hoe vaak de itemset die onderliggend is aan de regel in de dataset voorkomt, • het selecteren van regels gebaseerd op een niveau van support en een niveau van vertrouwen, • het vertalen van de regels in de attribuut gebaseerde policy door • het definiëren van de attribuut gebaseerde policy-conditie door het samenvoegen van de antecedent en de consequent van de geselecteerde regels, en • het definiëren van de attribuut gebaseerde policy-actie gebaseerd op het niveau van support en/of het niveau van vertrouwen.
24. Werkwijze volgens conclusie 23, waarbij het selecteren van regels gebaseerd op het niveau van support en het niveau van vertrouwen omvat:

het selecteren, voor witte lijst policies, van regels waarvan het niveau van vertrouwen boven een tevoren bepaald positief niveau van vertrouwen is en met een niveau van support boven een tevoren bepaald niveau van support.
25. Werkwijze volgens conclusie 23 of 24, waarbij het selecteren van regels gebaseerd op het niveau van support en het niveau van vertrouwen omvat:

het selecteren, voor zwarte lijst policies, van regels waarvan het niveau van vertrouwen onder een tevoren bepaald negatief niveau van vertrouwen is en met een niveau van support boven een tevoren bepaald niveau van support.
26. Werkwijze volgens een van conclusies 23-25, waarbij het genereren van regels uit de host-attributen en de linkattributen het toepassing van associatieregels op de host-attributen en de link-attributen omvat.
27. Werkwijze volgens een van conclusies 23-26, waarbij het genereren van regels uit de host-attributen en de link-attributen het toepassen van frequente items-set-extractie op de host-attributen en de link-attributen omvat.
28. Werkwijze volgens een van conclusies 23-27, waarbij het vertalen van de regels in de attributen gebaseerde policy verder omvat:

het reduceren van het aantal policies door het verwijderen van redundante policies, waarbij een policy redundant is wanneer de conditie daarvan de gehele conditie van een andere policy omvat, in het geval van conflict waarbij twee policies dezelfde conditie delen terwijl de twee policies verschillende acties omvatten, verwijderen van de policy die minder support en vertrouwen heeft.
29. Werkwijze volgens een van de voorgaande conclusies, waarbij de set met attribuut gebaseerde policies de witte lijst policies omvat, waarbij de uitkomst van de witte lijst policies aangeven of het geselecteerde model toelaatbaar is, en waarbij, in het geval het model dat betrekking heeft op de eerste host, de tweede host of de link niet kan worden gematched met enige van de witte lijst policies, de datacommunicatie die betrekking heeft op de respectieve ene van de eerste host, de tweede host of de link wordt opgenoemd in een quarantaine.
30. Werkwijze volgens een van de voorgaande conclusies, waarbij, in het geval het netwerkbericht informatie draagt over een host of link waarvoor geen model beschikbaar is, de respectieve host voor link in een quarantaine wordt opgenoemd.
31. Werkwijze volgens conclusie 30, verder omvattende:

het afleiden van attribuutwaarden die gerelateerd zijn aan de host of link die in de quarantaine is opgenoemd.
32. Werkwijze volgens conclusie 31, verder omvattende:

het berekenen, uit de attribuutwaarden die gerelateerd zijn aan de host of link die in de quarantaine is opgenoemd, van een support voor een hypothese dat de host of link die in de quarantaine is opgenoemd legaal is, en het berekenen, uit de attribuutwaarden die gerelateerd zijn aan de host of link die in de quarantaine is genoemd, van een support voor een hypothese dat de host of link die in de quarantaine is opgenoemd kwaadaardig is.
33. Werkwijze volgens conclusie 32, waarbij het berekenen van de supports voor de hypothesen wordt herhaald wanneer de attribuutwaarden die gerelateerd zijn aan de host of link die in de quarantaine is genoemd geupdated zijn.
34. Werkwijze volgens een van conclusies 30- 33, waarbij de quarantaine omvat, voor de host en/of links die in de quarantaine zijn opgenoemd:

een identificatie van de host of link, een lijst met bekende attribuutwaarden van de host of link, een support voor een hypothese dat de host of link legaal is, een support voor een hypothese dat de host of link kwaadaardig is, een identificatie van dataverkeer dat is gebruikt voor het bepalen van de support voor de hypotheses.
35. Werkwijze volgens een van conclusies 31-34, waarbij de werkwijze verder omvat: het checken, gebruikmakend van de consistentieregels, van de attribuutwaarden van de host of link in quarantaine op consistentie.
36. Werkwijze volgens een van conclusies 31-35, waarbij de werkwijze verder omvat: het beoordelen, gebruikmakend van de attribuut gebaseerde policies, of de attribuutwaarden van de host of link in quarantaine voldoen aan de set met attribuut gebaseerde policies.
37. Werkwijze volgens een van conclusies 31-36, verder omvattende:

het afleiden van attribuut gebaseerde policies uit de host-attributen en de linkattributen van het dataverkeer dat in de quarantaine is opgeslagen.
38. Werkwijze volgens conclusie 37, waarbij een nieuwe witte lijst policy wordt afgeleid uit attribuutwaarden die zijn afgeleid uit protocolberichten die gerelateerd zijn aan de host of link in quarantaine, waarbij een frequentie van voorkomen van de protocolberichten die gerelateerd zijn aan de host of link in quarantaine, een witte lijst drempel overschrijdt.
39. Werkwijze volgens conclusie 37 of 38, waarbij het afleiden van attribuut gebaseerde policies uit de host-attributen en linkattributen van het dataverkeer dat in de quarantaine is opgeslagen omvat:

• het (her) berekenen van de support voor de hypothese dat de host of link in de quarantaine legaal of kwaadaardig is elke keer dat dataverkeer dat gerelateerd is aan de host en/of links in quarantaine wordt waargenomen, • wanneer de support voor de hypothese dat de host of link in quarantaine legaal is groter is dan een witte lijst drempel, verwijderen van de host of link uit de quarantaine en gebruiken van het dataverkeer dat gerelateerd is aan de host of link voor het extraheren van nieuwe witte lijst policies, • wanneer de support voor de hypothese dat een host/link in quarantaine kwaadaardig is groter is dan een zwarte lijst drempel, genereren van een alert en gebruik maken van het dataverkeer dat gerelateerd is aan de host of link voor het extraheren van nieuwe zwarte lijst policies, • updaten van de huidige policies gebruikmakend van de geëxtraheerde nieuwe witte lijst of zwarte lijst policies.
40. Werkwijze volgens conclusie 39, waarbij het (her)berekenen van de support voor de hypothese dat de host of link in de quarantaine legaal of kwaadaardig is omvat: het berekenen van een soortgelijkheid van de host of link in quarantaine met een andere host of link.
41. Werkwijze volgens conclusie 39 of 40, waarbij het gebruiken van het dataverkeer dat

5 gerelateerd is aan de host of link voor het extraheren van nieuwe witte lijst policies respectievelijk het gebruiken van het dataverkeer dat gerelateerd is aan de host of link voor het extraheren van nieuwe zwarte lijst policies omvat:

het leren van de witte lijst policies respectievelijk de zwarte lijst policies volgens een van conclusies 23-28.
42. Een intrusie-detectiesysteem dat ingericht is voor het uitvoeren van de werkwijze volgens een van de voorgaande conclusies.
43. Een datacommunicatienetwerk omvattende het intrusie-detectiesysteem volgens 15 conclusie 42.
44. Een inrichting omvattende het intrusie-detectiesysteem volgens conclusie 42.

Figure 1

Figure 2

network traffic _______________________________________________________________________________________________________/ message 1 message 2 message n

M odels Update

Policy Check

Figure 3

Observe

Learn ^Learn policies © & consistency rules

END whitelist policies

Identify consistency rules

N ew networkact i vit y

0 Extract host and linksattributes blacklist policies

Λ Are attributes consistent w.r.t no ” consistencyrules? ----CreateAlert— i^yes _Λ yes

Act ivity matches blacklist policies?—►Create Alert—

I no yes ’ — Are we st ill learning?

I no yes Activitymat cheswhitelist?Reason undefined (?)

Qoowe have enough evidence(in quarantine) ^noto classify t he act ivity?

yes

React & Adapt

Self learning (using quarantine)

Ishostorlink___n°.--------inquarantine? i—► alert list yes

Log (J) Analyze alerts

quarantine θυ pdate quarantine

Alert

END

END

END

Figure 4

Hosts DB

Host OS IP vendor role A windows 10.10.1.1 ? SCADA B windows 10.10.1.2 Dell Terminal C linux 10.10.2.3 Dell DNS D proprietary 172.1.41.5 Siemens PLC

Link DB

Source Target Proto Port Message type Link type A B SMB 139 read file cross-network B A SMB 139 open file cross-network A D Modbus 502 read value local A D STEP7 53 reprogram local A C DNS 60 solve name local

Figure 5

Figure 6

OS = Windows

IP = 10.10.1.1 vendor = Delta V Emerson

Host

A

role= DCS protos= {Modbus, SMB}

OS = Windows

IP = 10.10.1.2 vendor = Delta V Emerson

Host

B role = DCS protos= {Modbus, SMB}

vendor = Delta V Emerson role = PLC

OS = na

IP = 172.1.41.5

Host

C

protos= {Modbus}

Host

D

OS = na

IP= 172.1.41.6 vendor = Delta V Emerson role = PLC protos= {Modbus}

ID Consistency rule

1 if host.role c {PLC} then host.protos c {Modbus} 2 if host.role c {PLC} then host.role c {Master, RTU} 3 if host.OS == Windows then host.vendor c. {Dell}

Figure 7

Network traffic dataset

ID L.H .OS Src L.H . Src vendor L.H .. Src role L.H .OS dst L.H . dst vendor L.H .role dst L.Proto L.DstPort L.Message Type 1 windows Dell Terminal windows Dell Terminal SMB 139 read file 2 windows Dell Terminal windows Dell Terminal SMB 139 open file 3 windows Dell SCADA proprietary Siemens PLC Modbus 502 read value 4 windows Dell SCADA proprietary Siemens PLC STEP7 53 reprogram

Figure 8 network traffic

rule mining rules translation to policy —► policy reduction -► policy conflict resolution final policies set

Figure 9

Quar< intine ID Target (G) Support legit (Hyp₀) Support malicious (HypJ Evidence (E) Traffi c (M) 1 Host={id = 1,..} 0.60 0.80 0.81 1.00 0.00 0.00 0.00 0.00 New Host New Host Attribute Value (role = PLC) New Host Attribute Value (vendor= ABB) User feedback (host is legit) 2 Link={ id=3, L.H.src.id = 2 L.H.dst.id =1,..} 0.00 0.00 0.00 1.00 0.25 0.70 0.90 0.00 New Link (from host 2 (role=terminal) to host 1 (role =PLC)) New Link Attribute Value (L.MessageType = reprogram) Alert (terminal reprograms PLC) User feedback (Terminal can reprogram PLC) 3 Link= {id=2, H.src.id = 1 H.dst.id =15, ...} 0.50 0.10 New Link Attribute Value (L.MessageType=read)

Figure 10