[論文レビュー] A Case Study on Using Deep Learning for Network Intrusion Detection

Gabriel Fernández, Shouhuai Xu|arXiv (Cornell University)|Oct 5, 2019

Network Security and Intrusion Detection参考文献 41被引用数 13

ひとこと要約

本論文は、CIC IDS 2017およびISCX IDS 2012データセットを用いて、教師あり深層ニューラルネットワーク（DNN）と教師なしオートエンコーダーを用いたネットワークインシデント検出におけるディープラーニングの有効性を評価している。DNNは従来の機械学習手法を上回り、IPアドレスの最初の3オクテットのみを用いる場合でも、DHCPによる動的IP割り当てに対し頑健である一方、オートエンコーダーは0.00013の低偽陽性率で異常を効果的に検出できる。

ABSTRACT

Deep Learning has been very successful in many application domains. However, its usefulness in the context of network intrusion detection has not been systematically investigated. In this paper, we report a case study on using deep learning for both supervised network intrusion detection and unsupervised network anomaly detection. We show that Deep Neural Networks (DNNs) can outperform other machine learning based intrusion detection systems, while being robust in the presence of dynamic IP addresses. We also show that Autoencoders can be effective for network anomaly detection.

研究の動機と目的

• 教師ありおよび教師なしのネットワークインシデント検出におけるディープラーニングの有効性を評価すること。
• IPアドレスがDHCPによって動的に割り当てられる状況下でもDNNの頑健性を評価すること。
• ラベル付きの悪意あるトラフィックが存在しない状況でも、オートエンコーダーを用いた異常検出の可能性を調査すること。
• 高精度なラベル付きの最新のデータセットを用いたモデルの性能を比較すること。
• IPアドレスの特徴表現がモデルの精度および一般化性能に与える影響を検討すること。

提案手法

• CIC IDS 2017およびISCX IDS 2012データセットからのラベル付きネットワークフロー・データを用いて、完全結合型フィードフォワード深層ニューラルネットワーク（DNN）を教師あり学習で訓練した。
• DNNは隠れ層にReLU活性化関数、入力・出力層にシグモイド活性化関数を用い、最初の層にL1正則化を適用した。
• 教師なし異常検出のため、良性ネットワークフローを用いて7層のオートエンコーダーを訓練し、平均二乗再構成誤差を損失関数とした。
• 入力特徴には69個の連続的フローパラメータとワンホットエンコーディングされたプロトコルを含めたが、IPおよびポート特徴は複雑さを軽減するため除外した。
• オートエンコーダーは良性トラフィックの低次元潜在表現を学習し、入力を再構成する。再構成誤差を用いて異常を検出する。
• 再構成誤差に0.03のしきい値を設定し、フローを異常と分類することで、偽陽性と偽陰性のバランスをとった。

実験結果

リサーチクエスチョン

• RQ1 最新のデータセットにおいて、深層ニューラルネットワークは従来の機械学習手法を上回る性能を示すか？
• RQ2 IPアドレスがDHCPによって動的に割り当てられる場合、IPアドレスを入力特徴として用いるDNNベースのインシデント検出システムの性能にどのような影響を与えるか？
• RQ3 良性トラフィックのみで訓練されたオートエンコーダーは、教師なしの方法でネットワークインシデントを効果的に検出できるか？
• RQ4 DNNにおいて、完全なIPアドレスではなく最初の3オクテットのみを用いることで、検出性能が保持されるか？
• RQ5 オートエンコーダーを用いた異常検出における偽陽性率と偽陰性率のトレードオフは何か？

主な発見

• CIC IDS 2017およびISCX IDS 2012の両データセットにおいて、DNNは他の機械学習ベースのインシデント検出システムに比べ、真正陽性率と偽陰性率の点で優れている。
• 送信元および宛先IPアドレスの最初の3オクテットのみを用いることで、高い検出性能を維持しており、DHCPによる動的IPアドレス割り当てに対しても頑健であることが示された。
• CIC IDS 2017で訓練されたDNNは、最初の3オクテットのみを用いた場合、偽陰性率が0.00013にまで低下し、完全なIPアドレスを用いた場合と比較して性能劣化が最小限に抑えられた。
• 良性フローのみで訓練されたオートエンコーダーは、再構成誤差のしきい値を0.03に設定した場合、非常に低い偽陽性率0.00013（89件の偽陽性）を達成した。
• 偽陽性率は低かったが、オートエンコーダーは偽陰性率が0.7670にまで高く、多数の悪意あるフローが検出されなかった。
• 悪意あるフローの再構成誤差は、良性フローのそれよりも顕著に高かったため、オートエンコーダーが再構成誤差に基づいて異常を識別できる能力を有していることが確認された。