[論文レビュー] A Novel Dimension Reduction Scheme for Intrusion Detection Systems in IoT Environments

Amir Andalib, Vahid Tabataba Vakili|arXiv (Cornell University)|Jul 12, 2020

Network Security and Intrusion Detection参考文献 11被引用数 6

ひとこと要約

本稿では、リソース制約のあるデバイスにおける軽量で低計算量の圧縮と中央サーバーでの効率的な検出を可能にする、IoT環境におけるインシデント検出のための新しい非対称なディープオートエンコーダー（AE）ベースの次元削減手法を提案する。この手法は、3つのベンチマークデータセットで最大90％のデータ圧縮（3次元の潜在空間）を達成し、検出精度の低下を最小限に抑える。

ABSTRACT

Internet of Things (IoT) brings new challenges to the security solutions of computer networks. So far, intrusion detection system (IDS) is one of the effective security tools, but the vast amount of data that is generated by heterogeneous protocols and "things" alongside the constrained resources of the hosts, make some of the present IDS schemes defeated. To grant IDSs the ability of working in the IoT environments, in this paper, we propose a new distributed dimension reduction scheme which addresses the limited resources challenge. A novel autoencoder (AE) designed, and it learns to generate a latent space. Then, the constrained hosts/probes use the generated weights to lower the dimension with a single operation. The compressed data is transferred to a central IDS server to verify the traffic type. This scheme aims to lower the needed bandwidth to transfer data by compressing it and also reduce the overhead of the compression task in the hosts. The proposed scheme is evaluated on three well-known network traffic datasets (UNSW-NB15, TON\_IoT20 and NSL-KDD), and the results show that we can have a 3-dimensional latent space (about 90\% compression) without any remarkable fall in IDS detection accuracy.

研究の動機と目的

• リソース制限のあるIoTデバイスで効果的なインシデント検出システム（IDS）を展開するための計算リソースとストレージリソースの制限に取り組むこと。
• 送信前に高容量のネットワークトラフィックデータを圧縮することで、IoT環境におけるネットワーク帯域幅の使用量を削減すること。
• 軽量なオートエンコーダーモデルを用いて、エッジデバイスでの効率的で低オーバーヘッドの次元削減を可能にすること。
• 中央集約型の高精度な意思決定エンジンを用いることで、顕著なデータ圧縮にもかかわらず高いIDS検出精度を維持すること。
• 現代のIoTおよびネットワークトラフィックを代表する多様で現実的なネットワークトラフィックデータセットを用いて、提案手法の評価を行うこと。

提案手法

• フルネットワークトラフィックデータセットを中央サーバーで学習することで、圧縮された潜在空間表現を学習するディープオートエンコーダー（AE）を訓練する。
• 訓練済みのエンコーダー重みをリソース制限のあるIoTデバイス（プローブ）にデプロイし、ワンステップでの次元削減を可能にする。
• 潜在空間を3次元にまで削減することで、約90％の圧縮比を達成し、顕著な情報損失なしに実現する。
• 圧縮されたデータを、ネットワークやUSBなどの隔離メディアを含む低帯域幅チャネルを介して中央IDSサーバーに送信する。
• サーバー側では、圧縮された特徴量に基づいてトラフィックを正常または悪意あるものに分類するため、ランダムフォレスト（RF）分類器を用いる。
• 非対称設計により、重い学習（サーバーで実施）と軽量な推論（エッジデバイスで実施）を分離し、エッジ側の計算コストを最小限に抑える。

実験結果

リサーチクエスチョン

• RQ1 ディープオートエンコーダーは、検出に必要な特徴を保持しつつ、IoT環境のネットワークトラフィックデータを効果的に圧縮できるか？
• RQ2 オートエンコーダーによる次元削減は、IoTインシデント検出システムにおける帯域幅使用量をどの程度削減できるか？
• RQ3 圧縮された潜在表現を用いた場合と生データを用いた場合とで、中央集約型IDSの検出精度はどのように異なるか？
• RQ4 圧縮効率と検出性能のバランスをとる最適な潜在空間の次元数は何か？
• RQ5 制限されたIoTデバイスに、推論専用の軽量オートエンコーダーを効率的にデプロイできるか？

主な発見

• 提案手法は3次元の潜在空間を達成し、検出精度の低下を最小限に抑えつつ約90％のデータ圧縮を実現した。
• UNSW-NB15データセットでは、3次元潜在空間への圧縮後でも高い検出性能を維持した。
• TON_IoT20データセットの結果から、多様なIoTネットワークトラフィックパターンにわたる圧縮手法のロバスト性が確認された。
• NSL-KDDデータセットの評価では一貫した性能が得られ、異なるトラフィックプロファイルへの汎用性が検証された。
• 非対称オートエンコーダー設計により、計算負荷をサーバーにオフロードでき、エッジデバイスへの低計算量デプロイが可能となった。
• 圧縮された特徴量上でランダムフォレスト分類器を用いることで、競争力ある検出精度が達成された。これは、学習された潜在表現の忠実性を裏付けた。