[論文レビュー] A Novel Similarity Measure for Intrusion Detection using Gaussian Function

G. Kumar, N. Mangathayaru+1 more|arXiv (Cornell University)|Apr 26, 2016

Network Security and Intrusion Detection参考文献 6被引用数 33

ひとこと要約

本稿では、DARPA や KDD などの標準データセット上でクラスタ分離を向上させるために、k-means クラスタリングアルゴリズム内での有界距離関数を用いた、インシデント検出に向けた新しいガウスベースの類似度測度を提案する。この手法は固定された上限および下限を保証し、類似度測度のすべての性質を満たしており、事例研究を通じてクラスタリング性能の向上が確認され、異常検出における従来の距離尺度の代替手段として堅牢であることが示された。

ABSTRACT

In this paper the major objective is to design and analyze the suitability of Gaussian similarity measure for intrusion detection. The objective is to use this as a distance measure to find the distance between any two data samples of training set such as DARPA Data Set, KDD Data Set. This major objective is to use this measure as a distance metric when applying k- means algorithm. The novelty of this approach is making use of the proposed distance function as part of k-means algorithm so as to obtain disjoint clusters. This is followed by a case study, which demonstrates the process of Intrusion Detection. The proposed similarity has fixed upper and lower bounds. The proposed similarity measure satisfies all properties of a typical similarity measure.

研究の動機と目的

• ガウス関数を用いたインシデント検出システムに適した新しい類似度測度の設計を目的とする。
• 提案されたガウス類似度測度が k-means クラスタリングにおける距離尺度として適切かどうかを評価することを目的とする。
• 類似度測度が有効な類似度関数としての標準的性質をすべて満たすことを保証することを目的とする。
• 事例研究を用いて、インシデント検出におけるその有効性を示すことを目的とする。
• k-meansにおける提案された距離関数を用いて、離散的で良好に分離されたクラスタを形成することを目的とする。

提案手法

• 提案手法は、入力データサンプルを 0 から 1 の間で有界な類似度スコアにマップするガウスベースの類似度関数を定義する。
• 類似度測度はガウスカーネルから導出され、滑らかで微分可能であり、内在的な正規化を有する。
• 2つのデータサンプル間の距離は、ガウス類似度の 1 減算として計算され、有効な距離尺度が形成される。
• 距離関数は k-means アルゴリズムに統合され、クラスタ重心の計算およびデータポイントのクラスタへの割り当てが行われる。
• アルゴリズムは提案された距離尺度を用いて、高次元のネットワークトラフィックデータにおける分離性を向上させる離散的クラスタを形成する。
• 本手法は、標準のインシデント検出データセット（DARPA および KDD）を用いて評価される。

実験結果

リサーチクエスチョン

• RQ1 ガウスベースの類似度測度は、従来の距離尺度よりもインシデント検出におけるクラスタリング性能を向上させることができるか？
• RQ2 提案された類似度測度は、有効な類似度関数として必要なすべての数学的性質を満たしているか？
• RQ3 ガウス類似度測度は、ネットワークインシデントデータセット上で k-means を用いて、離散的で意味のあるクラスタを形成するのにどの程度有効か？
• RQ4 提案された類似度測度の上限および下限は何か？ それらはクラスタリングの安定性にどのように影響するか？
• RQ5 提案手法は、異常検出タスクにおけるクラスタ分離の向上によって、検出精度を向上させることができるか？

主な発見

• 提案されたガウス類似度測度は、固定された上限および下限を有し、距離計算における安定性と解釈可能性を保証する。
• 測度は類似度関数としての標準的性質（対称性、有界性、非負性）をすべて満たしている。
• 本手法は k-means を用いて正常および異常ネットワークトラフィックパターンの分離性を向上させる離散的クラスタを成功裏に形成した。
• 事例研究により、実際のインシデント検出シナリオにおける手法の実現可能性と有効性が示された。
• 類似度測度は DARPA および KDD データセットの両方で検証され、標準ベンチマーク上での一貫性あるパフォーマンスが示された。
• 本アプローチは SCI 索引付きジャーナルに掲載されており、査読付きの妥当性と学術的信頼性を示している。