[論文レビュー] A review on Deep Neural Network for Computer Network Traffic Classification

Md Ariful Haque, Rajesh Palit|arXiv (Cornell University)|May 22, 2022

Network Security and Intrusion Detection被引用数 5

ひとこと要約

この論文は、DoS、R2L、U2R、および探査攻撃を含む、正常および悪意あるトラフィックに分類するための深層ニューラルネットワーク（DNN）ベースの手法をレビューする。KDD Cup '99 や USTC-TFC2016 といった標準データセットを用い、CNN、RNN、ハイブリッドモデルなどのさまざまなDNNアーキテクチャを評価し、最大99.41％の正確性を達成した。これは、DNNが既知および未知の攻撃を高精度かつ低誤検出率で検出できる有効性を示している。

ABSTRACT

Focus on Deep Neural Network based malicious and normal computer Network Traffic classification. (such as attacks, phishing, any other illegal activity and normal traffic identification). In this paper, the main idea is to review, existed Neural Network based network traffic classification. Which indicates intrusion activity classification and detection. It is very important to classify network traffic to safeguard any system, connected to computer network. There are a variety of NN architecture for it, with different rate of accuracy. On this paper we will do relative compression among them. Index Terms-Computer Network, Network traffic, Packet, Intrusion, DOS (Denial-of-service), unauthorized access, IDS (Intrusion Detection System), IPS (Intrusion Prevention Systems), R2L (Remote to Local Attack), Probing, U2R (User to Root Attack), DNN (Deep Neural Network), CRNN (Convolutional Recurrent Neural Network), RPROP (Resilient propagation).

研究の動機と目的

• 正常および悪意あるネットワークトラフィックを分類するための深層ニューラルネットワークアーキテクチャの評価と比較を行う。
• 高い正確性で既知およびゼロデイ攻撃を検出できる最も効果的なDNNモデルを同定する。
• CNN、RNN、ハイブリッドモデルなどの異なるニューラルネットワーク部品が、標準的なネットワークトラフィックデータセット上でどのように性能を発揮するかを分析する。
• RPROPなどのトレーニング技術およびデータ前処理（例：画像変換）が分類正確性に与える影響を評価する。
• 従来の署名ベースIDSの限界を強調し、DNNを用いた異常検出への移行を提唱する。

提案手法

• KDD Cup '99 や USTC-TFC2016 といった実際またはシミュレートされたネットワークトラフィックデータセットを用い、正常、DoS、R2L、U2R、および探査攻撃のラベル付きトラフィックタイプでDNNモデルをトレーニングした。
• 全結合ネットワーク（1～7層の隠れ層を含む）、畳み込みニューラルネットワーク（CNN）（例：LeNet-5）、再帰ニューラルネットワーク（RNN）、およびハイブリッドCRNNモデルといった、さまざまなDNNアーキテクチャを採用した。
• CNNベースのモデル向けに、生のパケットデータを28×28×1のグレースケール画像に変換し、[0,1]に正規化し、最大プーリングおよびソフトマックス層を適用した。
• 複数のモデルでトレーニングを高速化し収束性を向上させるために、レジリエント伝搬（RPROP）をバックプロパゲーションに使用した。
• 隠れ層にはシグモイド関数やtanh関数などの活性化関数を適用し、多クラス分類（最大20クラス）にはワンホットエンコーディングを用いた。
• 独立したデータセットを用いたテストを通じて、標準的な指標（正確性、検出率、誤検出率）でモデルを評価した。

実験結果

リサーチクエスチョン

• RQ1 異なるDNNアーキテクチャは、正常および悪意あるネットワークトラフィックの分類において、どのように比較されるか？
• RQ2 画像変換を含むデータ前処理技術が、DNNのネットワークトラフィック分類における性能に与える影響は何か？
• RQ3 DNNベースのモデルは、従来の署名ベースIDSよりも、未知またはゼロデイ攻撃をより効果的に検出できるか？
• RQ4 RPROPおよびその他の最適化手法の使用が、トレーニング速度および分類正確性に与える影響は何か？
• RQ5 標準的なネットワークトラフィックベンチマークデータセット上で、DNNモデルが達成可能な正確性の上限は何か？

主な発見

• USTC-TFC2016データセットを用い、LeNet-5アーキテクチャのCNNベースのモデルが、平均99.41％の正確性を達成した。バイナリ分類器では100％の正確性を達成した。
• 隠れ層に50ニューロンを有する全結合DNNは、KDDCUP'99データセットで平均99.9％の分類正確性を達成し、正常トラフィックでは99.8％、DoSおよび探査攻撃では100％の正確性を示した。
• 隠れ層が30ニューロンの3層バックプロパゲーションネットワークは、12日間のユーザーログデータセットで96％の検出正確性および93％の分類正確性を達成した。
• 70および12ニューロンの2隠れ層DNNにRPROPを適用した場合、Neptune攻撃の検出率は99.7181％、Satan攻撃の検出率は90.2811％に達し、誤検出率は0.0591％という低水準を維持した。
• RPROPおよびシグモイド／tanh活性化関数を用いたモデルは、標準的なバックプロパゲーションに比べて収束が速く、正確性が向上した。
• 特にCNNおよびハイブリッドCRNNアプローチが優れた性能を示し、多様化する攻撃パターンや以前にない攻撃パターンを高精度で検出する強靭性を示した。