[論文レビュー] Adversarial Machine Learning In Network Intrusion Detection Domain: A Systematic Review

Huda Ali Alatwi, C. Morisset|arXiv (Cornell University)|Dec 6, 2021

Adversarial Robustness in Machine Learning被引用数 14

ひとこと要約

本システマティックレビューは、深層学習ベースのNIDSを回避するための adversarial examples を生成する攻撃を対象として、ネットワークインシデント検出システム（NIDS）における adversarial machine learning を調査している。攻撃タイプ、防御メカニズム、耐性評価の観点から研究を分類し、実用的応用および緩和戦略における主な課題と未解決の問題を特定している。

ABSTRACT

Due to their massive success in various domains, deep learning techniques are increasingly used to design network intrusion detection solutions that detect and mitigate unknown and known attacks with high accuracy detection rates and minimal feature engineering. However, it has been found that deep learning models are vulnerable to data instances that can mislead the model to make incorrect classification decisions so-called (adversarial examples). Such vulnerability allows attackers to target NIDSs by adding small crafty perturbations to the malicious traffic to evade detection and disrupt the system's critical functionalities. The problem of deep adversarial learning has been extensively studied in the computer vision domain; however, it is still an area of open research in network security applications. Therefore, this survey explores the researches that employ different aspects of adversarial machine learning in the area of network intrusion detection in order to provide directions for potential solutions. First, the surveyed studies are categorized based on their contribution to generating adversarial examples, evaluating the robustness of ML-based NIDs towards adversarial examples, and defending these models against such attacks. Second, we highlight the characteristics identified in the surveyed research. Furthermore, we discuss the applicability of the existing generic adversarial attacks for the NIDS domain, the feasibility of launching the proposed attacks in real-world scenarios, and the limitations of the existing mitigation solutions.

研究の動機と目的

• NIDS分野における adversarial machine learning に関する最近の研究を体系的に分析すること。
• 攻撃例の生成、モデルの耐性評価、攻撃に対する防御の貢献に基づいて、研究を分類すること。
• 現在の実証的知見に基づいて、既存の adversarial 攻撃が実世界の NIDS シナリオで実現可能かどうか、および現在の防御メカニズムの限界を評価すること。
• adversarial robustness に関する今後の研究を導くために、未解決の研究的課題を特定すること。

提案手法

• 2017年から2021年までの期間にかけて、NIDS分野における adversarial machine learning に関する査読付き論文を対象としたシステマティックレビューを実施した。
• 研究を3つのカテゴリーに分類した：adversarial example の生成、耐性評価、防御メカニズム。
• FGSM、C&W、PGD、GANs、PSO などの技術を用いたブラックボックス、ホワイトボックス、グレーインパルスのエビジョン攻撃を分析した。
• adversarial training、特徴量の削除、勾配ベースの正則化などの防御戦略を評価した。
• コンピュータビジョン分野の一般的な adversarial 攻撃（例：ImageNet からの攻撃）がネットワークトラフィックデータに適用可能かどうかを検討した。
• 攻撃成功率、モデルの脆弱性、現在の緩和技術の限界に関する知見を統合分析した。

実験結果

リサーチクエスチョン

• RQ1 NIDSの文脈で、adversarial examples を生成するために主に用いられている技術は何か？
• RQ2 既存の防御メカニズムは、adversarial 攻撃から ML ベースの NIDS を保護するためにどの程度有効か？
• RQ3 コンピュータビジョン分野の一般的な adversarial 攻撃は、ネットワークトラフィックデータにどの程度適応可能か？
• RQ4 adversarial 条件下での堅牢な NIDS の展開において、主な制限要因と未解決の課題は何か？
• RQ5 現在の実証的知見に基づくと、adversarial 攻撃は実世界の NIDS デプロイメントでどの程度現実的か？

主な発見

• FGSM、C&W、PGD などの adversarial 攻撃は、NSL-KDD や CICIDS2017 といったデータセットを用いた DNN、SVM、アンサンブルモデルなど、多数の ML ベースの NIDS モデルを効果的に回避できた。
• GANベースおよび PSO ベースの手法は、ブラックボックスおよびホワイトボックス設定の両方で、検出を回避する adversarial examples の生成において高い成功率を示した。
• adversarial training は最も広く採用されている防御だが、攻撃タイプやデータセットの違いに対して一般化しにくく、効果が限定的であることが多い。
• 特徴量の削除や正規化技術は、攻撃の有効性をやや低下させるが、通常のトラフィック検出の正確性を損なう可能性がある。
• 多くの攻撃は、特に攻撃者がクエリベースのフィードバックを用いて摂動を最適化するブラックボックス設定において、実世界のシナリオで現実的である。
• 進展は見られるものの、どの防御メカニズムも普遍的に堅牢ではなく、一般化、スケーラビリティ、実世界への展開において大きなギャップが依然として存在する。