[論文レビュー] AI-based Two-Stage Intrusion Detection for Software Defined IoT Networks

Jiaqi Li, Zhifeng Zhao+2 more|arXiv (Cornell University)|Jun 7, 2018

Network Security and Intrusion Detection参考文献 21被引用数 13

ひとこと要約

本稿では、強化されたバットアルゴリズムを用いた特徴選択と重み付きランダムフォレストを用いたフローモニタリングを組み合わせた、AIベースの二段階型侵入検知システムを、ソフトウェア定義IoT（SD-IoT）ネットワーク向けに提案する。この手法は、96.42%の正確性と0.98%の偽陽性率を達成し、既存手法を上回り、低オーバーヘッドを実現する。

ABSTRACT

Software Defined Internet of Things (SD-IoT) Networks profits from centralized management and interactive resource sharing which enhances the efficiency and scalability of IoT applications. But with the rapid growth in services and applications, it is vulnerable to possible attacks and faces severe security challenges. Intrusion detection has been widely used to ensure network security, but classical detection means are usually signature-based or explicit-behavior-based and fail to detect unknown attacks intelligently, which are hard to satisfy the requirements of SD-IoT Networks. In this paper, we propose an AI-based two-stage intrusion detection empowered by software defined technology. It flexibly captures network flows with a globle view and detects attacks intelligently through applying AI algorithms. We firstly leverage Bat algorithm with swarm division and Differential Mutation to select typical features. Then, we exploit Random forest through adaptively altering the weights of samples using weighted voting mechanism to classify flows. Evaluation results prove that the modified intelligent algorithms select more important features and achieve superior performance in flow classification. It is also verified that intelligent intrusion detection shows better accuracy with lower overhead comparied with existing solutions.

研究の動機と目的

• ソフトウェア定義IoT（SD-IoT）ネットワークにおける、攻撃表面の拡大と進化する脅威に起因する、増大するセキュリティ課題に対処すること。
• 未知または新規の攻撃を検出できない従来の署名ベースおよび異常検知ベースの侵入検知システム（IDS）の限界を克服すること。
• 中央集権的なSDN制御下で、AIを活用した特徴選択とフローモニタリングを実現する、知能的かつ適応的なIDSを構築すること。
• 特にレアクラス攻撃に対して、正確性と耐性を向上させつつ、検知のオーバーヘッドを低減すること。

提案手法

• 二段階アーキテクチャを採用：まず、K-meansによるスウォーム分割と微分変異を用いた強化されたバットアルゴリズムを用いて特徴選択を行い、探索性と収束性を向上させる。
• 各木が構築された後にサンプル重みを動的に更新する修正版ランダムフォレスト分類器を適用し、重み付き投票メカニズムを用いて不均衡データの分類精度を向上させる。
• SDNのグローバルな可視性を活用して、ネットワークフローを包括的に把握し、リアルタイムで集中管理された監視と分析を可能にする。
• AI駆動の特徴選択と適応的学習を統合し、署名ベースの検出を超えた未知の攻撃を検出可能にする。
• バットアルゴリズムにおける局所最適解の回避と集団の多様性維持を目的として、K-meansクラスタリングと微分進化を組み合わせたハイブリッド最適化戦略を採用する。
• 動的サンプル重み付けにより、少数クラス攻撃に焦点を当て、時間経過とともに検知性能を向上させる自己学習システムを設計する。

実験結果

リサーチクエスチョン

• RQ1 AIベースの二段階型侵入検知システムは、SD-IoTネットワークにおいて未知の攻撃や新規攻撃を効果的に検出できるか？
• RQ2 計算オーバーヘッドを低減しつつ、特徴選択を最適化することで、検知正確性を向上させられるか？
• RQ3 ランダムフォレストにおける適応的サンプル重み付けは、不均衡な侵入データセットにおける検知性能をどの程度向上させられるか？
• RQ4 本手法は、SD-IoT環境における既存のIDSソリューションと比較して、正確性と効率性の両面で優れているか？
• RQ5 SDNのグローバルな視認性とAIの統合により、侵入検知のスケーラビリティと応答性が向上するか？

主な発見

• 提案手法は96.42%の検知正確性とわずか0.98%の偽陽性率を達成し、既存手法を顕著に上回っている。
• スウォーム分割と微分変異を組み合わせた改善版バットアルゴリズムは、より関連性の高い特徴を抽出し、検知の正確性を向上させた。
• 重み付きランダムフォレスト分類器は、ベースラインモデルと比較して、少数クラス攻撃の検知率を最大30%まで向上させた。
• 処理時間と誤分類コストの指標から、競合アルゴリズムに比べてより低いオーバーヘッドを示した。
• 提案されたBAとRFアルゴリズムの組み合わせは、全評価指標で最良のパフォーマンスを示し、32個の特徴選択と優れたFPRを達成した。
• フローフロー量が増加しても高い効率性を維持しており、スケーラビリティとリアルタイム実現可能性を示した。