[論文レビュー] An Efficient Fuzzy Clustering-Based Approach for Intrusion Detection

Huu Hoa Nguyen, Nouria Harbi+1 more|arXiv (Cornell University)|Oct 12, 2011

Network Security and Intrusion Detection参考文献 10被引用数 7

ひとこと要約

本論文は、クラスタから導出された特徴量と元の入力特徴量を統合することで、検出精度を向上させる、新しいファジィクラスタリングに基づくインシデント検出システム（IDS）を提案する。ファジィc-平均クラスタリングを用いて意味のあるクラスタ特徴を抽出することで、一般化性能が向上し、ベンチマークデータセット上で従来のデータマイニング手法を上回り、優れた検出率と低い誤検出率を示した。

ABSTRACT

The need to increase accuracy in detecting sophisticated cyber attacks poses a great challenge not only to the research community but also to corporations. So far, many approaches have been proposed to cope with this threat. Among them, data mining has brought on remarkable contributions to the intrusion detection problem. However, the generalization ability of data mining-based methods remains limited, and hence detecting sophisticated attacks remains a tough task. In this thread, we present a novel method based on both clustering and classification for developing an efficient intrusion detection system (IDS). The key idea is to take useful information exploited from fuzzy clustering into account for the process of building an IDS. To this aim, we first present cornerstones to construct additional cluster features for a training set. Then, we come up with an algorithm to generate an IDS based on such cluster features and the original input features. Finally, we experimentally prove that our method outperforms several well-known methods.

研究の動機と目的

• 既存のデータマイニングに基づくインシデント検出システムの一般化能力の限界を是正すること。
• 洗練された特徴表現により、高度なサイバー攻撃の検出精度を向上させること。
• クラスタリングと分類を組み合わせたハイブリッドアプローチを用いて、頑健なIDS設計を実現すること。
• 標準的なインシデント検出手法と比較して、本手法の実験的妥当性を検証すること。

提案手法

• 訓練データセットに対してファジィc-平均クラスタリングを適用し、正常または異常行動パターンを表す密集領域を特定する。
• 各データインスタンスについて、重心位置、クラスタ半径、所属度などのクラスタ固有の特徴量を抽出する。
• これらのクラスタ由来の特徴量を元の特徴量セットに追加し、分類に用いる入力表現を豊かにする。
• 結合された特徴量セット上で教師あり分類器（例：SVMや決定木）を学習させ、正常行動と侵入行動を区別する。
• 特徴量構築の過程で、ファジィ所属度を用いてデータポイントの重要性を重み付けし、不確実性を考慮した学習を強化する。
• クラスタの密集度と分離度のバランスを最適化することで、識別力の向上を図るクラスタリングプロセスを最適化する。

実験結果

リサーチクエスチョン

• RQ1 ファジィクラスタリングから導出された特徴量は、データマイニングに基づくインシデント検出システムの一般化能力を向上させることができるか？
• RQ2 クラスタ特徴量を元の特徴量と統合することで、検出精度と誤検出率にどのような影響を与えるか？
• RQ3 提案手法は、実世界のネットワークインシデントデータセットにおいて、従来のIDS技術を上回る性能を示すか？
• RQ4 ファジィ所属度情報は、インシデント検出モデルの頑健性をどの程度向上させるか？

主な発見

• 提案手法は、KDD Cup 1999データセットにおいて、従来のデータマイニングに基づく手法よりも高い検出率を達成した。
• ベースライン手法と比較して、誤検出率が顕著に低減し、全体の信頼性が向上した。
• ファジィクラスタ特徴量の統合により、以前に見られなかった攻撃パターンの検出におけるモデルの一般化性能が向上した。
• 元の特徴量とクラスタ特徴量を組み合わせたハイブリッド特徴量セットは、複数の評価指標において分類性能の向上をもたらした。