[論文レビュー] Anomaly Detection Framework Using Rule Extraction for Efficient Intrusion Detection

Antti Juvonen, Tuomo Sipola|arXiv (Cornell University)|Oct 28, 2014

Network Security and Intrusion Detection参考文献 66被引用数 5

ひとこと要約

本稿では、教師なし拡散マップに基づく次元削減とクラスタリングを用いてネットワークトラフィックをラベル付けし、その後で論理的結合ルール抽出を実行することで、透明性がありリアルタイムなインシデント検出フレームワークを提案する。このシステムは、KDD Cup 99および実世界のログにおいて高い検出性能を達成しており、事前の攻撃ラベルを必要とせず、解釈可能で高速かつスケーラブルな分類を実現する。

ABSTRACT

Huge datasets in cyber security, such as network traffic logs, can be analyzed using machine learning and data mining methods. However, the amount of collected data is increasing, which makes analysis more difficult. Many machine learning methods have not been designed for big datasets, and consequently are slow and difficult to understand. We address the issue of efficient network traffic classification by creating an intrusion detection framework that applies dimensionality reduction and conjunctive rule extraction. The system can perform unsupervised anomaly detection and use this information to create conjunctive rules that classify huge amounts of traffic in real time. We test the implemented system with the widely used KDD Cup 99 dataset and real-world network logs to confirm that the performance is satisfactory. This system is transparent and does not work like a black box, making it intuitive for domain experts, such as network administrators.

研究の動機と目的

• インシデント検出におけるブラックボックス型機械学習モデルの不透明さと計算効率の低さを解消すること。
• 自動生成された人間が読みやすいルールを用いて、大規模なネットワークトラフィックをリアルタイムで分類すること。
• 攻撃タイプの事前知識がなくても、ラベルなしデータから正常動作を学習するシステムを開発すること。
• ブラックボックスモデルの代わりに解釈可能な論理的結合ルールを導入することで、ネットワーク管理者のための透明性と使いやすさを向上させること。
• ベンチマーク（KDD Cup 99）および実世界のネットワークログデータセットの両方で、フレームワークの有効性を検証すること。

提案手法

• ネットワークトラフィック特徴量の低次元表現を抽出するために、拡散マップに基づく次元削減を適用する。
• 低次元化されたデータに対してクラスタリングを実行し、正常および異常トラフィックパターンを教師なしでラベル付ける。
• クラスタリングのラベルから解釈可能な論理的結合ルールを抽出するルール抽出アルゴリズムを適用する。
• 抽出されたルールを用いて、到着するネットワークトラフィックを高速かつリアルタイムに分類する。
• KDD Cup 99および実世界のHTTPログを訓練および評価に使用し、混同行列およびマチューズ相関係数を用いて性能を測定する。
• 更新されたデータを定期的に用いた再訓練を可能とする仕組みを備え、精度の維持を図る動的適応をサポートする。

実験結果

リサーチクエスチョン

• RQ1 事前の攻撃知識がなくても、教師なしの次元削減とクラスタリングが、異常検出のためのネットワークトラフィックラベル付けに有効に機能するか。
• RQ2 クラスタリングされたデータから抽出されたルールが、リアルタイムインシデント検出に適した解釈可能で高性能な分類器を生成できるか。
• RQ3 本フレームワークは、ベンチマークおよび実世界のネットワークログを含む多様なデータセットで、どの程度の性能を示すか。
• RQ4 限定的な訓練データでも、システムの性能がどの程度維持されるか。
• RQ5 得られたルールがドメインエキスパートによって意味的に解釈可能であり、システムの透明性を高められるか。

主な発見

• 10%の訓練サブセットを用いてKDD Cup 99データセットでマチューズ相関係数0.91を達成し、優れた分類性能を示した。
• 小さなランダム訓練サブセットでは、全10%データセットよりも高いマチューズ相関係数が得られたため、データの多様性が低くなることでルール学習が向上した可能性がある。
• 実世界のログデータでは、手動による検査により、システムが正常および異常トラフィックを適切に分離していることが確認されたが、評価指標算出のための真値ラベルは存在しなかった。
• ルールベース分類器により、リアルタイムのトラフィック分類が可能であり、分類フェーズはルール作成フェーズよりも著しく高速であった。
• 訓練時にラベルなし攻撃データを用いても、実世界のログで実際に発生したインシデントを効果的に検出するという、高い耐性を示した。
• フレームワークの透明性のおかげで、ドメインエキスパートがルールを解釈・検証でき、信頼性の向上と実用的導入の促進が可能になった。