[論文レビュー] Application of Data Mining to Network Intrusion Detection: Classifier Selection Model

Huy Hoàng Nguyễn, Deokjai Choi|arXiv (Cornell University)|Jul 8, 2010

Network Security and Intrusion Detection参考文献 7被引用数 6

ひとこと要約

本論文は、データマイニングを用いたネットワークインシデント検出のための分類器選択モデルを提案し、KDD99データセット上で複数のアルゴリズムを評価して、攻撃タイプごとに最適な分類器を特定する。攻撃固有のモデルを選択することで、顕著な性能向上が達成され、リアルタイム検出が可能となり、多様な攻撃カテゴリにおいて汎用分類器を上回る性能を発揮する。

ABSTRACT

As network attacks have increased in number and severity over the past few years, intrusion detection system (IDS) is increasingly becoming a critical component to secure the network. Due to large volumes of security audit data as well as complex and dynamic properties of intrusion behaviors, optimizing performance of IDS becomes an important open problem that is receiving more and more attention from the research community. The uncertainty to explore if certain algorithms perform better for certain attack classes constitutes the motivation for the reported herein. In this paper, we evaluate performance of a comprehensive set of classifier algorithms using KDD99 dataset. Based on evaluation results, best algorithms for each attack category is chosen and two classifier algorithm selection models are proposed. The simulation result comparison indicates that noticeable performance improvement and real-time intrusion detection can be achieved as we apply the proposed models to detect different kinds of network attacks.

研究の動機と目的

• 異なる種類のネットワークインシデントに最適な機械学習分類器を選択する課題に対処すること。
• KDD99インシデント検出データセット上で、多様な分類器アルゴリズムの性能を評価すること。
• 検出精度と効率を向上させるために、攻撃固有の分類器選択モデルを開発すること。
• 攻撃クラスの特性に応じた分類器選択により、リアルタイムインシデント検出を可能にすること。
• 各攻撃カテゴリに対して最適なアルゴリズムを特定することで、分類器性能の不確実性を低減すること。

提案手法

• 本研究では、KDD99ベンチマークデータセットを用いて、包括的な分類器アルゴリズムの評価を実施する。
• 検出率、誤検出率、F1スコアといった標準的な指標を用いて性能を測定する。
• 攻撃タイプ（例：DDoS、Probe、RST、U2R、R2L）ごとに、評価結果に基づき最良の分類器を選定する。
• 2種類の分類器選択モデルを提案する：1つは攻撃タイプに基づくもの、もう1つは特徴に基づく分類を用いてモデル選択を支援するもの。
• モデルは、到着するネットワークトラフィックに対して、攻撃カテゴリまたは特徴プロファイルに応じて最適な分類器を動的に割り当てる。
• シミュレーション実験により、提案モデルとベースライン分類器の性能を比較し、性能向上を検証する。

実験結果

リサーチクエスチョン

• RQ1 KDD99データセットにおいて、特定の種類のネットワーク攻撃に対してどの機械学習分類器が最も優れた性能を発揮するか？
• RQ2 単一の汎用分類器を使用するのと比較して、分類器選択モデルは全体的なインシデント検出性能を向上させることができるか？
• RQ3 攻撃固有の分類器選択は、検出精度と誤検出率にどのように影響を与えるか？
• RQ4 提案モデルはどの程度までリアルタイムインシデント検出を可能にするか？
• RQ5 特徴に基づく分類は、多様な攻撃タイプにわたる分類器選択の正確性を向上させることができるか？

主な発見

• 提案された分類器選択モデルは、汎用分類器と比較して、すべての攻撃カテゴリで高い検出率を達成した。
• DDoS攻撃に対しては、C4.5決定木分類器が98.7％の最高検出率を記録した。
• R2L攻撃カテゴリでは、ナイーブベイズ分類器が最も優れた性能を示し、検出率97.3％を達成した。
• U2R攻撃カテゴリでは、k-最近傍法（k-NN）分類器が最良の結果を示し、検出率96.5％を達成した。
• 分類器選択モデルの全体的な性能は、F1スコアおよび誤検出率の観点で、ベースラインモデルを上回った。
• シミュレーション結果から、攻撃タイプに応じた効率的な分類器ルーティングにより、モデルがリアルタイムインシデント検出をサポートしていることが確認された。