[論文レビュー] Attribute Weighting with Adaptive NBTree for Reducing False Positives in Intrusion Detection

Dewan Md. Farid, Mohammad Zahidur Rahman|arXiv (Cornell University)|May 6, 2010

Network Security and Intrusion Detection参考文献 48被引用数 9

ひとこと要約

本稿では、ネットワークインシデント検出における誤検出を低減するため、適応的NBTreeベースの属性重み付け手法を提案する。意思決定木駆動の属性重み付けとナイーブベイズ分類を統合することで、検出精度を向上させ、さまざまなインシデントタイプ間での性能バランスを改善し、KDD99データセットにおいて誤検出を顕著に低減する一方で、高い検出率を維持する。

ABSTRACT

In this paper, we introduce new learning algorithms for reducing false positives in intrusion detection. It is based on decision tree-based attribute weighting with adaptive naïve Bayesian tree, which not only reduce the false positives (FP) at acceptable level, but also scale up the detection rates (DR) for different types of network intrusions. Due to the tremendous growth of network-based services, intrusion detection has emerged as an important technique for network security. Recently data mining algorithms are applied on network-based traffic data and host-based program behaviors to detect intrusions or misuse patterns, but there exist some issues in current intrusion detection algorithms such as unbalanced detection rates, large numbers of false positives, and redundant attributes that will lead to the complexity of detection model and degradation of detection accuracy. The purpose of this study is to identify important input attributes for building an intrusion detection system (IDS) that is computationally efficient and effective. Experimental results performed using the KDD99 benchmark network intrusion detection dataset indicate that the proposed approach can significantly reduce the number and percentage of false positives and scale up the balance detection rates for different types of network intrusions.

研究の動機と目的

• 検出信頼性を低下させる高い誤検出率を抱える既存のインシデント検出システム（IDS）の課題に対処すること。
• ネットワークトラフィックデータに内在する重複および不関係な属性によるモデルの複雑さを低減すること。
• 特に不均衡なデータセットにおいて、多様なインシデントタイプ間での検出率のバランスを改善すること。
• 適応的属性重み付けを用いて、計算効率的かつ高精度なIDSを開発すること。
• 意思決定木ベースの特徴量重み付けを統合することで、インシデント検出におけるナイーブベイズ分類器の性能を向上させること。

提案手法

• 本手法は、意思決定木のインダクションとナイーブベイズ分類を統合した適応的ナーブベイズツリー（NBTree）を採用する。
• 属性重みは、意思決定木の分割から得られる情報ゲインとジニインデックスに基づいて動的に割り当てられる。
• ツリーの各ノードで特徴量が再重み付けされ、分類に最も特徴的な属性が優先される。
• アルゴリズムはツリー構築中に属性の重要度を適応的に調整することで、分類精度を向上させる。
• 最終的なモデルでは、重み付けされた属性をナイーブベイズ分類に使用し、誤検出を低減する。
• 本手法は、標準的なインシデント検出指標を用いてKDD99ベンチマークデータセットで評価される。

実験結果

リサーチクエスチョン

• RQ1 意思決定木基準に基づく属性重み付けは、インシデント検出における誤検出率を低減できるか？
• RQ2 適応的属性重み付けは、さまざまなインシデントタイプ間での検出率のバランスをどのように改善するか？
• RQ3 意思決定ツリーとナイーブベイズの統合は、モデルの複雑さをどの程度低減し、精度を向上させるか？
• RQ4 提案手法は、誤検出を顕著に低減する一方で、高い検出率を維持できるか？
• RQ5 適応的NBTreeは、標準的なナイーブベイズおよび意思決定木モデルと比較して、インシデント検出性能で優れているか？

主な発見

• 提案手法は、ベースラインのナイーブベイズおよび標準的な意思決定木モデルと比較して、顕著な誤検出率の低減を達成した。
• U2RおよびR2L攻撃など、従来は検出が不十分だったカテゴリを含む、さまざまなインシデントタイプ間での検出率がバランスされた。
• 動的重み付けによる属性の冗長性低減のおかげで、モデルの計算効率が向上した。
• 属性重み付けとNBTreeの統合により、KDD99データセットにおける全体の検出精度が向上した。
• F1スコアおよびFPR低減の観点から、本手法は従来のナイーブベイズおよび意思決定木モデルを上回った。
• 珍しい攻撃タイプに対しても高い検出率を維持したため、クラス不均衡に対して高い耐性を示した。