[論文レビュー] Botnet Detection Using Recurrent Variational Autoencoder

Jeeyung Kim, Alex Sim+2 more|arXiv (Cornell University)|Apr 1, 2020

Network Security and Intrusion Detection参考文献 29被引用数 7

ひとこと要約

本稿では、ネットワークトラフィックフロー・データ内の順序的パターンをモデル化することで、オンラインでリアルタイムにボットネットを検出するための再帰的変分オートエンコーダー（RVAE）を提案する。本手法は、学習済みの確率分布を用いて異常スコアを割り当てることで、未学習のボットネットファミリーを高い精度で検出でき、最先端の結果と同等の性能を達成する。これにより、多様なボットネットタイプや通信プロトコルに対し、安定した性能を発揮するストリーミング検出が可能になる。

ABSTRACT

Botnets are increasingly used by malicious actors, creating increasing threat to a large number of internet users. To address this growing danger, we propose to study methods to detect botnets, especially those that are hard to capture with the commonly used methods, such as the signature based ones and the existing anomaly-based ones. More specifically, we propose a novel machine learning based method, named Recurrent Variational Autoencoder (RVAE), for detecting botnets through sequential characteristics of network traffic flow data including attacks by botnets. We validate robustness of our method with the CTU-13 dataset, where we have chosen the testing dataset to have different types of botnets than those of training dataset. Tests show that RVAE is able to detect botnets with the same accuracy as the best known results published in literature. In addition, we propose an approach to assign anomaly score based on probability distributions, which allows us to detect botnets in streaming mode as the new networking statistics becomes available. This on-line detection capability would enable real-time detection of unknown botnets.

研究の動機と目的

• 変化し続ける、未学習のボットネットファミリーを検出できない、シグネチャベースおよび従来の異常ベースのボットネット検出手法の限界を解消すること。
• 特にストリーミングモードで動作する、順序的かつ周期的なトラフィックパターンを介してボットネットを同定できる機械学習ベースの異常検出システムを開発すること。
• 訓練済みのRVAEモデルから得られる確率的再構成誤差分布を活用することで、未知のボットネットのオンライン・リアルタイム検出を可能にすること。
• 訓練時に観測されていないが、非標準プロトコル（例：独自のC2チャネル）を用いるボットネットを含む、多様なボットネットタイプに対しても耐性を示すことを検証すること。
• 深層生成モデルを用いてネットワークトラフィックの時間的依存関係をモデル化することで、異常検出システムの一般化能力と適応性を向上させること。

提案手法

• 提案手法は、正常なネットワークトラフィックシーケンスの潜在表現を学習するため、再帰的変分オートエンコーダー（RVAE）を採用し、時間的および周期的パターンを捉える。
• RVAEは正常なネットワークフロー・データにのみ訓練され、入力シーケンスの再構成を学習すると同時に、変分推論を用いて不確実性をモデル化する。
• 再構成誤差の尤度を学習済み確率分布（PDF）に基づいて計算することで、統計的異常検出が可能になる。
• 新しいネットワーク統計をリアルタイムで処理するスライディング・ウィンドウ手法を採用することで、オンライン検出を実現する。
• 再構成誤差分布の最良の適合確率分布（例：一般化ロジスティック分布、フォールド・コーシー分布、Mielke分布）を推定し、正常トラフィックとボットネットトラフィックを区別する。
• 時間窓長（5秒、60秒、300秒）の変動に応じた性能評価が行われ、60秒が再構成精度、勾配安定性、検出性能のバランスを最適に保つと判明した。

実験結果

リサーチクエスチョン

• RQ1 RVAEのような深層生成モデルは、ネットワークトラフィック内の順序的および周期的パターンをモデル化することで、ボットネットを効果的に検出できるか？
• RQ2 提案されたRVAEベースの異常検出システムは、非IRC/HTTP/P2Pプロトコルを用いる未学習のボットネットファミリーに対し、どの程度の性能を示すか？
• RQ3 ストリーミングモードにおいて、再構成精度、勾配安定性、検出性能のバランスを最適化するための最適な時間窓長は何か？
• RQ4 時間窓サイズに応じて分布形状が変化する場合でも、再構成誤差の確率分布が正常とボットネットトラフィックを信頼性高く区別できるか？
• RQ5 CTU-13のようなベンチマークデータセットにおいて、特にオンライン検出シナリオで、最先端の手法と同等の性能を達成できるか？

主な発見

• 60秒の時間窓を用いた場合、RVAEモデルはCTU-13データセットでF1スコア0.929、AUROC 0.975を達成し、文献に記載された最高の結果と同等またはそれを上回る。
• 60秒窓では、リコールが100%、精度が86.5%を達成し、多様なボットネットタイプに対する強力な検出能力を示している。
• 300秒窓では、正常とボットネットの再構成誤差分布が重複しやすく、分離度が低くなるため、精度が53.7%に低下した。
• 5秒窓では、分散が大きく、分離度が低く、最良の適合分布がフォールド・コーシー分布となった。これは、短期間のパターンモデリングにおける不安定性を示唆している。
• 60秒窓では、正常とボットネットの再構成誤差分布の分離が最も明確で、一般化ロジスティック分布が最良の適合を示した。
• 独自のC2チャネルを用いる未学習のボットネットファミリー（シナリオ6）に対しても、66%のサンプルが再構成誤差4未満であることを確認し、新規プロトコルに対しても耐性があることを示した。