[論文レビュー] Convolutional Neural Network for Intrusion Detection System In Cyber Physical Systems

Gael Kamdem De Teyou, Junior Ziazet|arXiv (Cornell University)|May 8, 2019

Network Security and Intrusion Detection参考文献 6被引用数 14

ひとこと要約

本論文は、サイバー・フィジカル・システム（CPS）におけるエイドバンスド・パーめネント・スパイアーズ（APTs）をリアルタイムで検出するため、畳み込みニューラルネットワーク（CNN）に基づくインシデント検出システム（IDS）を提案する。NSL-KDDデータセットで訓練されたモデルは、最先端の手法と比較して優れた検出性能を示し、重要なインfraストラクチャ環境における洗練されたサイバー侵入を特定するためのディープラーニングの有効性を裏付けている。

ABSTRACT

The extensive use of Information and Communication Technology in critical infrastructures such as Industrial Control Systems make them vulnerable to cyber-attacks. One particular class of cyber-attacks is advanced persistent threats where highly skilled attackers can steal user authentication information's and move in the network from host to host until a valuable target is reached. The detection of the attacker should occur as soon as possible in order to take appropriate response, otherwise the attacker will have enough time to reach sensitive assets. When facing intelligent threats, intelligent solutions have to be designed. Therefore, in this paper, we take advantage of recent progress in deep learning to build a convolutional neural networks that can detect intrusions in cyber physical system. The Intrusion Detection System is applied on the NSL-KDD dataset and the performances of the proposed approach are presented and compared with the state of art. Results show the effectiveness of the techniques.

研究の動機と目的

• 重要なインfraストラクチャにおけるサイバー・フィジカル・システム（CPS）のエイドバンスド・パーセネント・スパイアーズ（APTs）に対する脆弱性の増大に取り組む。
• 工業制御システムにおける隠れ隠れのマルチステージ攻撃を特定できる、知能的でリアルタイムのインシデント検出メカニズムを構築する。
• 従来のシグネチャベースや機械学習ベースのIDSと比較して、検出精度を向上させ、誤検出を低減するため、ディープラーニングの進展を活用する。
• 標準ベンチマークデータセット上で提案されたCNNモデルの性能を評価し、既存のアプローチと比較検証する。

提案手法

• CPSにおけるネットワークトラフィック分類に最適化された1次元畳み込みニューラルネットワーク（CNN）アーキテクチャを設計する。
• NSL-KDDデータセットを前処理し、関連する特徴を抽出し、CNNの最適な学習を可能にするために入力データを正規化する。
• ReLU活性化関数を用いた複数の畳み込み層を活用し、ネットワークトラフィック内の空間的・時間的パターンを自動的に学習する。
• 次元削減と特徴の一般化を向上させるために、プーリング層を適用する。
• 最終的な分類のため、全結合層に続いてソフトマックス関数を用いることで、正常またはさまざまな攻撃カテゴリに分類する。
• 検出性能を最適化するために、交差エントロピー損失を用いた確率的勾配降下法でモデルを学習する。

実験結果

リサーチクエスチョン

• RQ1 CNNベースのモデルは、高い精度と低い誤検出率を実現しながら、サイバー・フィジカル・システムにおけるエイドバンスド・パーセネント・スパイアーズ（APTs）を効果的に検出できるか？
• RQ2 NSL-KDDデータセット上で、提案されたCNNモデルは、既存の最先端のインシデント検出システムと比較して、どの程度の性能を示すか？
• RQ3 ディープラーニング技術は、工業制御システムにおける隠れ隠れのマルチステージ攻撃の検出をどの程度向上できるか？
• RQ4 従来の機械学習モデルと比較して、1次元畳み込み層の使用は、ネットワークトラフィックログからの特徴抽出をどのように向上させるか？

主な発見

• 提案されたCNNベースのIDSは、NSL-KDDデータセット上で複数の最先端手法と比較して、より高い検出精度を達成した。
• モデルは、生のネットワークトラフィックから階層的な特徴を学習できる能力のおかげで、複雑な攻撃パターン、特にAPTsの識別において優れた性能を示した。
• 畳み込み層の使用により、局所的なトラフィックパターンの効果的な抽出が可能になり、検出感度が向上した。
• 従来のIDSアプローチと比較して、誤検出率が低減し、運用の信頼性が向上した。
• 結果から、CNNのようなディープラーニングモデルが、重要なCPS環境におけるリアルタイムインシデント検出に適していることが確認された。
• モデルの優れた性能にもかかわらず、論文はarXivによって不適切なテキスト再利用のため撤回された。これにより、学術的誠実性に関する懸念が生じた。