[論文レビュー] Data-Driven Network Intrusion Detection: A Taxonomy of Challenges and Methods

Dylan Chou, Meng Jiang|arXiv (Cornell University)|Sep 15, 2020

Network Security and Intrusion Detection参考文献 159被引用数 9

ひとこと要約

本論文は、データ駆動型ネットワーク侵入検知における課題と手法の包括的な分類を提示し、データの不均衡や合成データセットの限界を含む8つの主要な問題を特定している。1999年から2020年までの一般的なデータセットを評価し、研究動向を明らかにした上で、モデルの汎化性能と未知の攻撃に対する性能を向上させるために、実世界のデータ収集、スケーラブルなモデル、クラウドネイティブな検知システムの導入を提言している。

ABSTRACT

Data-driven methods have been widely used in network intrusion detection (NID) systems. However, there are currently a number of challenges derived from how the datasets are being collected. Most attack classes in network intrusion datasets are considered the minority compared to normal traffic and many datasets are collected through virtual machines or other simulated environments rather than real-world networks. These challenges undermine the performance of intrusion detection machine learning models by fitting models such as random forests or support vector machines to unrepresentative "sandbox" datasets. This survey presents a carefully designed taxonomy highlighting eight main challenges and solutions and explores common datasets from 1999 to 2020. Trends are analyzed on the distribution of challenges addressed for the past decade and future directions are proposed on expanding NID into cloud-based environments, devising scalable models for larger amount of network intrusion data, and creating labeled datasets collected in real-world networks.

研究の動機と目的

• データ駆動型ネットワーク侵入検知（NID）の効果的実現を阻害する主な課題を体系的な分類を通じて特定・分類すること。
• 特に合成由来とクラスの不均衡を特徴とする、広く使われている公開NIDデータセットの限界を分析すること。
• 2010年から2020年までのNID研究における動向を評価し、手法の進歩と実世界データの活用のギャップに焦点を当てる。
• スケーラブルな機械学習モデル、実世界のデータ収集、クラウドベースの侵入検知システムを含む、今後の研究方向性を提言すること。
• 手法的およびデータ関連の課題を評価することで、より代表的で汎化可能かつ実用的なNIDソリューションへの研究者の道筋を示すこと。

提案手法

• 8つの主要な課題を対応する技術的解決策に体系的にマッピングするための『課題-手法ヒューリスティック』を開発した。
• 1999年から2020年までの34個の公開NIDデータセットに対してエントロピー分析と攻撃タイプの内訳を実施し、データの不均衡と代表性を定量化した。
• 2010年から2020年までの100篇以上の研究論文を調査・分類し、機械学習とビッグデータ統合に焦点を当てたNID手法の動向を特定した。
• ランダムフォレスト、SVM、深層ニューラルネットワークなどの一般的なモデルが、合成データまたは不均衡データで学習された場合の性能と限界を評価した。
• 実世界データの欠如、動的データ処理、クラウドネイティブな検知アーキテクチャのギャップに基づき、今後の研究方向性を提言した。
• ワードベクトル分析（例：図14）を用いて、ビッグデータ、クラウドコンピューティング、NIDといった技術間の概念的関係をマッピングした。

実験結果

リサーチクエスチョン

• RQ1 機械学習モデルのネットワーク侵入検知における性能を損なう主なデータ関連の課題は何ですか？
• RQ2 仮想化またはシミュレーテッド環境で作成されたデータセットは、NIDモデルの汎化性能と実世界への適用性にどのように影響しますか？
• RQ3 2010年から2020年までのNID研究において、手法とデータセット使用に関する主な動向は何ですか？
• RQ4 現在のNIDシステムが、ビッグデータ、動的でストリーミングなネットワークデータを処理する上で直面する主な制限は何ですか？
• RQ5 スケーラブルで実世界対応かつクラウド統合型のNIDシステムを進歩させるために、最も重要な今後の研究方向性は何ですか？

主な発見

• 大多数のNIDデータセットは著しく不均衡であり、攻撃トラフィックが全体の少数を占めているため、モデルの性能にバイアスが生じる。
• 多くのデータセットが仮想マシンやシミュレーテッド環境で収集されており、実世界のネットワークトラフィックの代表性に欠ける。
• 異常検知技術の進展にもかかわらず、誤検知率が低いことから、シグネチャベースの手法が依然として主流であるが、ゼロデイ攻撃には対応できない。
• 増加するデータ量にかかわらず、動的ネットワークデータ向けのスケーラブルでインクリメンタルな機械学習モデルに関する研究は依然として限られている。
• クラウドベースやエッジコンピューティング統合は登場しているが、特にリアルタイムでストリーミングされる侵入検知に向けた活用は未だ十分に検討されていない。
• 実世界の消費者およびエンタープライズネットワークから収集された、公開可能でラベル付けされたネットワークトラフィックデータが極めて不足している。