[論文レビュー] Deep-Net: Deep Neural Network for Cyber Security Use Cases

R. Vinayakumar, Barathi Ganesh Hb+3 more|arXiv (Cornell University)|Dec 9, 2018

Advanced Malware Detection Techniques参考文献 20被引用数 14

ひとこと要約

本論文では、Androidマルウェア分類、インcidnet検出、不正検出の3つのサイバーセキュリティユースケースに特化した深層ニューラルネットワークアーキテクチャ「Deep-Net」を提案する。エンドツーエンドの特徴量学習と広範な実験による最適化されたハイパーパrameterを活用することで、Deep-Netは優れた性能を達成し、マルウェア検出で94.0%、インシデント検出で100%、不正検出で97.2%の正確性を達成。これらすべてのタスクでXGBoostなどの古典的モデルを上回った。

ABSTRACT

Deep neural networks (DNNs) have witnessed as a powerful approach in this year by solving long-standing Artificial intelligence (AI) supervised and unsupervised tasks exists in natural language processing, speech processing, computer vision and others. In this paper, we attempt to apply DNNs on three different cyber security use cases: Android malware classification, incident detection and fraud detection. The data set of each use case contains real known benign and malicious activities samples. The efficient network architecture for DNN is chosen by conducting various trails of experiments for network parameters and network structures. The experiments of such chosen efficient configurations of DNNs are run up to 1000 epochs with learning rate set in the range [0.01-0.5]. Experiments of DNN performed well in comparison to the classical machine learning algorithms in all cases of experiments of cyber security use cases. This is due to the fact that DNNs implicitly extract and build better features, identifies the characteristics of the data that lead to better accuracy. The best accuracy obtained by DNN and XGBoost on Android malware classification 0.940 and 0.741, incident detection 1.00 and 0.997 fraud detection 0.972 and 0.916 respectively.

研究の動機と目的

• 実際のサイバーセキュリティユースケースに特化した、深層ニューラルネットワーク（DNN）アーキテクチャの開発を目的とする。
• 従来の機械学習モデルと比較して、DNNが生のシステムおよびネットワークデータから複雑で階層的な特徴量を学習する有効性を評価することを目的とする。
• 検出正確性の向上を図るため、体系的な実験を通じて最適なネットワーク構成とハイパーパrameter（例：学習率、深さ）を同定することを目的とする。
• 3つの異なるサイバーセキュリティタスク（マルウェア検出、インシデント検出、不正検出）において、XGBoostなどの古典的アルゴリズムとDNNの性能をベンチマークすることを目的とする。

提案手法

• サイバーセキュリティデータ内の非線形パターンをモデル化するため、複数の全結合層および活性化関数層（例：ReLU）を備えた深層ニューラルネットワークの設計。
• 収束と性能の最適化を図るため、学習率を[0.01–0.5]の範囲で変動させ、1000エポックにわたる広範なハイパーパrameterチューニングを実施。
• Androidマルウェア、システム侵入、金融不正の3つのユースケースそれぞれに、既知の健全および悪意あるサンプルを含む実世界のデータセットを用いる。
• 誤差逆伝播と確率的勾配降下法を用いた標準的なディープラーニング訓練手順を採用し、分類損失を最小化する。
• 正確性などの標準的指標を用いてモデル性能を評価し、XGBoostやその他の古典的機械学習ベースラインと比較する。
• 複数回の試行と検証セットでの性能を基に、最終的なモデルアーキテクチャを実証的妥当性に基づいて選定する。

実験結果

リサーチクエスチョン

• RQ1 DNNは、古典的モデルと比較して、生のサイバーセキュリティデータから階層的表現を効果的に学習し、検出正確性を向上させることができるか？
• RQ2 最適なネットワークアーキテクチャとハイパーパラメータ設定（例：学習率、深さ）は何か？ これらは多様なサイバーセキュリティタスクで性能を最大化するか？
• RQ3 DNNの性能は、Androidマルウェア、システム侵入、金融不正検出においてXGBoostと比較してどの程度優れているか？
• RQ4 DNNは、手動による特徴量設計を上回る、判別性の高い特徴量を暗黙的に抽出できるか？
• RQ5 1つのDNNフレームワークは、最小限のアーキテクチャ変更で、複数のサイバーセキュリティユースケースに効果的に適応可能か？

主な発見

• Deep-NetはAndroidマルウェア分類で94.0%の正確性を達成し、XGBoostの74.1%を大きく上回った。
• インシデント検出では、Deep-Netが100%の正確性を達成したのに対し、XGBoostは99.7%であった。
• 不正検出では、Deep-Netが97.2%の正確性を達成し、XGBoostの91.6%を上回った。
• DNNの優れた性能は、生データから複雑で高レベルの特徴量を自動的に学習・抽出できる能力に起因する。
• 学習率を0.01から0.5の範囲で1000エポックにわたって広範なハイパーパラメータチューニングを実施した結果、最適な収束と高い正確性が得られた。
• これらの結果は、DNNがデータの複雑さと特徴量の相関関係が顕著なサイバーセキュリティ応用分野において特に効果的であることを示している。