[論文レビュー] Deep Neural Networks based Meta-Learning for Network Intrusion Detection

Anabia Sohail, Bibi Ayisha+4 more|arXiv (Cornell University)|Feb 18, 2023

Network Security and Intrusion Detection被引用数 5

ひとこと要約

本稿では、スパース自己符号化器とアンサンブルメタラーナーを用いて意思決定空間と特徴空間を統合する、ネットワークインシデント検出のためのディープメタラーニングフレームワークINFUSEを提案する。Test+データセットにおいてFスコア0.91、正解率91.6%、再現率0.94を達成し、不均衡で変化するネットワークトラフィックデータにおける未知の攻撃やレアな攻撃タイプに対しても優れた一般化性能を示した。

ABSTRACT

The digitization of different components of industry and inter-connectivity among indigenous networks have increased the risk of network attacks. Designing an intrusion detection system to ensure security of the industrial ecosystem is difficult as network traffic encompasses various attack types, including new and evolving ones with minor changes. The data used to construct a predictive model for computer networks has a skewed class distribution and limited representation of attack types, which differ from real network traffic. These limitations result in dataset shift, negatively impacting the machine learning models' predictive abilities and reducing the detection rate against novel attacks. To address the challenges, we propose a novel deep neural network based Meta-Learning framework; INformation FUsion and Stacking Ensemble (INFUSE) for network intrusion detection. First, a hybrid feature space is created by integrating decision and feature spaces. Five different classifiers are utilized to generate a pool of decision spaces. The feature space is then enriched through a deep sparse autoencoder that learns the semantic relationships between attacks. Finally, the deep Meta-Learner acts as an ensemble combiner to analyze the hybrid feature space and make a final decision. Our evaluation on stringent benchmark datasets and comparison to existing techniques showed the effectiveness of INFUSE with an F-Score of 0.91, Accuracy of 91.6%, and Recall of 0.94 on the Test+ dataset, and an F-Score of 0.91, Accuracy of 85.6%, and Recall of 0.87 on the stringent Test-21 dataset. These promising results indicate the strong generalization capability and the potential to detect network attacks.

研究の動機と目的

• 歪んだ、進化する攻撃分布に起因するデータセットシフトとクラス不均衡を解消すること。
• 学習データに十分に含まれないレアで未知の攻撃タイプの検出性能を向上させること。
• 多様な分類器の統合と攻撃の意味的表現の学習により、モデルの一般化性能を向上させること。
• 複数の意思決定空間と特徴空間を効果的に統合するメタラーニングフレームワークを開発すること。
• 現実的で不均衡な条件下において、きびしいベンチマークデータセット上でフレームワークを評価すること。

提案手法

• 5つの多様なベース分類器の意思決定出力を組み合わせることでハイブリッド特徴空間を構築する。
• ディープスパース自己符号化器を用いて、特徴空間から攻撃タイプ間の意味的関係を抽出する。
• メタラーナーとしてディープニューラルネットワークを採用し、ハイブリッド特徴空間全体の予測をアンサンブルして最終意思決定を行う。
• 融合表現を学習させることで、未観測の攻撃パターンに対してもロバストで一般化可能なメタラーナーを訓練する。
• 特徴レベルと意思決定レベルの統合を組み合わせることで、表現学習と予測性能を向上させる。
• 現実のデータシフトを想定した条件下で、ベンチマークデータセットにエンドツーエンドでフレームワークを適用し、検出性能を評価する。

実験結果

リサーチクエスチョン

• RQ1 メタラーニングフレームワークは、不均衡なデータセットにおける未知の攻撃や稀なネットワーク攻撃の検出を改善できるか？
• RQ2 ハイブリッド特徴空間と意思決定空間の統合は、インシデント検出におけるモデル一般化性能の向上にどの程度効果的か？
• RQ3 スパース自己符号化器は、攻撃タイプの意味的表現学習をどの程度向上させるか？
• RQ4 ディープメタラーナーは、データセットシフトとクラス不均衡の両方に対し、従来のアンサンブル手法を上回る性能を示せるか？
• RQ5 提案されたINFUSEフレームワークは、きびしい、現実に近いベンチマークデータセットでどの程度の性能を示すか？

主な発見

• INFUSEはTest+データセットでFスコア0.91、正解率91.6%、再現率0.94を達成し、稀で未知の攻撃タイプに対しても優れた性能を示した。
• より厳しいTest-21データセットでは、Fスコア0.91、正解率85.6%、再現率0.87を維持し、高い性能を発揮した。
• 意思決定空間と特徴空間の統合により、個々の分類器と比較して検出のロバスト性が顕著に向上した。
• スパース自己符号化器は攻撃タイプ間の意味的関係を効果的に捉え、表現学習を強化した。
• ディープメタラーナーは、特に新規攻撃バージョンのデータが少ない状況でも優れた一般化性能を示した。
• 現実的で不均衡なデータ条件下において、ベンチマークデータセットで既存手法を上回る性能を発揮した。