[論文レビュー] Efficient GAN-based method for cyber-intrusion detection

Hongyu Chen, Li Jiang|arXiv (Cornell University)|Apr 4, 2019

Network Security and Intrusion Detection参考文献 21被引用数 16

ひとこと要約

本稿では、KDD-CUP '99 データセット上で最先端の GAN ベース手法を上回る性能を示す、サイバーインシデント検出のための効率的な GAN ベースモデルを提案する。本モデルは、不均衡なデータセットにおける離散的特徴の取り扱いに課題を抱える問題を、洗練された損失関数と複数の中間層の導入によって解決する。モデルは Wasserstein 距離と特徴マッチングを活用し、異常検出の精度を向上させるとともに、トレーニング時間と推論時間を短縮する。

ABSTRACT

Ubiquitous anomalies endanger the security of our system constantly. They may bring irreversible damages to the system and cause leakage of privacy. Thus, it is of vital importance to promptly detect these anomalies. Traditional supervised methods such as Decision Trees and Support Vector Machine (SVM) are used to classify normality and abnormality. However, in some case the abnormal status are largely rarer than normal status, which leads to decision bias of these methods. Generative adversarial network (GAN) has been proposed to handle the case. With its strong generative ability, it only needs to learn the distribution of normal status, and identify the abnormal status through the gap between it and the learned distribution. Nevertheless, existing GAN-based models are not suitable to process data with discrete values, leading to immense degradation of detection performance. To cope with the discrete features, in this paper, we propose an efficient GAN-based model with specifically-designed loss function. Experiment results show that our model outperforms state-of-the-art models on discrete dataset and remarkably reduce the overhead.

研究の動機と目的

• クラス不均衡のため、従来の教師あり手法がレアなサイバーインシデントを検出するのには限界があることに対処すること。
• 標準的な GAN が離散的特徴で性能が低いのは、分布が重複しないことと不適切な損失関数によるものであり、これを克服すること。
• リアルタイムのサイバーインシデント検出に適した、GAN ベースの異常検出におけるトレーニング時間と推論時間を短縮すること。
• より良い特徴表現と異常スコアリングのため、複数の中間層と洗練された損失関数を活用して検出精度を向上させること。

提案手法

• モデルは、Wasserstein 距離と特徴マッチングを組み合わせた洗練された損失関数を用いる、二重生成器・判別器アーキテクチャを採用し、離散的特徴の重複のない分布に対処する。
• 判別器に複数の中間層を導入することで、意思決定境界をなめらかにし、段階的な特徴再構成により異常スコア推定を向上させる。
• トレーニングプロセスでは、交差エントロピーではなく、L1 ベースの Wasserstein 距離が使用され、これは稀で離散的なデータ分布に適している。
• 離散的特徴は、GAN フレームワークと互換性を持たせるためにワンホットエンコーディングによって事前処理される。
• 異常スコアは、入力サンプルと潜在空間から生成された最も類似した正常サンプルとの乖離に基づいて計算される。
• モデルは正常サンプルのみでトレーニングされるため、教師なしの異常検出が可能となる。

実験結果

リサーチクエスチョン

• RQ1 離散的特徴と深刻なクラス不均衡を示すデータセットにおいて、GAN ベースのモデルがサイバーインシデントを効果的に検出できるか。
• RQ2 Wasserstein 距離と特徴マッチングの使用が、離散データの重複のない分布における検出性能をどのように向上させるか。
• RQ3 判別器に複数の中間層を組み込むことで、異常スコアの正確性とモデルのロバスト性はどの程度向上するか。
• RQ4 既存の最先端の GAN ベース異常検出モデルと比較して、本モデルのトレーニングおよび推論の効率性はどの程度か。

主な発見

• 提案モデルは、KDD-CUP '99 データセット（離散的特徴あり）において、最先端のモデルを上回る F1 スコアを達成し、優れた検出性能を示した。
• GPU では、BiGAN ベースのベンチマーク（Zenati et al., 2018）と比較して、トレーニング時間を約 660 倍短縮した。CPU では 1.357 倍短縮した。
• CPU では、1 サンプルあたりの平均推論時間が 1.4ms にまで短縮され、BiGAN ベースのモデルの 1.9ms を上回った。
• 汚染率が 1% から 20% の範囲で変動しても、高い精度と再現率を維持しており、データの不均衡に対してロバストであることが示された。
• 複数の中間層の導入により、より穏やかで信頼性の高い異常スコア予測が可能となり、まれな正常パターンへの過学習が軽減された。
• Wasserstein 距離と特徴マッチングに基づく洗練された損失関数は、離散データにおける実際の分布と生成された分布の間の重複欠如を効果的に処理できた。