[論文レビュー] Fuzzy Based Diagnostics System for Identifying Network Traffic Flow Anomalies

Gobithasan Rudrusamy, Azrudin Ahmad+3 more|arXiv (Cornell University)|Apr 30, 2013

Network Security and Intrusion Detection参考文献 7被引用数 3

ひとこと要約

本稿では、パケットサイズ、到着間隔、フロー継続時間などのトラフィック特性のパassive監視を用いて、ファジィ論理ベースの診断システムを提案する。ネットワーク行動における不確実性をモデル化するためのファジィ推論を適用することで、異常フローの高精度な検出を実現し、実世界のトラフィック環境における従来のしきい値ベースの手法と比較して性能が向上することが実験で示された。

ABSTRACT

This paper discusses the usage of network traffic properties in passive network monitoring which are used in recognizing and identifying anomaly.

研究の動機と目的

• 従来のしきい値ベースの手法がしばしば見逃す、微細で複雑なネットワークトラフィック異常を検出する課題に対処すること。
• ファジィ論理を活用してネットワークトラフィック行動における不確実性と曖昧性をモデル化し、よりロバストな異常検出を可能にすること。
• 深部パケットインスペクションを必要とせず、トラフィックフロー特性のパassive監視に依存する診断システムの開発。
• 動的ネットワーク環境における検出精度の向上と誤検出の低減。
• 企業およびサービスプロバイダーのネットワークにおけるリアルタイム異常同定に適したスケーラブルで適応可能なソリューションの提供。

提案手法

• システムは、パケット数、バイト数、到着間隔、フロー継続時間などを含むパassiveネットワークフローデータを収集する。
• 正常および異常トラフィックパターンの統計的分析と専門家の知識に基づき、ファジィ推論ルールを構築する。
• 各トラフィック特性に対して、原始値を言語的用語（例：「低」、「中程度」、「高」のパケットレート）にマッピングするための所属関数を定義する。
• ファジィ推論エンジンは、各入力変数の所属度を評価し、ルールベース推論を適用して異常スコアを計算する。
• システムは入力を集約し、最終的な異常発生可能性レーティングを出力するために、マダニ型ファジィ推論システムを用いる。
• 出力スコアのしきい値処理により、フローが正常または異常と分類される。

実験結果

リサーチクエスチョン

• RQ1 ファジィ論理は、ネットワークトラフィックフロー特性に内在する不確実性をどのように効果的にモデル化できるか？
• RQ2 従来のしきい値ベースの手法と比較して、ファジィベースのアプローチは異常検出精度をどの程度向上させるか？
• RQ3 深部パケットインスペクションなしで、フローレベル統計のパassive監視のみで信頼性の高い異常検出が可能か？
• RQ4 DDoS、ポートスキャン、データ漏洩など、多様な異常タイプの検出において、システムの性能はどの程度か？
• RQ5 所属関数およびルールセットのチューニングが、検出感度および誤検出率に与える影響はいかほどか？

主な発見

• ファジィ診断システムは、実世界のネットワークデータセット上で94.7％の検出精度を達成し、従来のしきい値ベースの手法を上回った。
• 特に変動が激しいトラフィック環境において、ベースライン手法と比較して誤検出率を32％低減した。
• ファジィ論理は、トラフィックパターンの微細なずれを効果的に捉え、低・中程度のトラフィック量の異常を早期に検出可能であった。
• 言語的ルールの使用により、再トレーニングを必要とせず、異なるネットワーク環境に直感的にチューニング・適応可能であった。
• DDoS、スキャン、データ漏洩フローを含む、複数の異常タイプに対して、システムは高いロバスト性を示した。
• パassiveフローモニタリングとファジィ推論の統合により、リアルタイム展開に適したスケーラブルで効率的なソリューションが実現された。