[論文レビュー] GAN-based method for cyber-intrusion detection.

Hongyu Chen, Li Jiang|arXiv (Cornell University)|Apr 4, 2019

Network Security and Intrusion Detection参考文献 2被引用数 8

ひとこと要約

本論文では、サイバーインシデント検出におけるクラス不均衡と高次元離散特徴を扱うために、独自の損失関数を備えたGANベースのインシデント検出モデルを提案する。正常なトラフィックの分布のみを学習することで、最先端の手法と比較して性能が向上し、計算オーバーヘッドも低減された。

ABSTRACT

Ubiquitous cyber-intrusions endanger the security of our devices constantly. They may bring irreversible damages to the system and cause leakage of privacy. Thus, it is of vital importance to promptly detect these intrusions. Traditional methods such as Decision Trees and Support Vector Machine (SVM) are used to classify normal internet connections and cyber-intrusions. However, the intrusions are largely fewer than normal connections, which limits the capability of these methods. Anomaly detection methods such as Isolation Forest can handle the imbalanced data. Nevertheless, when the features of data increase, these methods lack enough ability to learn the distribution. Generative adversarial network (GAN) has been proposed to solve the above issues. With its strong generative ability, it only needs to learn the distribution of normal status, and identify the abnormal status when intrusion occurs. But existing models are not suitable to process discrete values, leading to immense degradation of detection performance. To cope with these challenges, in this paper, we propose a novel GAN-based model with specifically-designed loss function to detect cyber-intrusions. Experiment results show that our model outperforms state-of-the-art models and remarkably reduce the overhead.

研究の動機と目的

• 悪性活動が正常トラフィックに比べて著しく稀であるサイバーインシデント検出におけるクラス不均衡の課題に対処すること。
• 決定木やSVMのような従来の機械学習モデルが不均衡データセットを処理する際の限界を克服すること。
• 既存の手法（例：Isolation Forest）が苦戦する高次元特徴空間における異常検出性能の向上。
• 正常ネットワークトラフィックの分布を学習するGANベースのアプローチを開発し、その乖離をインシデントとして検出すること。
• ネットワークトラフィックデータに一般的な離散特徴を効果的に処理できるように、特別な損失関数を設計すること。

提案手法

• 合成された正常ネットワークトラフィックを生成することで、悪意ある接続の背後にある分布を学習するGANフレームワークを提案する。
• 離散的特徴に特化した独自の損失関数を導入し、訓練の安定性と表現学習の質を向上させる。
• 生成器を正常トラフィックのサンプルを現実的に生成するように訓練し、識別器を実データと生成データを区別するように訓練する。
• 訓練済み識別器を異常検出器として利用：低信頼度の予測は潜在的なインシデントを示す。
• ネットワークプロトコルおよび接続特徴の離散性を考慮した、変更された敵対的損失をGANの最適化に適用する。
• GANの訓練収束を向上させるために、事前処理として離散的カテゴリカル特徴（例：プロトコルタイプ、サービス）の特徴工学を適用する。

実験結果

リサーチクエスチョン

• RQ1 正常ネットワークトラフィックの分布のみを学習することで、GANベースのモデルが効果的にサイバーインシデントを検出できるか？
• RQ2 提案された独自の損失関数は、標準のGANと比較して、離散的ネットワークリンク特徴処理における検出性能をどのように向上させるか？
• RQ3 極端なクラス不均衡下でも高い検出精度を維持しながら、計算オーバーヘッドをどの程度低減できるか？
• RQ4 F1スコアとAUCの観点から、Isolation Forest や従来の機械学習分類器といった最先端の異常検出モデルと比較して、本モデルはどのように性能を発揮するか？
• RQ5 訓練時に異常例のラベル付きデータを必要としない状態で、本モデルは未観測のインシデントパターンに一般化して適応できるか？

主な発見

• 提案されたGANベースのモデルは、ベンチマークインシデント検出データセットにおいて、最先端のモデルと比較して優れた検出性能を達成した。
• 特別な損失関数のおかげで、効率的な訓練と推論が可能となり、検出のオーバーヘッドが顕著に低減された。
• 独自の損失関数により、高次元離散ネットワークリンク特徴処理におけるモデルのロバスト性と正確性が向上した。
• 本モデルは強力な一般化能力を示し、攻撃タイプの事前知識がなくても、新しいインシデントパターンを検出できた。
• 極端なクラス不均衡下でも、F1スコアとAUCが高く維持され、従来の機械学習および異常検出ベースラインを上回った。
• GANフレームワークは正常トラフィック分布を効果的に学習できており、誤検出が最小限に抑えられる信頼性の高い異常検出を可能にした。