[論文レビュー] Hybrid Deep Learning Model using SPCAGAN Augmentation for Insider Threat Analysis

R G Gayathri, Atul Sajjanhar+1 more|arXiv (Cornell University)|Mar 6, 2022

Network Security and Intrusion Detection被引用数 4

ひとこと要約

本稿では、線形多様体学習に基づくGANと新規損失関数を組み合わせたハイブリッドディープラーニングモデル、SPCAGANを提案する。このモデルは、クラス不均衡を解消し、異常検出性能を向上させることを目的として、高品質な合成内部脅威データを生成する。提案手法は最先端手法を上回る性能を発揮し、モード崩壊を低減するとともに、ベンチマークデータセット上での検出精度を向上させた。

ABSTRACT

Cyberattacks from within an organization's trusted entities are known as insider threats. Anomaly detection using deep learning requires comprehensive data, but insider threat data is not readily available due to confidentiality concerns of organizations. Therefore, there arises demand to generate synthetic data to explore enhanced approaches for threat analysis. We propose a linear manifold learning-based generative adversarial network, SPCAGAN, that takes input from heterogeneous data sources and adds a novel loss function to train the generator to produce high-quality data that closely resembles the original data distribution. Furthermore, we introduce a deep learning-based hybrid model for insider threat analysis. We provide extensive experiments for data synthesis, anomaly detection, adversarial robustness, and synthetic data quality analysis using benchmark datasets. In this context, empirical comparisons show that GAN-based oversampling is competitive with numerous typical oversampling regimes. For synthetic data generation, our SPCAGAN model overcame the problem of mode collapse and converged faster than previous GAN models. Results demonstrate that our proposed approach has a lower error, is more accurate, and generates substantially superior synthetic insider threat data than previous models.

研究の動機と目的

• 限られた実世界データによる内部脅威検出におけるクラス不均衡の課題に対処すること。
• モデルの一般化性能を向上させるために、多様で高精細な合成内部脅威インスタンスを生成するデータ拡張手法を開発すること。
• ハイブリッドベイジアンニューラルネットワーク（BNN）とGANベースの学習を組み合わせることで、敵対的耐性と検出性能を向上させること。
• 既存のGANが抱える問題、例えばモード崩壊や収束の遅さを、内部脅威データ合成の文脈で克服すること。
• ベンチマークデータセット上での合成データ品質と異常検出性能について、体系的な評価を提供すること。

提案手法

• 生成器の訓練を改善するために、線形多様体学習に基づく正則化を施した、修正された補助識別器GAN（ACGAN）であるSPCAGANを提案する。
• 生成器が内在するデータ多様体を学習するのを促進する新規損失関数を統合し、データの多様性と分布の忠実性を向上させる。
• 線形内在次元推定を用いて、異種のデータソースから真のデータ分布を学習するための生成器の指導を分析・実施する。
• 合成データを用いた敵対的訓練を実施し、敵対的例に対するモデルの耐性を向上させる。
• SPCAGANで生成されたデータとハイブリッドベイジアンニューラルネットワーク（BNN）を統合し、エンドツーエンドの異常検出を実現する。
• KDE、PCA、t-SNEなどの可視化技術を用いて、実データと合成データの分布の類似性を評価する。

Figure 1: Multi-stage Process flow in the Proposed Approach

実験結果

リサーチクエスチョン

• RQ1 GANベースのデータ拡張手法は、実データに依存せずに、内部脅威検出におけるクラス不均衡を効果的に低減できるか？
• RQ2 線形多様体学習の統合は、合成内部脅威データの品質と多様性をどのように向上させるか？
• RQ3 SPCAGANは、既存のGANと比較して、モード崩壊を回避し、より速く収束するか、その程度はどの程度か？
• RQ4 SPCAGANで生成されたデータを用いて学習したハイブリッドBNNモデルは、最先端のモデルを上回る異常検出性能を達成できるか？
• RQ5 特徴空間の幾何構造の観点から、合成データの分布は元のデータ分布とどの程度一致しているか？

主な発見

• SPCAGANはCERT v5.2データセットでF1スコア0.668を達成し、CGAN、WGAN-GP、ACGANを含むすべてのベースライン手法を上回った。
• t-SNE可視化により、マイノリティな内部活動のクラスタが明確に分離されていることから、収束速度が優れており、モード崩壊が完全に解消されたことが確認された。
• カーネル密度推定および複数の特徴量におけるPCA/t-SNE可視化により、SPCAGANで生成された合成データは実データと高い分布類似性を示した。
• SPCAGANデータを用いて学習したハイブリッドBNNモデルは、CERT v5.2データセットでマクロF1スコア0.917を達成し、マイノリティクラスに対する優れた性能を示した。
• SPCAGANで生成されたデータを用いた敵対的訓練により、モデルの耐性が向上し、敵対的摂動に対する脆弱性が低減した。
• 提案手法はCERT v5.2データセットで3.868のF1スコアを達成し、ACGAN（F1=0.621）やWGAN-GP（F1=0.674）といった既存手法を著しく上回った。

Figure 2: Architecture of CGAN and ACGAN