[論文レビュー] Hybrid Model For Intrusion Detection Systems

Baha Rababah, Srija Srivastava|arXiv (Cornell University)|Mar 19, 2020

Network Security and Intrusion Detection参考文献 19被引用数 11

ひとこと要約

本稿では、スタッキングアンサンブル手法を用いて意思決定木とランダムフォレストを組み合わせたハイブリッドインシデント検出モデルを提案し、CICIDS2017データセットでは98%の正確性と98%の正確性を達成し、NSL-KDDでは85.2%の正確性と86.2%の正確性を示した。これは、現実のネットワークトラフィックデータセットにおいて、単体のモデルよりも優れた性能を示している。

ABSTRACT

With the increasing number of new attacks on ever growing network traffic, it is becoming challenging to alert immediately any malicious activities to avoid loss of sensitive data and money. This is making intrusion detection as one of the major areas of concern in network security. Anomaly based network intrusion detection technique is one of the most commonly used technique. Depending upon the dataset used to test those techniques, the accuracy varies. Most of the times this dataset does not represent the real network traffic. Considering this, this project involves analysis of different machine learning algorithms used in intrusion detection systems, when tested upon two datasets which are similar to current real world network traffic(CICIDS2017) and an improvement of KDD 99 (NSL-KDD). After the analysis of different intrusion detection systems on both the datasets, this project aimed to develop a new hybrid model for intrusion detection systems. This new hybrid approach combines decision tree and random forest algorithms using stacking scheme to achieve an accuracy of 85.2% and precision of 86.2% for NSL-KDD dataset, and achieve an accuracy of 98% and precision of 98% for CICIDS2017 dataset.

研究の動機と目的

• KDD99のような古く、代表的でないデータセットに依存する既存のインシデント検出システムの限界を解消すること。
• CICIDS2017やNSL-KDDのような現代的で現実的なネットワークトラフィックデータセットを活用することで、異常ベースのインシデント検出における検出正確性と正確性を向上させること。
• スタッキングアンサンブルアプローチを用いて、意思決定木とランダムフォレストの長所を組み合わせたハイブリッド機械学習モデルを構築すること。
• 提案モデルの性能を、現実のネットワークトラフィック状態に近い二つのデータセット上で評価すること。
• ベンチマークデータセットおよび現代的データセットの両方で、個々のモデルよりも高い検出正確性と正確性を達成すること。

提案手法

• 提案モデルは、ベースモデル（意思決定木とランダムフォレスト）をNSL-KDDおよびCICIDS2017データセットで学習するスタッキングアンサンブル学習フレームワークを採用している。
• ベースモデルの出力をメタラーナーの入力特徴として用い、それらの予測を統合することで、全体の分類性能を向上させている。
• 標準的な機械学習評価指標（正確性、正確性、再現率、F1スコア）を用いて、モデルの訓練および検証が行われている。
• 使用されたデータセット（NSL-KDDおよびCICIDS2017）は、カテゴリカル特徴の処理、数値特徴の正規化、クラス分布のバランス調整のために事前処理されている。
• ハイパーパramータチューニングが、ベースモデルおよびメタラーナーの性能最適化に適用されている。
• 最終的なモデルはテストセット上で評価され、未学習のネットワークトラフィックパターンへの一般化能力が測定されている。

実験結果

リサーチクエスチョン

• RQ1 現実のネットワークトラフィックに類似したデータセット上で、意思決定木とランダムフォレストを組み合わせたハイブリッドアンサンブルモデルは、個々のモデルよりもインシデント検出正確性を向上させることができるか？
• RQ2 スタッキングベースのハイブリッドモデルの性能は、NSL-KDDとCICIDS2017データセットの両方において、正確性と正確性の観点でどのように比較されるか？
• RQ3 CICIDS2017のような現代的で現実的なデータセットを用いることで、レガシーデータセットと比較してインシデント検出システムの性能がどの程度向上するか？
• RQ4 スタッキングアンサンブルアプローチは、意思決定木とランダムフォレストの補完的長所を効果的に活用し、誤検出を低減して検出信頼性を向上させることができるか？
• RQ5 多様なトラフィックパターンにおけるネットワークインシデント検出の高精度および高再現率を達成するための、ハイブリッドモデルの最適な設定は何か？

主な発見

• ハイブリッドモデルはCICIDS2017データセットで98%の正確性と98%の正確性を達成し、現代的で現実的なネットワークトラフィックにおける強力な性能を示している。
• NSL-KDDデータセットでは、85.2%の正確性と86.2%の正確性を達成し、このデータセットの既知の制限にもかかわらず一貫した性能を示している。
• スタッキングアンサンブルアプローチにより、単体の意思決定木またはランダムフォレストモデルと比較して、検出性能が顕著に向上した。
• CICIDS2017というより代表的な実世界データセットを用いることで、NSL-KDDよりも顕著に高い正確性が達成された。これは、データセットの関連性の重要性を強調している。
• ハイブリッドモデルは、DoS、U2R、R2L攻撃を含む多様なインシデントタイプを処理する上で、クラス全体にわたる高い正確性を示した。
• 結果から、スタッキングによる複数の学習器の統合が、インシデント検出システムにおける一般化性能と検出信頼性の向上に有効であることが確認された。