[論文レビュー] Improving the Performance of Multi-class Intrusion Detection Systems using Feature Reduction

Yasmen Wahba, Ehab ElSalamouny+1 more|arXiv (Cornell University)|Jul 23, 2015

Network Security and Intrusion Detection参考文献 25被引用数 43

ひとこと要約

本稿では、相関に基づく特徴選択（CFS）と情報ゲインを組み合わせたハイブリッド特徴選択手法を提案し、マルチクラスインシデント検出システム（IDS）における不要で重複する特徴の削減を図る。NSL-KDDデータセットを用い、ナイーブベイズを弱学習器として用いたアダプティブブースティングを適用することで、特徴数を減らしつつも高い検出精度を達成し、従来の5クラスIDS手法を上回る性能を発揮した。グリーディー探索戦略と最適化された特徴サブセット選択により、性能が向上した。

ABSTRACT

Intrusion detection systems (IDS) are widely studied by researchers nowadays due to the dramatic growth in network-based technologies. Policy violations and unauthorized access is in turn increasing which makes intrusion detection systems of great importance. Existing approaches to improve intrusion detection systems focus on feature selection or reduction since some features are irrelevant or redundant which when removed improve the accuracy as well as the learning time. In this paper we propose a hybrid feature selection method using Correlation-based Feature Selection and Information Gain. In our work we apply adaptive boosting using naïve Bayes as the weak (base) classifier. The key point in our research is that we are able to improve the detection accuracy with a reduced number of features while precisely determining the attack. Experimental results showed that our proposed method achieved high accuracy compared to methods using only 5-class problem. Correlation is done using Greedy search strategy and naïve Bayes as the classifier on the reduced NSL-KDD dataset.

研究の動機と目的

• マルチクラスインシデント検出システム（IDS）における高次元で重複・不要な特徴の課題に対処すること。
• 最小で最適な特徴サブセットの選択により、検出精度を向上させるとともに、学習時間を短縮すること。
• 相関と情報ゲインを組み合わせたハイブリッド特徴選択手法を構築し、特徴の関連性評価を向上させること。
• アダプティブブースティングを用い、ナイーブベイズをベース分類器として採用した手法をNSL-KDDデータセット上で評価すること。
• 特徴削減が攻撃分類の正確性を損なわせることなく、IDSの性能を顕著に向上させられることを示すこと。

提案手法

• 相関に基づく特徴選択（CFS）と情報ゲインを組み合わせることで、最も関連性の高い特徴を特定するハイブリッド特徴選択アプローチを設計した。
• CFSは、特徴サブセットがクラスと相関が高い一方で、特徴間の冗長性を最小限に抑える基準で評価する。
• 情報ゲインは、各特徴がインシデントクラスを予測する上でどれほど関連しているかを測定し、ノイズや不要な属性をフィルタリングするのを支援する。
• 組み合わせたCFS-IG評価に基づき、グリーディー探索戦略を用いて反復的に最適な特徴サブセットを選択した。
• 特徴数を削減したサブセット上で、ナイーブベイズを弱学習器として用いたアダプティブブースティング（AdaBoost）を適用し、全体の検出性能を向上させた。
• 実験は、KDD Cup 1999の洗練版であるNSL-KDDデータセット上で実施し、現実的かつ標準化されたベンチマークを確保した。

実験結果

リサーチクエスチョン

• RQ1 CFSと情報ゲインを組み合わせたハイブリッド特徴選択手法は、マルチクラスインシデント検出システムの精度を向上させることができるか？
• RQ2 このハイブリッド手法による特徴削減は、学習時間とモデルの複雑さにどのような影響を与えるか？
• RQ3 特徴数を削減したサブセット上で、アダプティブブースティングとナイーブベイズを統合することで、ベースライン手法と比較して検出性能が向上するか？
• RQ4 グリーディー探索戦略は、マルチクラスIDSの文脈において、特徴サブセット選択をどの程度最適化できるか？
• RQ5 提案手法は、少ない特徴数で、さまざまな種類のサイバー攻撃を高精度に正確に同定・分類できるか？

主な発見

• 提案されたハイブリッド特徴選択手法は、5クラス問題定式化のみを用いた手法よりも高い検出精度を達成した。
• 特徴削減により、分類性能に影響を与えることなく、学習効率が顕著に向上した。
• CFSと情報ゲインの組み合わせは、関連性の高い特徴と冗長性の低い特徴を識別する点で、個別の特徴選択手法を上回った。
• 特徴数を削減したサブセット上でアダプティブブースティングとナイーブベイズを組み合わせたことで、多様な攻撃タイプを正確に検出する能力が向上した。
• グリーディー探索戦略により、コンactかつ高性能な特徴サブセットが効果的に特定され、モデルの一般化性能の向上に寄与した。
• NSL-KDDデータセット上での実験結果から、提案手法が異なる攻撃カテゴリの分類においても高い正確性を維持していることが確認された。