[論文レビュー] Intrusion Detection: A Deep Learning Approach

Ishaan Shivhare, Joy Purohit+3 more|arXiv (Cornell University)|Jun 13, 2023

Network Security and Intrusion Detection被引用数 4

ひとこと要約

本稿では、畳み込みニューラルネットワーク（CNN）、長短期記憶（LSTM）ネットワーク、サポートベクターマシン（SVM）を組み合わせたハイブリッドディープラーニングモデルを、マルチクラスのインシデント検出に提案する。アーキテクチャはCNNで空間的特徴を捉え、LSTMで時間的依存関係を捉え、分類精度を向上させ、ベンチマークデータセット上で従来の機械学習手法や単独のディープラーニング手法を上回る性能を発揮する。

ABSTRACT

Network intrusions are a significant problem in all industries today. A critical part of the solution is being able to effectively detect intrusions. With recent advances in artificial intelligence, current research has begun adopting deep learning approaches for intrusion detection. Current approaches for multi-class intrusion detection include the use of a deep neural network. However, it fails to take into account spatial relationships between the data objects and long term dependencies present in the dataset. The paper proposes a novel architecture to combat intrusion detection that has a Convolutional Neural Network (CNN) module, along with a Long Short Term Memory(LSTM) module and with a Support Vector Machine (SVM) classification function. The analysis is followed by a comparison of both conventional machine learning techniques and deep learning methodologies, which highlights areas that could be further explored.

研究の動機と目的

• ネットワークインシデントデータにおける空間的関係や長期的依存関係を捉えることのできない既存のディープラーニングモデルの限界を解決すること。
• CNN、LSTM、SVMを統合したハイブリッドディープラーニングアーキテクチャを構築し、マルチクラスインシデント検出の性能を向上させること。
• 提案モデルを従来の機械学習手法および単独のディープラーニングアプローチと比較し、性能向上を評価すること。
• 特徴表現およびシーケンスモデリングに関する、現在のインシデント検出システムにおけるギャップを特定すること。

提案手法

• モデルはCNNモジュールを用いて、パケットレベルの特徴における局所的パターンを捉えるネットワークトラフィックデータからの空間的特徴を抽出する。
• LSTMモジュールは、データ内の順序的依存関係をモデル化し、ネットワークフロー全体にわたる長期的な時間的関係を学習する。
• CNN-LSTMエンコーダの出力をSVM分類器に供給し、最終的なマルチクラスインシデント検出を実行する。
• アーキテクチャは、パブリックなインシデント検出データセット上でエンドツーエンドに訓練され、最適なパフォーマンスを得るためにハイパーパrameterが調整される。
• ディープラーニングコンponentsへの入力前に、ネットワークトラフィックデータの正規化およびベクトル化を特徴工学的手法で行う。
• 標準的な指標（精度、適合率、再現率、F1スコア）を用いて、ベンチマークデータセット上でモデルを評価する。

実験結果

リサーチクエスチョン

• RQ1 単独のディープラーニングおよび従来の機械学習モデルと比較して、ハイブリッドCNN-LSTM-SVMモデルはマルチクラスインシデント検出精度を向上させることができるか？
• RQ2 CNNおよびLSTMモジュールは、ネットワークインシデントデータにおける空間的および時間的特徴をどれほど効果的に捉えられるか？
• RQ3 ディープラーニング特徴とSVM分類器を組み合わせた際の検出パフォーマンスへの影響は何か？
• RQ4 モデルのどのコンponentが検出率の向上および誤検出の低減に最も寄与しているか？

主な発見

• 提案されたCNN-LSTM-SVMモデルは、ベンチマークデータセット上で従来の機械学習モデルおよび単独のディープラーニングアプローチよりも高い検出精度を達成した。
• CNNおよびLSTMモジュールの統合により、空間的および時間的特徴を活用することで、複雑な攻撃パターンの検出能力が顕著に向上した。
• SVM分類器は、特に微妙なまたはレアな攻撃クラスを区別する能力を高め、最終的な分類パフォーマンスを向上させた。
• ベースラインモデルと比較して、F1スコアが向上し、誤検出率が低減したため、一般化性能およびロバスト性に優れていることが示された。