[論文レビュー] LuNet: A Deep Neural Network for Network Intrusion Detection

Peilun Wu, Hui Guo|arXiv (Cornell University)|Sep 22, 2019

Network Security and Intrusion Detection参考文献 28被引用数 13

ひとこと要約

LuNetは、ネットワークトラフィックの空間的および時間的特徴を統合的にモデル化する階層的CNN+LSTMディープニューラルネットワークであり、ネットワークインシデント検出の精度を向上させることを目的としている。空間的および時間的特徴を段階的に精錬することで、UNSW-NB15で97.43%の検出率と2.89%の偽陽性率を達成し、最新の手法と比較して精度と偽アラーム低減の両面で優れた性能を示した。

ABSTRACT

Network attack is a significant security issue for modern society. From small mobile devices to large cloud platforms, almost all computing products, used in our daily life, are networked and potentially under the threat of network intrusion. With the fast-growing network users, network intrusions become more and more frequent, volatile and advanced. Being able to capture intrusions in time for such a large scale network is critical and very challenging. To this end, the machine learning (or AI) based network intrusion detection (NID), due to its intelligent capability, has drawn increasing attention in recent years. Compared to the traditional signature-based approaches, the AI-based solutions are more capable of detecting variants of advanced network attacks. However, the high detection rate achieved by the existing designs is usually accompanied by a high rate of false alarms, which may significantly discount the overall effectiveness of the intrusion detection system. In this paper, we consider the existence of spatial and temporal features in the network traffic data and propose a hierarchical CNN+RNN neural network, LuNet. In LuNet, the convolutional neural network (CNN) and the recurrent neural network (RNN) learn input traffic data in sync with a gradually increasing granularity such that both spatial and temporal features of the data can be effectively extracted. Our experiments on two network traffic datasets show that compared to the state-of-the-art network intrusion detection techniques, LuNet not only offers a high level of detection capability but also has a much low rate of false positive-alarm.

研究の動機と目的

• 既存のAIベースのネットワークインシデント検出システムにおける高い偽陽性率を是正すること。
• ネットワークトラフィックデータに内在する空間的および時間的特徴を活用して、検出精度を向上させること。
• CNNによる空間パターンの学習とLSTMによる時間的依存性の学習を同時に実現するディープラーニングアーキテクチャを設計すること。
• 最先端の機械学習およびディープラーニングモデルと比較して、検出率と偽陽性率の両面で優れた性能を達成すること。
• データ不足に起因する低頻度攻撃（例：バックドア、ワーム）の検出における限界を調査すること。

提案手法

• スタックされたCNNおよびLSTMサブネットワークから構成される階層的ディープニューラルネットワーク（LuNet）を提案する。
• 各レベルでCNNとLSTMの学習を同期化することで、情報損失を防ぎ、特徴の統合的抽出を保証する。
• 各畳み込み層および再帰層の後にバッチ正規化を適用し、学習の安定化と高速化を図る。
• 入力から出力へと特徴の粒度が細かくなる多段階アーキテクチャを採用する。
• 交差検証を用いて、ラベル付きデータセット（NSL-KDDおよびUNSW-NB15）上で教師あり学習を実施する。
• 階層的学習戦略を採用：初期層が粗い特徴を捉え、後続の層が細分化されたパターンを精錬する。

実験結果

リサーチクエスチョン

• RQ1 同期化されたCNN-LSTMアーキテクチャは、ネットワークトラフィックから空間的および時間的特徴を効果的に抽出できるか？
• RQ2 LuNetの階層的設計は、単独のCNNまたはLSTMモデルと比較して、検出性能を向上させるとともに偽陽性率を低減できるか？
• RQ3 限られた訓練サンプル（1.4%および1.1%）を有する低頻度攻撃クラス（例：バックドア、ワーム）に対して、LuNetはどのように性能を発揮するか？
• RQ4 検出率および偽陽性率の両面で、LuNetは最先端の機械学習およびディープラーニングモデルをどの程度上回るか？
• RQ5 バッチ正規化および多段階特徴学習は、モデルの収束性および一般化性能にどのような影響を及えるか？

主な発見

• LuNetはUNSW-NB15データセットで97.43%の検出率、85.35%の正答率、わずか2.89%の偽陽性率を達成した。
• 古典的機械学習モデルと比較すると、ディープラーニングモデル（LuNetを含む）は平均94.57%の検出率と4.72%の偽陽性率を示し、優れた性能を発揮した。
• LuNetは、個別のCNN（92.28% DR、3.84% FPR）、LSTM（92.76% DR、3.63% FPR）、HAST-IDS（93.65% DR、9.60% FPR）よりも、UNSW-NB15におけるマルチクラス分類で優れた性能を示した。
• 正常トラフィック、エクスプロイト、DoS、シェルコード、レコンナッサンス攻撃に対して、高い検出率と低い偽陽性率を達成した。
• バックドアおよびワーム攻撃は頻繁にエクスプロイトと誤分類される傾向にあり、これは特徴の類似性と訓練データの不足（それぞれ1.4%および1.1%）に起因すると考えられる。
• UNSW-NB15における混同行列の分析から、LuNetが特にU2RおよびR2L攻撃の分類に苦戦していることが確認され、これは特徴の重複またはデータセット内での表現不足が要因であると示唆された。