[論文レビュー] Machine Learning based Anomaly Detection for 5G Networks

Jordan Lam, Hassan Abbas|arXiv (Cornell University)|Jan 1, 2020

Network Security and Intrusion Detection参考文献 11被引用数 23

ひとこと要約

本論文は、5Gネットワークにおける異常なネットワークトラフィックを検出するために、ニューラルアーキテクチャサーチ（NAS）で最適化された畳み込みニューラルネットワーク（CNN）を用いたソフトウェア定義セキュリティ（SDS）フレームワークを提案する。ネットワークフロー・データを画像に類似した表現に変換することで、正常なトラフィックの識別において100％の正確性を達成し、異常の検出率も96.4％に達する。これは、複雑な5G環境における自動的かつスケーラブルなインシデント検出の強力な可能性を示している。

ABSTRACT

Protecting the networks of tomorrow is set to be a challenging domain due to increasing cyber security threats and widening attack surfaces created by the Internet of Things (IoT), increased network heterogeneity, increased use of virtualisation technologies and distributed architectures. This paper proposes SDS (Software Defined Security) as a means to provide an automated, flexible and scalable network defence system. SDS will harness current advances in machine learning to design a CNN (Convolutional Neural Network) using NAS (Neural Architecture Search) to detect anomalous network traffic. SDS can be applied to an intrusion detection system to create a more proactive and end-to-end defence for a 5G network. To test this assumption, normal and anomalous network flows from a simulated environment have been collected and analyzed with a CNN. The results from this method are promising as the model has identified benign traffic with a 100% accuracy rate and anomalous traffic with a 96.4% detection rate. This demonstrates the effectiveness of network flow analysis for a variety of common malicious attacks and also provides a viable option for detection of encrypted malicious network traffic.

研究の動機と目的

• IoTの普及、仮想化、ネットワークスライシングに伴い拡大する5Gネットワークの複雑さと攻撃面を軽減すること。
• 機械学習を活用してエンドツーエンドの5Gネットワーク保護を実現する、自動的で柔軟かつスケーラブルなインシデント検出システムの開発。
• CNNベースの異常検出に適した、ネットワークフロー・データを画像表現に変換する手法の有効性の評価。
• 自動機械学習（autoML）およびNASを用いて、ドメイン特化された高性能なディープラーニング・モデルを設計する実現可能性の提示。

提案手法

• 模擬的な5G環境から収集されたネットワークフロー・データ（正常および異常トラフィック両方を含む）を用いた。
• データは前処理され、CNNへの入力に適した画像に類似した表現に変換された。
• 特定のデータセット上でモデル性能を最適化するために、ニューラルアーキテクチャサーチ（NAS）を用いてCNNアーキテクチャを自動生成した。
• ラベル付きのネットワークフロー画像を用いた教師あり学習によりモデルを訓練し、正確性、再現率、F1スコアの指標で性能を評価した。
• 最終的なモデルはテストセット上で評価され、さまざまな攻撃タイプにおける検出正確性と耐性を評価した。
• 検出された脅威に基づく動的ポリシー更新が可能であるように設計され、リアルタイム展開を支援した。

実験結果

リサーチクエスチョン

• RQ1 画像に変換されたネットワークフロー・データで訓練されたCNNは、5Gネットワークにおける異常トラフィックを高い正確性で検出できるか？
• RQ2 手動設計なしで、NASが5Gネットワークの異常検出に最適なCNNアーキテクチャを生成する効果はいかほどか？
• RQ3 機械学習ベースのモデルは、フローレベル分析により暗号化された悪意あるトラフィックをどの程度効果的に検出できるか？
• RQ4 提案されたSDSフレームワークは、多様な5Gネットワークスライスおよび異種アーキテクチャにおいてスケーラブルかつ適応可能なセキュリティを提供できるか？
• RQ5 大量の正常および悪意あるトラフィックが存在する現実世界のシナリオにおいて、モデルは正確性と再現率のバランスをどのようにとるか？

主な発見

• 正常なトラフィックの再現率は100％に達し、誤検出なしにすべての正常フローを正しく識別した。
• 異常トラフィックの96.4％が検出され、異常予測の正確性も100％であった。
• 異常検出のF1スコアは0.982であり、正確性と再現率の良好なバランスを示している。
• 混同行列の結果、異常フローのうち3.6％が正常と誤分類された一方で、正常フローはすべて正しく識別された（誤検出なし）。
• NASで最適化されたCNNは、ベースラインアーキテクチャを上回る性能を示し、セキュリティ分野における自動ニューラルアーキテクチャサーチの価値を裏付けた。
• 結果から、ネットワークフローの画像ベース表現は、5Gネットワークにおけるディープラーニングベースの異常検出に実用的かつ効果的なアプローチであると示唆された。