[論文レビュー] Multi-class Classification Based Anomaly Detection of Insider Activities

R G Gayathri, Atul Sajjanhar+2 more|arXiv (Cornell University)|Feb 15, 2021

Network Security and Intrusion Detection参考文献 15被引用数 7

ひとこと要約

本論文は、データの不均衡を解消するために条件付き生成対抗ネットワーク（CGAN）と教師あり深層学習を組み合わせることで、インサイダー脅威検出のためのマルチクラス異常検出フレームワークを提案する。少数クラスの合成サンプルを生成することで、不均衡なインサイダー行動データにおける分類性能が向上し、ベンチマークデータセット上で既存の手法よりも優れた結果を示している。

ABSTRACT

Insider threats are the cyber attacks from within the trusted entities of an organization. Lack of real-world data and issue of data imbalance leave insider threat analysis an understudied research area. To mitigate the effect of skewed class distribution and prove the potential of multinomial classification algorithms for insider threat detection, we propose an approach that combines generative model with supervised learning to perform multi-class classification using deep learning. The generative adversarial network (GAN) based insider detection model introduces Conditional Generative Adversarial Network (CGAN) to enrich minority class samples to provide data for multi-class anomaly detection. The comprehensive experiments performed on the benchmark dataset demonstrates the effectiveness of introducing GAN derived synthetic data and the capability of multi-class anomaly detection in insider activity analysis. Moreover, the method is compared with other existing methods against different parameters and performance metrics.

研究の動機と目的

• 実世界のラベル付きデータが不足するため、インサイダー脅威検出におけるデータの不均衡の課題に対処すること。
• 多様なインサイダー攻撃パターンを検出するため、二値分類ではなくマルチクラス分類の可能性を検討すること。
• 生成モデルを活用して少数クラスのインサイダー脅威を補強する深層学習フレームワークを開発すること。
• CGANから得られる合成データが、異常検出性能を向上させる効果を評価すること。
• 複数の指標とパrameterを用いて、既存の最先端手法と比較して、提案手法の有効性を評価すること。

提案手法

• 不均衡なインサイダー脅威クラスのための合成サンプルを生成するために、条件付き生成対抗ネットワーク（CGAN）を採用する。
• 生成された合成データを用いて、インサイダー行動のマルチクラス分類を実行する深層ニューラルネットワークを訓練する。
• 生成器をクラスラベルで条件づけることで、合成サンプルが特定のインサイダー脅威タイプと整合するようにする。
• 識別器を、本物のインサイダー行動サンプルと合成サンプルを区別できるように訓練することで、データ品質と分布を向上させる。
• 拡張されたデータセット上で教師あり学習を適用し、インサイダー行動を複数の脅威カテゴリに分類する。
• ベンチマークデータセット上で、標準的な深層学習損失関数と評価指標を用いてモデルを最適化する。

実験結果

リサーチクエスチョン

• RQ1 CGANによって生成された合成データは、インサイダー脅威検出におけるクラスの不均衡を効果的に緩和できるか？
• RQ2 多様なインサイダー脅威を検出する際、マルチクラス分類は二値分類よりも優れているか？
• RQ3 生成モデルの統合が、不均衡なインサイダー行動データにおける検出性能をどの程度向上させるか？
• RQ4 提案手法は、さまざまな評価指標において、既存の最先端手法と比較してどの程度の性能を示すか？
• RQ5 ハイパーパrameterの変更が、モデルの分類精度および異常検出能力に与える影響は何か？

主な発見

• 提案手法は、CGANからの合成データを活用することで、少数クラスのインサイダー脅威の検出性能を顕著に向上させた。
• マルチクラス分類は、多様なインサイダー脅威パターンを捉える点で、二値分類を上回った。
• CGANによって生成されたデータの統合により、ベースラインモデルと比較してF1スコアとAUC値が向上した。
• 精度、再現率、F1スコアを含むさまざまな性能指標において、モデルは高いロバスト性を示した。
• 包括的な実験により、ベンチマークインサイダー脅威データセット上での手法の有効性が確認された。
• さまざまなパrameter設定下でも、既存手法に対して一貫した改善が得られた。