[論文レビュー] Nested Multiple Instance Learning in Modelling of HTTP network traffic

Tomáš Pevný, Marek Dědič|arXiv (Cornell University)|Feb 10, 2020

Network Security and Intrusion Detection参考文献 34被引用数 5

ひとこと要約

本論文は、手作業で設計された特徴量を用いないで階層的なURL構造を活用し、感染したコンピュータの検出を目的としたネスト型複数インスタンス学習（MIL）フレームワークを提案する。各コンピュータの全トラフィックをURLインスタンスの「バッグ」として扱い、3-gramsなどのトークンレベル表現を用いることで、手作業で設計された特徴量や畳み込みニューラルネットワーク（CNN）に基づく先行研究に比べ、特に未学習のマルウェアファミリーのゼロショット検出において優れた性能を発揮する。

ABSTRACT

In many interesting cases, the application of machine learning is hindered by data having a complicated structure stimulated by a structured file-formats like JSONs, XMLs, or ProtoBuffers, which is non-trivial to convert to a vector / matrix. Moreover, since the structure frequently carries a semantic meaning, reflecting it in the machine learning model should improve the accuracy but more importantly it facilitates the explanation of decisions and the model. This paper demonstrates on the identification of infected computers in the computer network from their HTTP traffic, how to achieve this reflection using recent progress in multiple-instance learning. The proposed model is compared to complementary approaches from the prior art, the first relying on human-designed features and the second on automatically learned features through convolution neural networks. In a challenging scenario measuring accuracy only on unseen domains/malware families, the proposed model is superior to the prior art while providing a valuable feedback to the security researchers. We believe that the proposed framework will found applications elsewhere even beyond the field of security.

研究の動機と目的

• 機械学習において人為的特徴量に依存せずに、意味的に構造化された階層的ネットワークトラフィック（例：URL）をモデル化する課題に取り組むこと。
• 個々のURLではなく、1台のコンピュータごとの完全なHTTPトラフィックを分析することで、感染ホストの検出を向上させ、微細な行動的異常を検出可能にする。
• 分類意思決定に寄与する具体的なURLコンponentsを特定することで、モデルの解釈可能性を向上させること。
• データの階層構造を学習プロセスに反映するスケーラブルでエンドツーエンドで訓練可能なフレームワークを構築し、未学習のマルウェアファミリーへの一般化を向上させること。
• 実世界のネットワークトラフィックを用いた、クロスドメインでゼロショット評価を含めた、先行手法との比較を通じて、フレームワークの優位性を実証すること。

提案手法

• モデルは、各コンピュータのHTTPトラフィックを「バッグ」として扱い、各URLをスキーム、ホスト名、パス、クエリといった構造化コンポーネントに分解し、3-gramsを用いてトークン化する。
• ネスト型MILアーキテクチャを採用：内側のMIL問題が個々のURLトークン（例：3-grams）を処理し、外側のMILモデルがそれらを統合して、全コンピュータを感染済みまたはクリーンと分類する。
• 固定長のパディングや切り出しを回避するため、可変長シーケンスを階層的MILによってモデル化することで、構造的意味を保持する。
• エンドツーエンドの訓練を可能にするために、URLトークンの表現を学習し、インスタンス（URL）およびバッグ（コンピュータ）の階層で集約する微分可能なスコア関数を用いる。
• 階層的データにわたるネスト型MIL構造の簡素化と再利用を促進するため、カスタムライブラリ（Mill.jl）に実装する。
• インスタンスレベルのラベル付けを必要とせず、コンピュータレベルでの粗いラベル（感染済みまたは未感染）のみを用いてエンドツーエンドで訓練する。

実験結果

リサーチクエスチョン

• RQ1 手作業で設計された特徴量に依存せずに、階層的なURL構造をモデル化するネスト型複数インスタンス学習フレームワークは、マルウェア検出の精度を向上させることができるか？
• RQ2 個々のURLではなく、全コンピュータのトラフィックをモデル化することで、正当なサーバー上でトラフィック分布をわずかに変更するスパイクなマルウェアの検出が向上するか？
• RQ3 感染分類に寄与した具体的なURLコンponentsを特定することで、モデルは解釈可能なフィードバックを提供できるか？
• RQ4 提案手法は、以前に見られなかったマルウェアファミリーまたはドメインにおいて、ゼロショット評価で先行手法を上回る性能を示すか？
• RQ5 このフレームワークは、複雑な階層的データ構造を有するネットワークセキュリティ以外の分野へも一般化可能か？

主な発見

• 提案手法は、手作業で設計された特徴量（R. Forestモデル）やCNNベースのアプローチ（exPose）に基づく先行研究に比べ、未学習のマルウェアファミリーのゼロショット検出において顕著に優れた性能を発揮する。
• 未学習のドメインにおいても優れた正確性を達成しており、階層的かつ構造に配慮した設計のおかげで、強力な一般化能力を示している。
• 具体的なURLトークン（例：3-grams）が陽性分類に寄与したことを特定することで、解釈可能なフィードバックを提供し、行動可能なコンpromisedインジケーターを生成可能である。
• コンピュータレベルでの粗いラベルからのエンドツーエンド訓練が可能であり、インスタンスレベルのラベル付けと比較して、ラベル付け作業の負荷を軽減し、正確性を向上させている。
• URLがパディングや切り出しを行っていなくても、ネスト型MILアプローチの本質的な柔軟性のおかげで、モデルの性能が安定している。
• 著者らは、階層的データを有する他の分野におけるフレームワークの採用・拡張を促進するため、Mill.jlライブラリを公開している。