[論文レビュー] Network Phenotyping for Network Traffic Classification and Anomaly Detection

Minhui Zou, Chengliang Wang+2 more|arXiv (Cornell University)|Mar 5, 2018

Network Security and Intrusion Detection参考文献 13被引用数 3

ひとこと要約

本論文は、画像処理および機械学習を用いてネットワークトラフィックパターンを分類し、サイバー物理システム（CPS）における異常を検出するネットワークフェノタイピングフレームワークを提案する。ネットワークリソース使用量を空間的・時間的テクスチャ特徴に変換し、PCAによる次元削減を施したk-NN分類を適用することで、4つの実世界の分散型アプリケーションの分類において95%を超える正確性を達成し、異常トラフィックを10–30%のトラフィック増加とともに効果的に検出できる。

ABSTRACT

This paper proposes to develop a network phenotyping mechanism based on network resource usage analysis and identify abnormal network traffic. The network phenotyping may use different metrics in the cyber physical system (CPS), including resource and network usage monitoring, physical state estimation. The set of devices will collectively decide a holistic view of the entire system through advanced image processing and machine learning methods. In this paper, we choose the network traffic pattern as a study case to demonstrate the effectiveness of the proposed method, while the methodology may similarly apply to classification and anomaly detection based on other resource metrics. We apply image processing and machine learning on the network resource usage to extract and recognize communication patterns. The phenotype method is experimented on four real-world decentralized applications. With proper length of sampled continuous network resource usage, the overall recognition accuracy is about 99%. Additionally, the recognition error is used to detect the anomaly network traffic. We simulate the anomaly network resource usage that equals to 10%, 20% and 30% of the normal network resource usage. The experiment results show the proposed anomaly detection method is efficient in detecting each intensity of anomaly network resource usage.

研究の動機と目的

• マルウェアやリモート攻撃の影響を受ける低リソースのCPSデバイスにおける信頼性の検証という課題に対処すること。
• 大規模なCPS展開においてスケーラビリティと動的行動分析に欠ける既存のリモートアテステーション手法の限界を克服すること。
• ネットワークリソース使用メトリクスのみを用いて、スケーラブルで軽量な方法でネットワークトラフィックパターンを分類し、異常を検出すること。
• 高帯域幅や高計算負荷を要しない空間的・時間的特徴の分析により、CPSデバイスのリアルタイム監視を可能にすること。
• 分散型CPSアプリケーションにおける包括的かつシステムワイドな信頼性検証メカニズムとしてのネットワークフェノタイピングの実現可能性を実証すること。

提案手法

• 時間的系列のネットワークリソース使用量データを、空間的特徴抽出技術を用いて2次元のテクスチャに類似した表現に変換する。
• 画像処理手法を用いて、各時刻におけるネットワーク使用パターンから空間的テクスチャ特徴を抽出する。
• 時間窓にわたる抽出されたテクスチャ特徴の時間的変化を分析し、動的通信パターンを捉える。
• 主成分分析（PCA）を適用して特徴次元を削減し、情報の95%を保持しながら210次元のデータを11次元に削減する。
• 最適化されたk値を用いたk-NN分類を用いて、低次元化された特徴集合に基づき通信パターンを識別する。
• 認識精度を基準にしきい値を設定した異常検出メカニズムを構築；95%未満の精度を示す偏差を異常行動としてマークする。

実験結果

リサーチクエスチョン

• RQ1 ネットワークリソース使用量のパターンは、CPSにおける通信行動の正確な分類を可能にする画像に類似した表現に効果的に変換可能か？
• RQ2 ネットワークリソース使用量の空間的および時間的分析を組み合わせることで、分散型アプリケーションの分類精度はどの程度向上するか？
• RQ3 本手法は、トラフィック増加率が10%、20%、30%の異なる強度の異常トラフィックを効果的に検出できるか？
• RQ4 次元削減と軽量分類を用いることで、計算負荷を低減しつつも高い正確性を維持できるか？
• RQ5 スライディングウィンドウサイズは、通信パターン検出の認識正確性と時間的粒度のトレードオフにどのように影響するか？

主な発見

• スライディングウィンドウサイズが190秒の場合、提案されたネットワークフェノタイピング手法は認識正確性が95%を超える。特にDGDアプリケーションでは最高で97%の正確性を達成した。
• 100秒のスライディングウィンドウでは、正確性と粒度のバランスが保たれ、集約処理で93%、ブロードキャストで90%、コンセンサスで93%、DGDで97%の正確性を達成した。
• 10%のトラフィック増加を模擬した異常状態では、認識正確性が著しく低下する（例：集約処理で93%から78%に低下）。これは、効果的な異常検出を示している。
• 20%および30%の異常強度では、認識正確性がさらに低下する（例：集約処理で60%および46%に低下）。これは、本手法が異常行動に対して感受性を示していることを確認している。
• 95%のしきい値は、あらゆるアプリケーションで異常トラフィックを効果的に特定でき、30%のトラフィック増加という高強度攻撃時でも、40回のテスト実行において正確性が維持された。
• PCAによる次元削減により、210次元から11次元に特徴空間が削減され、95%の情報を保持したまま、計算コストを顕著に低減したが、性能に劣化は見られなかった。