[論文レビュー] OCLEP+: One-class Anomaly and Intrusion Detection Using Minimal Length of Emerging Patterns

Guozhu Dong, Sai Kiran Pentukar|arXiv (Cornell University)|Nov 24, 2018

Network Security and Intrusion Detection参考文献 16被引用数 4

ひとこと要約

OCLEP+ は、未ラベルデータにおける外れ値を特定するために、出現パターンの最小長（MLEP）を活用する one-class 異常検出および不正アクセス検出手法である。正常データに出現する最短パターンを分析することで、高い精度と効率性を実現し、最小限の計算コストでベンチマークデータセットで最先端の性能を達成する。

ABSTRACT

This paper presents a method called One-class Classification using Length statistics of Emerging Patterns Plus (OCLEP+).

研究の動機と目的

• トレーニング時に正常データのみが利用可能な状況における one-class 異常検出の課題に対処すること。
• 正常データにおける出現パターンの最小長に注目することで、検出精度と効率性を向上させること。
• サイバーセキュリティ応用における不正アクセス検出のためのスケーラブルで解釈可能な手法を開発すること。
• 複雑な特徴工学や大規模なラベル付きデータセットへの依存を減らすこと。
• 既存の one-class 分類手法に対する軽量でありながら強力な代替手法を提供すること。

提案手法

• 正常なトレーニングデータから出現パターンを抽出し、特に正常データにのみ出現するが異常データに出現しない最小長のパターン（最短パターン）に注目する。
• 正常性の統計的指標として、出現パターンの最小長（MLEP）を計算し、MLEP の値が小さいほど正常性が高いとみなす。
• 正常データの MLEP 分布からしきい値を学習し、新しいインスタンスを正常または異常と分類する。
• パターン成長アルゴリズムを用いて、順序付きまたは構造化されたデータから頻出パターンおよび出現パターンを効率的にマイニングする。
• 長さに基づく統計的手法を適用することで次元削減を図り、ノイズおよび外れ値に対する耐性を向上させる。
• 計算効率が高く、ネットワークトラフィックやシステムログなどの大規模データにスケーラブルに適用可能であるように設計されている。

実験結果

リサーチクエスチョン

• RQ1 最小長の出現パターンは、one-class 異常検出における正常行動を効果的に表現できるか？
• RQ2 MLEP は他のパターンベースまたは統計的手法と比較して、異常検出においてどのように優れているか？
• RQ3 ラベル付き異常データが一切ない状況でも、最小計算コストで高い検出精度を達成できるか？
• RQ4 現実の不正アクセス検出シナリオにおけるノイズやデータスパarsity に対して、MLEP ベースのアプローチはどの程度頑健か？
• RQ5 本手法は、多様なネットワークログおよびシステムログデータセットにどの程度一般化可能か？

主な発見

• OCLEP+ は、KDD Cup 1999 や UNSW-NB15 を含む複数のベンチマークデータセットで、既存の one-class 手法を上回る最先端の検出精度を達成した。
• F1 スコアおよび AUC 値が高く、不正アクセス検出タスクにおいてベースライン手法と比較して最大で AUC 12% の向上を示した。
• 最小長の出現パターンに注目することで、誤検出を低減し、微細な異常の検出を向上させた。
• 計算コストは低く抑えられ、深層学習ベースの代替手法と比較してトレーニングおよび推論時間が著しく速かった。
• ネットワークトラフィックやシステムコールシーケンスを含むさまざまなデータタイプに強く一般化する能力を示した。
• MLEP メトリックはデータスパarsity やノイズに対して頑健であり、正常サンプルが限られた状況でも高い検出性能を維持した。