[論文レビュー] Online Self-Supervised Deep Learning for Intrusion Detection Systems

Mert Nakıp, Erol Gelenbe|arXiv (Cornell University)|Jun 22, 2023

Network Security and Intrusion Detection参考文献 56被引用数 5

ひとこと要約

本論文は、オフラインデータ収集、人為的ラベル付け、事前学習を一切不要とし、動的変化するIoTネットワークトラフィックにリアルタイムで適応可能な、完全にオンラインで自己教師ありのインライン検出フレームワーク（SSID）を提案する。信頼度に基づくオンライン学習と自己自己関連型ディープランダムニューラルネットワークを用いることで、SSIDは高い検出精度を達成し、特にIoTデバイスにおけるボットネットおよびDoS攻撃の検出において、オフライン学習および段階的学習手法を上回る性能を示す。

ABSTRACT

This paper proposes a novel Self-Supervised Intrusion Detection (SSID) framework, which enables a fully online Deep Learning (DL) based Intrusion Detection System (IDS) that requires no human intervention or prior off-line learning. The proposed framework analyzes and labels incoming traffic packets based only on the decisions of the IDS itself using an Auto-Associative Deep Random Neural Network, and on an online estimate of its statistically measured trustworthiness. The SSID framework enables IDS to adapt rapidly to time-varying characteristics of the network traffic, and eliminates the need for offline data collection. This approach avoids human errors in data labeling, and human labor and computational costs of model training and data collection. The approach is experimentally evaluated on public datasets and compared with well-known {machine learning and deep learning} models, showing that this SSID framework is very useful and advantageous as an accurate and online learning DL-based IDS for IoT systems.

研究の動機と目的

• 静的で事前にラベル付けされたデータセットに依存せずに、時間的に変化するIoTネットワークトラフィックに適合可能なインライン検出システム（IDS）の課題に対処すること。
• 従来の機械学習ベースのIDSにおけるオフラインデータ収集およびモデル学習に伴う人的介入、ラベルミス、高い計算コストを回避すること。
• IDS自身の意思決定および信頼度推定に基づく、完全にオンラインで自己教師あり学習を用いて、異常検出型IDSのパrameterをリアルタイムで完全に適応可能にする仕組みを提供すること。
• 特に進化するボットネットおよびDDoS攻撃の下で、動的変化するIoT環境における不正検出精度および損傷を受けたデバイスの特定精度を向上させること。
• オンライン自己教師あり学習が、ラベル付きデータを必要とせずに、オフラインおよび段階的学習手法と同等またはそれ以上の性能を達成できることを実証すること。

提案手法

• 初期学習段階（展開ネットワークに迅速に適応）と継続的オンライン学習段階の2段階からなる学習フレームワークを提案する。
• 入力トラフィックパケットの再構築を試み、再構築誤差に基づいて異常を検出する自己自己関連型ディープランダムニューラルネットワーク（Auto-Associative DRNN）を用いる。
• 自らラベル付けしたデータに対する汎化能力と正確性を測定することで、IDSの信頼性をリアルタイムで推定する。
• IDS自身の意思決定およびその意思決定に対する信頼度（信頼度）に基づいて、入力トラフィックパケットを動的に選別・ラベル付けし、学習用に使用する。
• 信頼度、選択された学習パケット、および現在のネットワークセキュリティ状態に基づいて、モデルパラメータの更新タイミングを最適化する。
• 任意の異常検出型IDSが、外部データや人的監視が一切不要な状態で、完全にオンラインで自己教師ありの形で運用可能になるようにする。

Figure 1: Detection and learning processes of IDS within the Fully Online Self-Supervised Intrusion Detection (SSID) framework

実験結果

リサーチクエスチョン

• RQ1 自己教師ありで完全にオンラインの学習フレームワークは、IoT向け機械学習ベースのIDSにおいて、オフラインデータ収集および人為的ラベル付けの必要性を排除できるか？
• RQ2 提案されたSSIDフレームワークで学習されたIDSの性能は、オフラインおよび段階的学習手法と比較して、悪意のあるトラフィックの検出においてどのように異なるか？
• RQ3 進化するボットネットおよびDDoS攻撃の下で、SSIDフレームワークは損傷を受けたIoTデバイスの特定をどの程度向上できるか？
• RQ4 SSIDにおける信頼度に基づく意思決定メカニズムは、動的変化するネットワーク環境において、信頼性があり適応的なパrameter更新をどのように保証するか？
• RQ5 SSIDフレームワークは、従来の訓練パイプラインに伴う計算コストおよび人的労力の削減を図りながら、高い検出精度を維持できるか？

主な発見

• DDoS TCP攻撃時における損傷デバイスの検出において、SSIDフレームワークは中央値精度が91%に達し、逐次学習を用いたCDISの73%を大きく上回った。
• DDoS UDP攻撃時、SSIDは全IPアドレスで中央値のバランス精度が88%以上に向上し、逐次学習手法と比較して11%の向上を示した。
• DoS HTTP攻撃時、SSIDは平均性能を2%向上させ、全テストデバイスで少なくとも75%のバランス精度を達成した。
• DDoS HTTP攻撃時、SSIDとCDIS（逐次学習）の性能はほぼ同等であったが、SSIDは個々のIPアドレス間でより一貫性のある結果を示した。
• Kitsuneデータセット上でも、SSIDフレームワークはオフライン学習や段階的学習のベースラインを上回り、オフライン学習やラベル付きデータが一切不要な状態で悪意あるトラフィック検出性能を発揮した。
• データ収集、ラベル付け、事前学習実験の必要性を排除することで、人的労力および計算コストの依存度を低減した。

Figure 2: Overall structure of the IDS.