[論文レビュー] Pelican: A Deep Residual Network for Network Intrusion Detection

Peilun Wu, Hui Guo+1 more|arXiv (Cornell University)|Jan 19, 2020

Network Security and Intrusion Detection参考文献 35被引用数 7

ひとこと要約

Pelicanは、ネットワークトラフィックの空間的および時間的特徴を捉えるために、残差ブロック内にCNNとRNNを統合した深層畳み込み残差ニューラルネットワークである。UNSW-NB15で97.75%の検出率とたった1.30%の誤検出率を達成し、既存の機械学習ベースの手法よりも顕著に誤検出を低減しながら高い精度を維持するという、最先端の性能を発揮する。

ABSTRACT

One challenge for building a secure network communication environment is how to effectively detect and prevent malicious network behaviours. The abnormal network activities threaten users' privacy and potentially damage the function and infrastructure of the whole network. To address this problem, the network intrusion detection system (NIDS) has been used. By continuously monitoring network activities, the system can timely identify attacks and prompt counter-attack actions. NIDS has been evolving over years. The current-generation NIDS incorporates machine learning (ML) as the core technology in order to improve the detection performance on novel attacks. However, the high detection rate achieved by a traditional ML-based detection method is often accompanied by large false-alarms, which greatly affects its overall performance. In this paper, we propose a deep neural network, Pelican, that is built upon specially-designed residual blocks. We evaluated Pelican on two network traffic datasets, NSL-KDD and UNSW-NB15. Our experiments show that Pelican can achieve a high attack detection performance while keeping a much low false alarm rate when compared with a set of up-to-date machine learning based designs.

研究の動機と目的

• 機械学習ベースのネットワークインシデント検出システム（NIDS）における高い誤検出率という問題に対処すること。これは、リアルタイム応答性と運用効率を損なう要因である。
• 深層ニューラルネットワーク（DNN）の学習過程における性能劣化を調査し、その原因を緩和すること。これはDNN分野で知られている課題であり、学習能力に制限をもたらす。
• ネットワークトラフィックデータの空間的および時間的特徴を効果的に捉えることができる深層残差ネットワークアーキテクチャを設計すること。
• 既存の最先端の機械学習ベースのNIDS設計と比較して、検出精度を向上させるとともに誤検出を低減すること。
• 画像分類分野で成功を収めた残差学習の概念をネットワークセキュリティ分野に応用し、その有効性を検証すること。

提案手法

• 訓練劣化を軽減するための特別に設計された残差ブロックを用いた、残差ネットワークアーキテクチャ「Pelican」を提案する。
• 残差ブロック内に畳み込みニューラルネットワーク（CNN）と再帰的ニューラルネットワーク（RNN）を統合し、ネットワークトラフィックの空間的パターンと時間的パターンをモデル化する。
• 入力と出力の差分を学習する残差マッピングを採用することで、残差学習を実装する。これにより、ネットワークが完全なマッピングを学習するのではなく、入力と出力の差分のみを学習することで、訓練の安定性と性能が向上する。
• 残差ブロックを深くスタックすることで、ネットワークがトラフィックの複雑な表現を学習可能となるとともに、バックプロパゲーション中における勾配の流れを維持できる。
• 標準的なディープラーニング最適化手法を用いて、NSL-KDDおよびUNSW-NB15の2つのベンチマークデータセット上で、モデルをエンドツーエンドで学習する。
• バッチ正則化とReLU活性化関数を適用することで、学習収束性と一般化性能を向上させる。

実験結果

リサーチクエスチョン

• RQ1 残差学習は、ネットワークインシデント検出における深層ニューラルネットワークの性能劣化を効果的に緩和できるか？
• RQ2 ハイブリッドCNN-RNN残差アーキテクチャは、従来のモデルと比較して、ネットワークトラフィックの空間的および時間的特徴をより効果的に捉えることができるか？
• RQ3 提案されたPelicanモデルは、最先端の機械学習ベースのNIDS手法と比較して、より高い検出精度と低い誤検出率を達成できるか？
• RQ4 検出率と誤検出率の観点から、Pelicanは通常のDNNや浅い残差ネットワークと比較して、どのように性能を発揮するか？
• RQ5 残差学習は、ネットワークインシデント検出タスクにおける深層ニューラルネットワークの一般化性能とロバストネスをどの程度向上させるか？

主な発見

• PelicanはUNSW-NB15データセットで97.75%の検出率と86.64%の精度を達成し、比較対象のすべての手法よりも検出性能が優れていた。
• Pelicanの誤検出率はわずか1.30%であり、次に優れた手法（LuNet：2.89%）や他の古典的機械学習モデルと比較して顕著に低かった。
• Pelicanは優れた一般化性能とロバストネスを示し、ネットワークの深さが増しても高い性能を維持していた。これに対して、通常のネットワークは性能劣化を示した。
• 残差ブロック内に統合されたCNNとRNNにより、特徴パターン（空間的）とトラフィックシーケンスのダイナミクス（時間的）の両方を効果的にモデル化できた。
• 実験的に、残差学習がネットワークインシデント検出における訓練の不安定性を低減し、収束性を向上させることの有効性が裏付けられた。
• Pelicanの性能はNSL-KDDおよびUNSW-NB15の両方のデータセットで一貫しており、異なるネットワークトラフィック特性に適応可能であることが確認された。