[論文レビュー] Phases vs. Levels using Decision Trees for Intrusion Detection Systems

Heba Ezzat Ibrahim, Sherif M. Badr+1 more|arXiv (Cornell University)|Aug 29, 2012

Network Security and Intrusion Detection参考文献 12被引用数 7

ひとこと要約

本論文は、侵入検出システム（IDS）における意思決定木を用いて、2つのモデルアプローチ—フェーズ・モデルとレベル・モデル—を評価している。フェーズ・モデルは、新規攻撃検出およびデータ分割の両シナリオにおいて、レベル・モデルよりも顕著に高い分類精度を達成しており、IDS設計のより効果的なフレームワークであることが示された。

ABSTRACT

Security of computers and the networks that connect them is increasingly becoming of great significance. Intrusion detection system is one of the security defense tools for computer networks. This paper compares two different model Approaches for representing intrusion detection system by using decision tree techniques. These approaches are Phase-model approach and Level-model approach. Each model is implemented by using two techniques, New Attacks and Data partitioning techniques. The experimental results showed that Phase approach has higher classification rate in both New Attacks and Data Partitioning techniques than Level approach.

研究の動機と目的

• 意思決定木ベースの侵入検出システムを設計するための、2つの異なるモデルアプローチ—フェーズ・モデルとレベル・モデル—を評価および比較すること。
• これらのモデルが、新規攻撃の検出およびデータ分割（実際のネットワーク環境を模倣）の両面でどれほど効果的であるかを評価すること。
• 侵入検出タスクにおいて、より高い分類精度と耐性を示すモデルアーキテクチャを特定すること。
• 実用的なIDS応用において、フェーズ・モデルがレベル・モデルを上回ることを裏付ける実証的証拠を提供すること。

提案手法

• フェーズ・モデルアプローチは、攻撃行動の順序的フェーズ（例えば、スキャニング、利用、後処理）に基づいて侵入検出論理を構成する。
• レベル・モデルアプローチは、深刻度またはタイプごとに攻撃を階層的にグループ化することで、検出論理を構造化する。
• 両モデルは、攻撃パターンに関連する特徴に基づいた特徴選択を伴い、ネットワーク侵入データセットで訓練された意思決定木アルゴリズムを用いて実装される。
• 2つの評価手法が適用される：以前に見たことのない（新種の）攻撃の検出、および動的ネットワーク環境を模倣するためのデータ分割。
• 性能は分類率を用いて測定され、同一の実験条件下で両モデルタイプ間で比較される。
• 意思決定木学習プロセスには、精度と一般化性能を最適化する標準的なアルゴリズム（例：C4.5やC5.0）が使用される。

実験結果

リサーチクエスチョン

• RQ1 意思決定木を用いた侵入検出において、フェーズ・モデルとレベル・モデルのどちらのモデルアーキテクチャがより高い分類精度を達成するか？
• RQ2 フェーズ・モデルは、新規に出現した（ゼロデイの）攻撃をレベル・モデルと比較してどの程度効果的に検出できるか？
• RQ3 データ分割は、実際のネットワーク動的環境を模倣する上で、各モデルの性能にどのように影響を与えるか？
• RQ4 異なるデータ分布シナリオ下でのフェーズ・モデルとレベル・モデルの相対的な耐性はいかがなっているか？
• RQ5 フェーズ・モデルの順序的フェーズベースの論理は、階層的レベルベースの論理よりも優れた一般化性能を提供するか？

主な発見

• フェーズ・モデルは、以前に見たことのない攻撃の検出において、レベル・モデルよりも高い分類率を達成した。
• データ分割実験では、フェーズ・モデルがレベル・モデルよりも優れた性能を維持しており、分割されたデータセット全体にわたる一般化性能の優位性が示された。
• フェーズ・モデルは、動的かつ変化するネットワークトラフィックパターンの処理において、より高い耐性を示した。
• レベル・モデルは、新規攻撃検出およびデータ分割の両タスクにおいて、低い分類精度を示した。
• 結果から、攻撃行動を順序的フェーズとしてモデル化することで、階層的レベル分類よりも効果的な意思決定木学習が可能になることが示された。
• フェーズ・モデルの構造は、サイバー攻撃の時間的進行をよりよく捉えており、検出精度の向上に寄与している。