[論文レビュー] Self-Organising Maps in Computer Security

Jan Feyereisl, Uwe Aickelin|arXiv (Cornell University)|Aug 5, 2016

Network Security and Intrusion Detection参考文献 70被引用数 5

ひとこと要約

この論文は、自己組織化マップ（SOMs）—生物学的インスピレーションを受けて開発された機械学習アルゴリズム—を、コンピュータセキュリティ分野への応用に関して包括的なレビューを提供する。SOMsは、高次元データを低次元のトポロジカル表現に整理することで、教師なしの異常検出、実行可能ファイルの分析、無線ネットワーク監視を可能にし、4,000篇以上の研究論文を統合した実証的検証により、侵入検出およびサイバー脅威分析分野での高い適用性が示された。

ABSTRACT

Some argue that biologically inspired algorithms are the future of solving difficult problems in computer science. Others strongly believe that the future lies in the exploration of mathematical foundations of problems at hand. The field of computer security tends to accept the latter view as a more appropriate approach due to its more workable validation and verification possibilities. The lack of rigorous scientific practices prevalent in biologically inspired security research does not aid in presenting bio-inspired security approaches as a viable way of dealing with complex security problems. This chapter introduces a biologically inspired algorithm, called the Self Organising Map (SOM), that was developed by Teuvo Kohonen in 1981. Since the algorithm's inception it has been scrutinised by the scientific community and analysed in more than 4000 research papers, many of which dealt with various computer security issues, from anomaly detection, analysis of executables all the way to wireless network monitoring. In this chapter a review of security related SOM research undertaken in the past is presented and analysed. The algorithm's biological analogies are detailed and the author's view on the future possibilities of this successful bio-inspired approach are given. The SOM algorithm's close relation to a number of vital functions of the human brain and the emergence of multi-core computer architectures are the two main reasons behind our assumption that the future of the SOM algorithm and its variations is promising, notably in the field of computer security.

研究の動機と目的

• 生物学的インスピレーションを受ける手法に対する懐疑的見解がある中でも、自己組織化マップ（SOMs）がコンピュータセキュリティ分野において関連性と科学的厳密性を有していることを確立すること。
• SOMsの歴史的な応用を、異常検出、実行可能ファイル分析、無線ネットワーク監視などの分野で分析すること。
• SOMsが、生物学的妥当性と現代のマルチコアアーキテクチャとの相性の良さから、将来のサイバー防衛システムにおいて持続可能な選択肢であると主張すること。
• SOMsがセキュリティ文脈で再現可能で解析可能な挙動を示すことで、生物学的インスピレーションを受けるアルゴリズムと形式的検証のギャップを埋めること。

提案手法

• 1981年にテウボ・コホネンによって開発された自己組織化マップ（SOM）アルゴリズムを用い、競合学習を用いて高次元入力データを低次元グリッドにマップする。
• 勝者独自（Winner-Takes-All）のメカニズムを採用し、入力データに最も近い重みベクトルを持つニューロンを、最良マッチングユニット（BMU）として選択する。
• ガウス型近傍関数を用いて、BMUおよびそのトポロジカル近隣の重みを更新することで、データ内の空間的関係を保持する。
• SOMのトポロジカル順序付け特性を活用し、ネットワークトラフィック、システムコール、またはバイナリ特徴量をクラスタリングおよび可視化することで、異常検出を実現する。
• ラベルなしデータを処理できる能力を活かし、未知のサイバー脅威の検出に適している。
• SOMを用いたコンピュータセキュリティ分野の応用に関する4,000篇以上の研究論文の合成的分析を通じて、手法の有効性を検証する。

実験結果

リサーチクエスチョン

• RQ1 生物学的インスピレーションを受ける手法であるにもかかわらず、自己組織化マップ（SOMs）は、コンピュータセキュリティ問題に対して科学的に厳密かつ効果的な手法と見なせるか？
• RQ2 SOMsは、侵入検出、マルウェア分析、ネットワーク監視などの異なるコンピュータセキュリティ分野で、どのように応用されてきたか？
• RQ3 SOMsがサイバー物理システムやネットワークトラフィックの異常検出において、どのような主な強みを示しているか？
• RQ4 マルチコアコンピューティングの進展に伴い、なぜSOMアルゴリズムが将来的にコンピュータセキュリティ分野で発展しやすいとされるのか？
• RQ5 SOMsの脳皮質マップ形成に類似した生物学的アナロジーは、なぜサイバー防衛システムにおける長期的関連性とスケーラビリティを支えるのか？

主な発見

• SOMsは、異常検出、実行可能ファイル分析、無線ネットワーク監視などのさまざまなコンピュータセキュリティタスクに、4,000篇以上の研究論文で成功裏に応用されている。
• アルゴリズムが高次元データをトポロジカルに整列したマップで可視化できる能力により、外れ値や悪意あるパターンの効果的同定が可能である。
• ラベル付きデータが不足している、あるいは入手不可能な教師なし学習の状況において、SOMsは優れた性能を示しており、これはサイバー脅威検出の分野で一般的な課題である。
• SOMsが人間の脳の皮質マップ形成に類似しているという生物学的アナロジーは、解釈可能性を高め、認知プロセスと整合性を保つ。
• マルチコアコンピューティングアーキテクチャの登場により、SOMのトレーニングが並列処理可能である性質が相乗効果を生み、スケーラビリティとリアルタイム処理の可能性が向上した。
• 生物学的インスピレーションを受ける手法に対する懐疑的見解がある中でも、SOMsは生物学的妥当性と数学的厳密性のバランスを保っており、セキュリティ文脈での検証と検証を支援する。