[論文レビュー] SynGAN: Towards Generating Synthetic Network Attacks using GANs

Jérémy Charlier, Aman Singh+3 more|arXiv (Cornell University)|Aug 26, 2019

Network Security and Intrusion Detection参考文献 13被引用数 29

ひとこと要約

SynGANは、実際のトラフィックデータを用いて高精細な合成DDoSネットワーク攻撃を生成するGANベースのフレームワークを提案する。GP-WGANを活用することで訓練の安定性と品質が向上し、合成攻撃フローと実際の攻撃フローの間で0.10の平均二乗誤差を達成し、実攻撃と合成攻撃を区別する際のAUCは75%に達する。これは、類似性が高く、NIDSのテストと評価を強化する可能性を示している。

ABSTRACT

The rapid digital transformation without security considerations has resulted in the rise of global-scale cyberattacks. The first line of defense against these attacks are Network Intrusion Detection Systems (NIDS). Once deployed, however, these systems work as blackboxes with a high rate of false positives with no measurable effectiveness. There is a need to continuously test and improve these systems by emulating real-world network attack mutations. We present SynGAN, a framework that generates adversarial network attacks using the Generative Adversial Networks (GAN). SynGAN generates malicious packet flow mutations using real attack traffic, which can improve NIDS attack detection rates. As a first step, we compare two public datasets, NSL-KDD and CICIDS2017, for generating synthetic Distributed Denial of Service (DDoS) network attacks. We evaluate the attack quality (real vs. synthetic) using a gradient boosting classifier.

研究の動機と目的

• ネットワークイントラージョン検出システム（NIDS）のテストと改善に向けた、高品質で多様な合成ネットワーク攻撃データの不足に対処すること。
• 現実世界の攻撃パターンを反映した、現実的で変異に配慮したDDoS攻撃トラフィックを生成できるフレームワークの開発。
• NSL-KDDおよびCICIDS2017という2つの公開データセットを用いて、GoldenEyeのような複雑な攻撃を焦点に、合成攻撃生成の有効性を評価すること。
• 進化する合成攻撃バージョンを用いた継続的かつ自動的なテストにより、NIDSの頑健性を向上させること。

提案手法

• SynGANフレームワークは、生成器、識別器、および評価器を備えた生成的対抗ネットワーク（GAN）を採用し、合成ネットワーク攻撃フローを生成する。
• 勾配ペナルティ・ワッサーシュタインGAN（GP-WGAN）を用いて、勾配ペナルティによる勾配制約により1リプシッツ制約を強制することで、訓練の安定性とサンプル品質を向上させる。
• 生成器はランダムノイズを入力として受け取り、合成パケットフローを生成する。一方、識別器は実攻撃と生成攻撃を区別する。
• 評価器は勾配ブースティング分類器を用い、合成攻撃の品質を、実攻撃との類似度をルート平均二乗誤差などの指標で測定することで評価する。
• フレームワークは、NSL-KDDおよびCICIDS2017の実DDoS攻撃データを用いて訓練され、特にSmurfおよびGoldenEye攻撃に焦点を当てる。
• 訓練プロセスではRMSProp最適化法を用い、学習率は0.001、減衰率ρ=0.9、ε=10⁻⁶を設定し、勾配ペナルティのためのλ=10を採用する。

実験結果

リサーチクエスチョン

• RQ1 GP-WGANベースの生成は、公開データセットからの実攻撃と統計的・行動的に類似した合成DDoSネットワーク攻撃を生成できるか？
• RQ2 合成攻撃の品質は、フロー持続時間、IAT、秒間バイト数といった主要なネットワークフロー特徴量において、実攻撃と比べてどの程度か？
• RQ3 勾配ブースティング分類器による実攻撃と合成攻撃を区別する性能はいかがなものか？
• RQ4 CICIDS2017データセットは、NSL-KDDよりもGoldenEyeのような複雑なDDoS攻撃の生成において、統計的有意性と代表性に優れているか？
• RQ5 この合成攻撃生成フレームワークは、DDoSを越えてより複雑な攻撃ステートマシンをモデル化できるか？

主な発見

• SynGANフレームワークは、パケット長平均、秒間フローバイト数、フロー持続時間、および前方IAT（Inter-Arrival Time）といった主要なネットワーク特徴量において、合成攻撃フローと実攻撃フローの間で0.10のルート平均二乗誤差を達成し、高い類似性を示した。
• 勾長ブースティング評価器は、実攻撃と合成攻撃を区別する際のAUCが75%に達し、合成攻撃が非常に現実的で、実攻撃と区別がつきにくいことを示している。
• CICIDS2017データセット（DDoSサンプルが10,000件以上）は、NSL-KDDの2,000件のSmurf攻撃サンプルよりも統計的により有意で、より信頼性の高い生成と評価を可能にした。
• 特徴量の重要度分析から、NSL-KDDデータセットにおけるSmurf攻撃の検出において、Dst_host_countが最も影響力のあるパラメータであることが判明した。
• フレームワークは、複雑なGoldenEye DDoS攻撃パターンに対しても収束性と高品質な生成を示し、高度な攻撃ファミリーへの適用可能性を示唆した。
• 結果から、GP-WGANベースの生成は、NIDSのテストと評価パイプラインの強化に適した高精細な合成ネットワーク攻撃を生成可能であることが確認された。