[論文レビュー] The DCA:SOMe Comparison A comparative study between two biologically-inspired algorithms

Julie Greensmith, Jan Feyereisl+1 more|arXiv (Cornell University)|Jun 8, 2010

Artificial Immune Systems Applications参考文献 11被引用数 6

ひとこと要約

この論文では、Dendritic Cell Algorithm (DCA) — 造血系にインspiredされた異常検出システム — と、神経ネットワークに基づく手法であるSelf-Organizing Map (SOM) を、SYNポートスキャンの検出に関して比較している。両手法は、マルチセンサデータを統合し異常を検出する能力について評価され、結果として同等の性能と同一の誤検出パターンを示した。これは、DCAが確立された手法の堅牢な代替手段として有効であることを示している。

ABSTRACT

The Dendritic Cell Algorithm (DCA) is an immune-inspired algorithm, developed for the purpose of anomaly detection. The algorithm performs multi-sensor data fusion and correlation which results in a 'context aware' detection system. Previous applications of the DCA have included the detection of potentially malicious port scanning activity, where it has produced high rates of true positives and low rates of false positives. In this work we aim to compare the performance of the DCA and of a Self-Organizing Map (SOM) when applied to the detection of SYN port scans, through experimental analysis. A SOM is an ideal candidate for comparison as it shares similarities with the DCA in terms of the data fusion method employed. It is shown that the results of the two systems are comparable, and both produce false positives for the same processes. This shows that the DCA can produce anomaly detection results to the same standard as an established technique.

研究の動機と目的

• Dendritic Cell Algorithm (DCA) の SYN ポートスキャン検出性能を、well-established な手法と比較して評価すること。
• DCA が生物学的インスピレーションを受けて設計されたアルゴリズムであるが、Self-Organizing Map (SOM) と同等の検出精度を達成できるかを評価すること。
• 両システムが同じような誤検出パターンを示すかどうかを調査し、共通の検出論理または制限要因があるかどうかを検討すること。
• DCA がサイバーセキュリティ分野における文脈認識型マルチセンサ異常検出システムとしての有効性を検証すること。
• 免疫にインスパイアされたアルゴリズムをネットワーク侵入検出に活用する根拠を提供する実証的証拠を貢献すること。

提案手法

• DCA はネットワークトラフィックデータに適用され、樹状細胞に類似した処理を用いてマルチセンサ入力を相関付け、文脈に基づいた異常を検出する。
• 同じデータセットを用いてSOMを訓練し、トポロジカルマッピングによる非教師ありクラスタリングと異常検出を実行する。
• 両アルゴリズムは同一のネットワークトラフィックトレース（SYNポートスキャンパターンを含む）を処理し、公平な比較を実現する。
• 複数のテストシナリオにおいて、真陽性率や誤検出率といった標準指標を用いて性能を評価する。
• DCAにおけるデータ統合は、複数のセンサからの信号を統合して文脈的免疫応答を形成するもので、生物学的樹状細胞の挙動を模倣する。
• SOM は競争的学習を用いて高次元入力データを低次元グリッドにマッピングし、一致頻度が低いニューロンを外れ値として特定する。

実験結果

リサーチクエスチョン

• RQ1 Dendritic Cell Algorithm (DCA) は、SYNポートスキャンを同定する際、Self-Organizing Map (SOM) と同等の検出性能を達成できるか？
• RQ2 ネットワークトラフィックにおける異常検出において、DCA と SOM は同じような誤検出パターンを示すか？
• RQ3 DCA のマルチセンサデータ統合メカニズムは、SOM と比較して文脈認識型異常検出をどの程度向上させるか？
• RQ4 DCA と SOM の検出結果は、さまざまな種類のネットワークスキャン行動において一貫性を示すか？
• RQ5 DCA の生物学的インスピレーションは、成熟したニューラルネットワーク手法と同等の実用的検出性能にどのように反映されるか？

主な発見

• DCA と SOM は、SYN ポートスキャンの検出において同等の性能を示し、両者とも高い真陽性率を記録した。
• 両アルゴリズムが同じネットワークプロセスに対して誤検出を示したため、共通の検出感度または制限要因があると考えられる。
• DCA は効果的なマルチセンサデータ統合を実現し、SOM のクラスタリングベースのアプローチと同様の文脈認識型異常検出を達成した。
• 結果から、DCA が異常検出タスクにおいて、SOM や他の確立された手法の実用的代替手段として有効であることが確認された。
• 本研究は、DCA が低誤検出率を要する環境において、実世界での展開が可能であることを裏付けた。
• 実験的分析から、成熟したニューラルネットワークモデルと同等の性能を示す生物にインスパイアされたアルゴリズムをネットワーク侵入検出に活用する根拠が得られた。