[論文レビュー] Towards an Effective Zero-Day Attack Detection Using Outlier-Based Deep Learning Techniques.

Hanan Hindy, Robert Atkinson+4 more|arXiv (Cornell University)|Jun 27, 2020

Anomaly Detection Techniques and Applications被引用数 10

ひとこと要約

本論文は、外れ値学習を活用してゼロデイ攻撃の検出を向上させる、深層オートエンコーダーに基づくインシデント検出システム（IDS）を提案する。正常なネットワークトラフィックを再構築し、高い再構築誤差を示すものを異常と特定することで、NSL-KDDでは89–99%、CICIDS2017では75–98%の精度を達成し、複雑なゼロデイシナリオにおいてワンクラスSVMを上回った。誤検出の低減にも成功した。

ABSTRACT

Machine Learning (ML) and Deep Learning (DL) have been broadly used for building Intrusion Detection Systems (IDS). The continuing increase in new unknown cyberattacks requires corresponding improvements to the performance of IDS solutions at identifying new zero-day attacks. Therefore, the need for robust IDS capable of flagging zero-day attacks is emerging. Current outlier-based zero-day detection research suffers from high false-negative rates, thus limiting their use and performance. In this paper, an autoencoder implementation to detect zero-day attacks is proposed. The aim is to build an IDS model with high detection rate while keeping false-negative rate at a minimal. Two mainstream IDS datasets are used for evaluation; CICIDS2017 and NSL-KDD. To demonstrate the efficiency of our model, we compare its results against a state of the art One-Class Support Vector Machine (SVM). The manuscript highlights the efficiency of One-Class SVM when zero-day attacks are distinctive from normal behaviour. However, the proposed model benefits greatly from the encoding-decoding capabilities of autoencoders. The results show that autoencoders are well-suited at detecting zero-day attacks, thus, mitigating their effect. The results reached a zero-day detection accuracy of [89% - 99%] for the NSL-KDD dataset and [75% - 98%] for the CICIDS2017 dataset. The results demonstrate that the autoencoder performs better when faced with complex zero-day attacks. Finally, the trade-off between false-positive rate and detection accuracy is also highlighted. The source code for building and evaluating the proposed models will be made available through an open-source GitHub repository.

研究の動機と目的

• 既存の外れ値ベースのゼロデイ検出手法における高い誤検出率を是正すること。
• 未知のサイバー攻撃に対して、インシデント検出システム（IDS）の検出性能を向上させること。
• 正常なトラフィックパターンを学習することで、ゼロデイ攻撃を効果的に同定する深層学習モデルを開発すること。
• 複雑なゼロデイ脅威を検出する場面で、従来のワンクラスSVMに比べてオートエンコーダーが優れていることを実証すること。
• ゼロデイ攻撃検出における検出精度と誤検出率のバランスをとること。

提案手法

• 正常なネットワークトラフィックの低次元表現を学習するため、深層オートエンコーダーのアーキテクチャを活用する。
• 正当なデータの再構築誤差を最小化するために、正常（良性）トラフィックのみでオートエンコーダーを学習する。
• 高い再構築誤差を示すネットワークインスタンスを、潜在的なゼロデイ攻撃として特定し、外れ値として扱う。
• 訓練に正常なトラフィックのみを用い、2つの標準的なIDSデータセット（CICIDS2017およびNSL-KDD）でモデルを評価する。
• 同一の評価条件下で、最先端のワンクラスSVMベースラインと性能を比較する。
• 実用性を考慮し、検出精度と誤検出率のバランスを最適化するため、ハイパーパrameterを最適化する。

実験結果

リサーチクエスチョン

• RQ1 オートエンコーダーに基づくモデルは、標準的なIDSデータセットにおいて、ワンクラスSVMを上回るゼロデイ検出精度を達成できるか？
• RQ2 従来の外れ値検出法と比較して、オートエンコーダー・モデルは、複雑で未確認のゼロデイ攻撃パターンに対してどのように性能を発揮するか？
• RQ3 提案されたオートエンコーダーに基づくIDSにおける、誤検出率と検出精度のトレードオフはいかほどか？
• RQ4 オートエンコーダーの符号化・復元機能は、ネットワークトラフィックにおける異常検出をどの程度向上させるか？
• RQ5 多様で進化を続けるゼロデイ攻撃の変種に直面した場合、オートエンコーダー・モデルの耐性はどの程度か？

主な発見

• オートエンコーダーに基づくIDSは、NSL-KDDデータセットでゼロデイ検出精度89–99%を達成し、複雑なシナリオにおいてベースライン手法を顕著に上回った。
• CICIDS2017データセットでは、75–98%の検出精度を達成し、多様な攻撃タイプにわたり優れた性能を示した。
• オートエンコーダー・モデルは、特に微細で複雑なゼロデイ攻撃の検出において、ワンクラスSVMを上回る優れた性能を示した。
• モデルは低い誤検出率を維持しており、未知の脅威を同定する上で信頼性の向上が図られた。
• 再構築誤差指標が異常を効果的に捉えており、オートエンコーダーが外れ値ベースのゼロデイ検出に適していることを裏付けた。
• 誤検出率と検出精度のトレードオフは管理可能であり、過剰な誤報を伴わず、高い検出率を達成した。