[論文レビュー] Training a Bidirectional GAN-based One-Class Classifier for Network Intrusion Detection

Xu Wen, Julian Jang‐Jaccard+2 more|arXiv (Cornell University)|Feb 2, 2022

Network Security and Intrusion Detection被引用数 5

ひとこと要約

本稿では、不均衡なテキストベースのデータセットにおける合成データ品質の向上を図るために、生成器と識別器の学習を分離する、双方向GANベースのワンクラス分類器を提案する。生成器とエンコーダーを識別器よりも積極的に学習させることで、生成されたネットワークトラフィックの意味的整合性が向上し、NSL-KDDで92.68%のF1スコアを達成する。これは、既存のGANおよびオートエンコーダー手法を上回る性能を示している。

ABSTRACT

The network intrusion detection task is challenging because of the imbalanced and unlabeled nature of the dataset it operates on. Existing generative adversarial networks (GANs), are primarily used for creating synthetic samples from reals. They also have been proved successful in anomaly detection tasks. In our proposed method, we construct the trained encoder-discriminator as a one-class classifier based on Bidirectional GAN (Bi-GAN) for detecting anomalous traffic from normal traffic other than calculating expensive and complex anomaly scores or thresholds. Our experimental result illustrates that our proposed method is highly effective to be used in network intrusion detection tasks and outperforms other similar generative methods on the NSL-KDD dataset.

研究の動機と目的

• 標準GANが不均衡なテキストベースのネットワークインシデント検出において、異なる意味的表現を持つため、生成器と識別器の強い同期が失敗するという限界に対処すること。
• 生成器と識別器間の学習同期を緩和することで、合成ネットワークトラフィックデータの品質を向上させること。
• 訓練済みのエンコーダーと識別器を用いてワンクラスバイナリ分類器を開発し、複雑な異常スコアの計算を必要とせずに異常を検出すること。
• NSL-KDDデータセットにおけるネットワークインシデント検出において、既存のオートエンコーダーおよびGANベースのモデルを上回ること。

提案手法

• 生成器と識別器の学習イテレーションを分離することで、生成器とエンコーダーがより積極的に学習できる双方向GAN（Bi-GAN）フレームワークを導入する。
• 生成器の学習停止条件として交差エントロピー損失を用い、識別器の更新前に高品質な合成データ生成状態に到達することを保証する。
• エンコーダーを用いて実際のネットワークトラフィックサンプルを低次元の潜在空間にマッピングし、意味的関係を保持する。
• 識別器を実際のサンプルと生成器が生成した合成サンプルの両方で学習させ、本物と偽物のトラフィックを区別する。
• 訓練済みのエンコーダーと識別器のペアに基づいてワンクラスバイナリ分類器を構築し、バイナリ出力に基づいてトラフィックを正常または異常と分類する。
• PCAと潜在空間可視化を用いて、分布の忠実度を分析する目的で、NSL-KDDデータセットにモデルを適用する。

実験結果

リサーチクエスチョン

• RQ1 生成器と識別器の学習を分離することで、不均衡かつテキストベースのインシデント検出データセットにおける合成ネットワークトラフィックデータの品質が向上するか？
• RQ2 生成器と識別器間の学習同期を緩和することで、生成されたサンプルの意味的整合性にどのような影響を与えるか？
• RQ3 訓練済みのエンコーダーと識別器のペアに基づくワンクラスバイナリ分類器は、しきい値や異常スコアの計算を必要とせずに、効果的に異常を検出できるか？
• RQ4 提案手法は、NSL-KDDデータセットにおいて、F1スコアおよび検出精度の観点で、既存のオートエンコーダーおよびGANベースのモデルを上回るか？

主な発見

• 提案モデルはNSL-KDDテストセットで91.12%の精度、87.27%の適合率、98.81%の再現率、92.68%のF1スコアを達成した。
• モデルのAUC-ROCスコアは0.953に達し、正常と異常トラフィックの区別性能が優れていることを示している。
• 識別器よりも多くのイテレーションで学習された生成器は、潜在空間可視化によって確認されたように、より高い意味的整合性を持つ合成サンプルを生成した。
• ワンクラスバイナリ分類器は、しきい値や異常スコアの計算を必要とせず、正常に異常を検出でき、導入が簡素化された。
• 提案手法は、AE、DAE、AnoGAN、BiGAN、および他のGAN変種を含む、すべてのベンチマーク手法を上回った。
• 特に、再現率が98.81%に達するなど、希少な攻撃タイプの検出において、不均衡データに対して優れた性能を示した。