[論文レビュー] Unsupervised Anomaly Detection in NSL-KDD Using $β$-VAE: A Latent Space and Reconstruction Error Approach

Dylan Baptiste, Ramla Saddem+2 more|arXiv (Cornell University)|Feb 23, 2026

Network Security and Intrusion Detection被引用数 0

ひとこと要約

この論文は β-VAE を用いて NSL-KDD の再構成誤差と潜在空間距離法を比較し、潜在空間距離が再構成ベースの検出と同等またはそれを上回るときがあることを示す。

ABSTRACT

As Operational Technology increasingly integrates with Information Technology, the need for Intrusion Detection Systems becomes more important. This paper explores an unsupervised approach to anomaly detection in network traffic using $β$-Variational Autoencoders on the NSL-KDD dataset. We investigate two methods: leveraging the latent space structure by measuring distances from test samples to the training data projections, and using the reconstruction error as a conventional anomaly detection metric. By comparing these approaches, we provide insights into their respective advantages and limitations in an unsupervised setting. Experimental results highlight the effectiveness of latent space exploitation for classification tasks.

研究の動機と目的

• OT/IT統合環境での侵入検知を動機づけ、NSL-KDD に対する教師なし異常検知を評価する。
• β-VAE フレームワーク内で再構成誤差と潜在空間距離（Z_k）の2つの検出信号を調査する。
• βおよびkの値に対する2つの信号の性能とトレードオフを評価し、解釈性と段階的学習の潜在性を分析する。

提案手法

• 前処理後の NSL-KDD データの潜在表現を学習するために β-VAE を用い、カテゴリカル特徴はワンホットエンコーディング、ブール値は二値エンコード、連続特徴は標準化を適用する。
• エンコーダ qφ(z|x) とデコーダ pθ(x|z) で訓練する；目的関数は β-ELBO: E_q[log pθ(x|z)] − β D_KL(qφ(z|x)||p(z))。
• 再構成誤差を特徴タイプごとに加重和として定義した再構成損失 L_rec を用意する。
• 2つの異常検出信号を評価する：(i) L_rec-分類：再構成誤差と閾値による分類；(ii) Z_k-分類：訓練時の正常サンプルのk近傍から平均ユークリッド距離を用いた分類。
• AUROC を報告し、βと k の影響を分析し、分類のための潜在空間の活用に焦点を当てる。

実験結果

リサーチクエスチョン

• RQ1 β-VAE 潜在空間を NSL-KDD の教師なし異常検知のために潜在空間距離を用いて活用できるか。
• RQ2 潜在空間距離の性能は β および k の異なる値で再構成誤差ベースの検出と比較してどうか。
• RQ3 再構成ベースと潜在空間信号は補完的な検出能力を提供し、適応的またはハイブリッドな脅威スコアリングを可能にするか。
• RQ4 潜在埋め込みを用いた段階的学習と挙動ベースの侵入分析の実践的含意は何か。

主な発見

β	AUROC (%)	Z_1	Z_100	Z_150	Z_200	Z_250	Z_300	Z_400	Z_500	Z_1000	Z_2000	Z_3000	Z_4000	Z_5000	L_rec
0	94.11	96.43	96.63	96.76	96.89	96.99	97.09	97.14	97.40	97.48	97.56	97.66	97.70	96.78
0.00001	94.49	96.79	97.03	97.16	97.25	97.32	97.46	97.52	97.68	97.75	97.81	97.87	97.90	96.23
0.0001	94.28	96.60	96.76	96.96	97.12	97.19	97.26	97.29	97.52	97.65	97.70	97.73	97.73	96.52
0.001	93.51	95.81	96.20	96.47	96.66	96.71	96.66	96.58	96.69	96.80	96.82	96.85	96.86	96.61
0.01	93.47	96.16	96.37	96.48	96.57	96.64	96.71	96.76	96.96	96.85	96.86	96.85	96.82	96.44
0.1	91.05	93.52	93.85	94.11	94.31	94.46	94.64	94.76	95.14	95.32	95.35	95.35	95.32	96.48
0.5	75.08	84.26	85.28	86.01	86.59	87.06	87.81	88.37	89.88	90.93	91.35	91.56	91.67	96.28
-	-	-	-	-	-	-	-	-	-	-	-	-	-	-

• 潜在空間距離（Z_k）は、特定の β および k の設定で再構成ベースの AUROC に匹敵するかそれを上回ることがある。
• L_rec の最良の平均 AUROC は β=0 で発生し、AUROC は約 0.962–0.968、Z_k に対しては k が大きくなると増加する。
• Z_k の最良の平均 AUROC は β=1e-5 および k=5000 で達成され、いくつかの構成で L_rec を上回る。
• β=0 の場合、すべての k に対して報告される最高の AUROC は 97.70%（L_rec ）、特定の設定で Z_k は最大で 97.90% に達する；各行の詳細は Table II に記載。
• 2つの手法は補完的であり、適応閾値設定や融合スコアリングによって組み合わせ可能であり、段階的学習と挙動認識侵入分析を可能にする。