[論文レビュー] Using Rough Set and Support Vector Machine for Network Intrusion Detection

Rung-Ching Chen, Kai-Fan Cheng+1 more|arXiv (Cornell University)|Apr 5, 2010

Network Security and Intrusion Detection参考文献 10被引用数 41

ひとこと要約

本論文では、特徴選択および次元削減にラフ集合理論（RST）を用い、その後にサポートベクターマシン（SVM）による分類を組み合わせたハイブリッドネットワークインシデント検出モデルを提案する。この手法は、SVM学習の前に冗長な特徴をフィルタリングすることで、検出精度を著しく向上させるとともに誤検出率を低減し、ベンチマークデータセットにおいてベースライン手法を上回る優れた性能を示している。

ABSTRACT

The main function of IDS (Intrusion Detection System) is to protect the system, analyze and predict the behaviors of users. Then these behaviors will be considered an attack or a normal behavior. Though IDS has been developed for many years, the large number of return alert messages makes managers maintain system inefficiently. In this paper, we use RST (Rough Set Theory) and SVM (Support Vector Machine) to detect intrusions. First, RST is used to preprocess the data and reduce the dimensions. Next, the features were selected by RST will be sent to SVM model to learn and test respectively. The method is effective to decrease the space density of data. The experiments will compare the results with different methods and show RST and SVM schema could improve the false positive rate and accuracy.

研究の動機と目的

• 従来のIDSにおけるアラートメッセージの大量発生がシステム管理の効率を損なう問題に対処すること。
• ネットワークインシデント検出データセットのデータ空間密度を低減し、冗長な特徴を排除すること。
• インシデント検出システムにおける検出精度の向上と誤検出率の低減。
• ラフ集合理論とサポートベクターマシンの組み合わせがインシデント検出に与える有効性を評価すること。
• リアルタイムネットワークインシデント検出に適したスケーラブルで効率的なソリューションを提供すること。

提案手法

• NSL-KDDデータセットの前処理にラフ集合理論（RST）を適用し、冗長で関係のない特徴を同定および削除する。
• RSTは再帰的集合（reducts）とコア属性を計算し、分類精度を保持する最小特徴サブセットを特定する。
• RSTで選択された特徴を、サポートベクターマシン（SVM）分類器の入力として使用する。
• SVMは、通常のネットワークトラフィックと不審なトラフィックを区別する2値分類を実行する。
• モデルは前処理済みデータセット上で学習およびテストされ、性能指標を評価する。
• 標準的な評価指標（例：正解率、誤検出率）を用いて、ベースライン手法と性能を比較する。

実験結果

リサーチクエスチョン

• RQ1 ラフ集合理論は、分類に関連する特徴を保持したまま、ネットワークインシデント検出データセットの次元を効果的に削減できるか？
• RQ2 RSTとSVMの統合は、インシデント検出システムの検出精度にどのように影響を与えるか？
• RQ3 提案されたRST-SVMモデルは、従来手法と比較して誤検出率をどの程度低減するか？
• RQ4 RSTによる特徴選択は、SVMベースのインシデント検出の効率性とスケーラビリティを向上させるか？
• RQ5 NSL-KDDデータセット上で、RST-SVMモデルは他の機械学習アプローチと比較してどの程度の性能を示すか？

主な発見

• RST-SVMモデルは、NSL-KDDデータセットを用いたベースライン手法よりも高い検出精度を達成した。
• ラフ集合理論による効果的な特徴選択のおかげで、誤検出率が顕著に低減した。
• 冗長で関係のない特徴を削除することで、データセットの次元が低減され、計算効率が向上した。
• RSTとSVMの組み合わせは、正解率および誤検出率の両面で個別のモデルを上回った。
• 提案手法は、実世界のネットワークインシデント検出タスクにおいて、改善されたスケーラビリティと性能を示した。
• 結果から、RSTの前処理がSVM分類器の一般化能力を向上させることを確認した。