[논문 리뷰] A Machine Learning Based Intrusion Detection System for Software Defined 5G Network

Jiaqi Li, Zhifeng Zhao외 1명|arXiv (Cornell University)|2017. 07. 10.

Internet Traffic Analysis and Secure E-voting참고 문헌 6인용 수 21

한 줄 요약

이 논문은 소프트웨어 정의 5G 네트워크를 위한 지능형 침입 탐지 시스템(_IDS_)을 제안하며, 머신 러닝을 SDN 아키텍처와 융합하여 중심화되고 적응형이며 협업 가능한 위협 탐지 기능을 구현한다. 랜덤 포레스트를 통한 특성 선택과 k-means++ 및 어댑티브 부스팅(Adaboost)을 통한 플로우 분류를 통해 데이터 균형 조절과 교차 검증을 실시함으로써 희귀 공격 유형에 대해서도 높은 탐지 정확도를 달성하며, 기존의 시그니처 기반 및 고립된 IDS 접근 방식을 능가한다.

ABSTRACT

As an inevitable trend of future 5G networks, Software Defined architecture has many advantages in providing central- ized control and flexible resource management. But it is also confronted with various security challenges and potential threats with emerging services and technologies. As the focus of network security, Intrusion Detection Systems (IDS) are usually deployed separately without collaboration. They are also unable to detect novel attacks with limited intelligent abilities, which are hard to meet the needs of software defined 5G. In this paper, we propose an intelligent intrusion system taking the advances of software defined technology and artificial intelligence based on Software Defined 5G architecture. It flexibly combines security function mod- ules which are adaptively invoked under centralized management and control with a globle view. It can also deal with unknown intrusions by using machine learning algorithms. Evaluation results prove that the intelligent intrusion detection system achieves a better performance.

연구 동기 및 목표

• 기존의 시그니처 기반 IDS의 한계를 해결하여 5G 네트워크 내에서 새로운 유형의 사이버 공격 및 진화하는 공격을 탐지하고자 한다.
• 소프트웨어 정의 5G 환경에서 분산된 네트워크 요소 간에 중심화되고 협업 가능한 침입 탐지 기능을 제공하고자 한다.
• 데이터 균형 조절 기법을 통해 저빈도 공격 유형(예: U2R, R2L)의 탐지 성능을 향상시키고자 한다.
• 중앙 집중식 제어 하에 실시간 특성 선택과 플로우 분류를 위한 적응형 머신 러닝 모델을 통합하고자 한다.
• 다양한 공격 유형을 탐지하는 데서 향상된 정확도와 낮은 가짜 양성률을 달성하기 위해 시스템의 효과성을 평가하고자 한다.

제안 방법

• 시스템은 세 층 아키텍처를 채택한다: 트래픽 모니터링 및 패킷 차단을 위한 전달 계층(OFs), 초기 이상 탐지 및 전략 생성을 위한 관리 및 제어 계층, 심층 분석을 위한 데이터 및 지능 계층.
• 랜덤 포레스트를 활용해 네트워크 플로우 데이터에서 가장 구분력 있는 트래픽 특성을 식별한다.
• 플로우 분류에는 k-means++를 통한 초기 클러스터링과 어댑티브 부스팅(Adaboost)을 통한 앙상블 학습을 조합하여 기존 및 미기록된 공격 패tern 모두를 정확하게 탐지한다.
• 클래스 불균형 문제를 완화하기 위해 정상/DoS 트래픽에 대해 다운샘플링을, U2R/R2L 공격에 대해 업샘플링을 적용한다.
• 모델의 일반화 능력을 검증하기 위해 교차 검증(CV)을 사용하며, 훈련에 90%의 데이터, 테스트에 10%의 데이터를 할당하여 안정성을 평가한다.
• 중앙 집중식 제어 하에 보안 모듈을 동적으로 활성화함으로써 실시간 적응과 통합된 대응이 가능하다.

실험 결과

연구 질문

• RQ1 머신 러닝 기반 IDS는 소프트웨어 정의 5G 네트워크에서 새로운 유형의 공격 및 이전에 본 적 없는 공격을 효과적으로 탐지할 수 있는가?
• RQ2 데이터 균형 조절은 U2R 및 R2L와 같은 저빈도 공격 유형의 탐지 성능을 어떻게 향상시키는가?
• RQ3 5G SDN 환경에서 높은 정확도와 낮은 오버헤드를 갖춘 침입 탐지에 최적의 특성 선택 및 분류 알고리즘 조합은 무엇인가?
• RQ4 중앙 집중식이고 협업 가능한 탐지 방식은 5G 네트워크에서 고립된 로컬 IDS 배포 방식보다 얼마나 더 우수한가?
• RQ5 교차 검증은 다양한 공격 유형에 걸쳐 침입 탐지 모델의 일반화 능력을 어떻게 향상시키는가?

주요 결과

• 교차 검증을 적용한 결과, 정상 트래픽에 대해 99.9%의 탐지 정확도, 프로브 공격에 대해 97.04%의 탐지 정확도를 기록하여, CV를 적용하지 않은 일반적인 처리 방식보다 뚜렷이 뛰어난 성능을 보였다.
• 교차 검증 적용 시 U2R 공격의 탐지율이 훈련 단계에서 5.8%에서 88.46%로, 테스트 단계에서 65.5%로 상승하여 강력한 일반화 능력을 입증하였다.
• 균형 잡힌 데이터셋은 다수 클래스(정상 및 DoS)의 성능 저하 없이도 소수 클래스(특히 U2R 및 R2L 공격)의 탐지 성능을 향상시켰다.
• 랜덤 포레스트를 통한 특성 선택과 k-means++ 및 어댑티브 부스팅(Adaboost)을 조합한 구성이 테스트된 구성 중에서 가장 높은 F-스코어(91.02%)와 가장 낮은 가짜 양성률(0.54%)을 기록하였다.
• 랜덤 포레스트를 통해 선별된 23개의 특성으로도 시스템은 94.48%의 정밀도와 92.62%의 재현율을 달성하여 강력한 종합 탐지 능력을 입증하였다.
• 성능과 계산 비용의 균형을 고려하여 NT=5(나무의 수)를 최적의 효율성과 정확도를 확보하기 위해 선택하였다.