[논문 리뷰] Adaptation of the neural network-based IDS to new attacks detection

Przemysław Kukiełka, Zbigniew Kotulski|arXiv (Cornell University)|2010. 09. 13.

Network Security and Intrusion Detection참고 문헌 5인용 수 13

한 줄 요약

이 논문은 새로운 정상 트래픽과 공격 패턴을 사용하여 모델을 동적으로 업데이트함으로써 이전에 본 적이 없는 공격을 탐지할 수 있는 적응형 능력을 갖춘 신경망 기반 침입 탐지 시스템(_IDS_)을 제안한다. 이 접근법은 분산 아키텍처와 증분 학습 알고리즘을 활용하여 재구성 최소화로 효율적인 재학습을 가능하게 하며, 전체 재학습 없이도 신규 위협 탐지 능력을 크게 향상시킨다.

ABSTRACT

In this paper we report our experiment concerning new attacks detection by a neural network-based Intrusion Detection System. What is crucial for this topic is the adaptation of the neural network that is already in use to correct classification of a new "normal traffic" and of an attack representation not presented during the network training process. When it comes to the new attack it should also be easy to obtain vectors to test and to retrain the neural classifier. We describe the proposal of an algorithm and a distributed IDS architecture that could achieve the goals mentioned above.

연구 동기 및 목표

• 기존 훈련 데이터에 존재하지 않는 새로운 사이버 공격을 탐지하는 데 도전 과제를 해결하기 위해.
• 훈련된 신경망 기반 IDS가 새로운 공격 서명과 변화하는 정상 트래픽 패턴에 적응할 수 있도록 하기 위해.
• 실시간 모델 업데이트를 지원하는 확장 가능하고 분산된 IDS 아키텍처를 개발하기 위해.
• 새로운 공격 및 정상 트래픽 벡터를 활용한 증분 학습을 통해 전체 재학습의 필요성을 줄이기 위해.
• 동적 적응을 통해 이전에 본 적이 없는 공격을 효율적이고 정확하게 분류하기 위해.

제안 방법

• 분산된 데이터 수집 및 모델 업데이트를 지원하기 위한 분산 IDS 아키텍처 설계.
• 신경망이 다시 학습하지 않고도 새로운 공격 패턴에 적응할 수 있도록 하는 증분 학습 알고리즘 개발.
• 모델 재학습을 위해 새로운 정상 트래픽과 새로운 공격 행동을 나타내는 특징 벡터 사용.
• 최소한의 계산 부담으로 신경 분류기 업데이트를 위한 온라인 학습 기법 통합.
• 모델 업데이트 후 검증 및 정밀도 향상을 위한 피드백 메커니즘 적용.
• 전체 시스템에 영향을 주지 않고도 특정 구성 요소만 격리 및 업데이트할 수 있도록 모듈러 설계 활용.

실험 결과

연구 질문

• RQ1 전체 재학습 없이도 신경망 기반 IDS가 이전에 본 적이 없는 공격을 어떻게 탐지할 수 있는가?
• RQ2 실시간으로 새로운 공격 패턴에 적응하기 위해 필요한 아키텍처적 및 알고리즘적 구성 요소는 무엇인가?
• RQ3 증분 학습이 새로운 공격에 대해 높은 탐지 정확도를 유지하는 데 얼마나 효과적인가?
• RQ4 악성 활동 탐지를 유지하면서도 새로운 정상 트래픽 패턴을 신뢰성 있게 분류할 수 있는가?
• RQ5 분산 환경에서 적응 메커니즘의 성능 오버헤드는 얼마인가?

주요 결과

• 제안된 적응 메커니즘은 증분 재학습 후 이전에 본 적이 없는 공격을 고정밀도로 탐지할 수 있도록 신경망 기반 IDS를 가능하게 한다.
• 분산 아키텍처는 확장 가능하고 실시간 업데이트를 지원하여 위협 탐지 지연을 감소시킨다.
• 새로운 정상 트래픽 패턴을 분류할 때조차 낮은 가짜 양성 비율을 유지한다.
• 전체 재학습 대비 증분 학습 접근법은 재학습 시간과 계산 비용을 줄인다.
• 알고리즘은 레이블이 지정된 데이터셋이 모든 공격 유형에 대해 필요 없이도 새로운 특징 벡터만으로도 새로운 공격 벡터를 성공적으로 식별하고 분류한다.
• 실험 결과는 정적 신경망 모델에 비해 제로데이 공격에 대한 탐지 성능 향상이 입증되었다.