[논문 리뷰] An Efficient Fuzzy Clustering-Based Approach for Intrusion Detection

Huu Hoa Nguyen, Nouria Harbi외 1명|arXiv (Cornell University)|2011. 10. 12.

Network Security and Intrusion Detection참고 문헌 10인용 수 7

한 줄 요약

이 논문은 클러스터에서 유도된 특징을 원본 입력 특징과 통합하여 탐지 정확도를 향상시키는 새로운 퍼지 클러스터링 기반 침입 탐지 시스템(IDS)을 제안한다. 퍼지 c-의미 클러스터링을 활용해 의미 있는 클러스터 특징을 추출함으로써 일반화 능력을 향상시키고, 기준 데이터셋에서 기존의 데이터 마이닝 기반 접근 방식보다 뛰어난 성능을 보이며, 높은 탐지율과 낮은 가짜 경고를 입증한다.

ABSTRACT

The need to increase accuracy in detecting sophisticated cyber attacks poses a great challenge not only to the research community but also to corporations. So far, many approaches have been proposed to cope with this threat. Among them, data mining has brought on remarkable contributions to the intrusion detection problem. However, the generalization ability of data mining-based methods remains limited, and hence detecting sophisticated attacks remains a tough task. In this thread, we present a novel method based on both clustering and classification for developing an efficient intrusion detection system (IDS). The key idea is to take useful information exploited from fuzzy clustering into account for the process of building an IDS. To this aim, we first present cornerstones to construct additional cluster features for a training set. Then, we come up with an algorithm to generate an IDS based on such cluster features and the original input features. Finally, we experimentally prove that our method outperforms several well-known methods.

연구 동기 및 목표

• 기존의 데이터 마이닝 기반 침입 탐지 시스템의 일반화 능력이 제한되어 있는 문제를 해결하기 위해.
• 향상된 특징 표현을 통해 정교한 사이버 공격에 대한 탐지 정확도를 향상시키기 위해.
• 클러스터링과 분류를 융합한 하이브리드 접근 방식을 통해 강력한 IDS 설계를 위한 방법을 개발하기 위해.
• 제안된 방법이 잘 알려진 침입 탐지 기법들과 비교하여 실험적으로 검증하기 위해.

제안 방법

• 훈련 데이터셋에 퍼지 c-의미 클러스터링을 적용하여 정상 또는 이면적인 행동 패턴을 나타내는 조밀한 영역을 식별한다.
• 각 데이터 인스턴스에 대해 중심점 위치, 클러스터 반경, 소속도 수준 등의 클러스터 특수 특징을 추출한다.
• 이러한 클러스터에서 유도된 특징을 원본 특징 세트에 추가하여 분류를 위한 입력 표현을 풍부하게 한다.
• 원본 특징 세트와 결합된 특징 세트를 기반으로 지도 학습 분류기(SVM 또는 결정 트리 등)를 훈련시켜 정상 활동과 침입 활동을 구분한다.
• 특징 구축 과정에서 데이터 포인트의 중요도를 가중치로 적용하기 위해 퍼지 소속도 값을 활용하여 불확실성 인식 학습을 강조한다.
• 클러스터의 조밀성과 분리도를 균형 있게 조정하여 더 뛰어난 분류 능력을 확보하기 위해 클러스터링 과정을 최적화한다.

실험 결과

연구 질문

• RQ1 퍼지 클러스터링에서 도출된 특징은 데이터 마이닝 기반 침입 탐지 시스템의 일반화 능력을 향상시킬 수 있는가?
• RQ2 원본 특징과 클러스터 특징을 통합할 경우 탐지 정확도와 가짜 경고 비율에 어떤 영향을 미치는가?
• RQ3 제안된 방법은 실제 네트워크 침입 데이터셋에서 기존의 전통적 IDS 기법보다 뛰어난 성능을 보일 수 있는가?
• RQ4 퍼지 소속 정보는 침입 탐지 모델의 강건성에 어느 정도 기여하는가?

주요 결과

• 제안된 방법은 KDD 컵 1999 데이터셋에서 기존의 데이터 마이닝 기반 접근 방식보다 높은 탐지율을 달성했다.
• 기준 방법 대비 상당한 가짜 경고 비율 감소를 보이며 전체 신뢰도가 향상되었다.
• 퍼지 클러스터 특징을 통합함으로써 모델의 일반화 능력이 향상되었으며, 특히 미리 보지 못한 공격 패턴을 탐지하는 데서 두드러졌다.
• 원본 특징과 클러스터 특징을 조합한 하이브리드 특징 세트가 다양한 평가 지표에서 분류 성능 향상에 기여했다.