[논문 리뷰] Anomaly Detection Framework Using Rule Extraction for Efficient Intrusion Detection

Antti Juvonen, Tuomo Sipola|arXiv (Cornell University)|2014. 10. 28.

Network Security and Intrusion Detection참고 문헌 66인용 수 5

한 줄 요약

이 논문은 비정상 행위 탐지에 대해 투명하고 실시간으로 작동하는 프레임워크를 제안한다. 이 프레임워크는 비지도 학습 기반의 확산 맵 차원 축소와 군집화를 통해 네트워크 트래픽을 레이블링하고, 이후 결합 규칙 추출을 통해 효율적인 이상 탐지 분류를 수행한다. 시스템은 KDD Cup 99 및 실제 네트워크 로그에서 높은 탐지 성능를 달성하며, 사전에 공격 레이블이 필요로 하지 않으며 해석 가능하고 빠르고 확장 가능한 분류를 제공한다.

ABSTRACT

Huge datasets in cyber security, such as network traffic logs, can be analyzed using machine learning and data mining methods. However, the amount of collected data is increasing, which makes analysis more difficult. Many machine learning methods have not been designed for big datasets, and consequently are slow and difficult to understand. We address the issue of efficient network traffic classification by creating an intrusion detection framework that applies dimensionality reduction and conjunctive rule extraction. The system can perform unsupervised anomaly detection and use this information to create conjunctive rules that classify huge amounts of traffic in real time. We test the implemented system with the widely used KDD Cup 99 dataset and real-world network logs to confirm that the performance is satisfactory. This system is transparent and does not work like a black box, making it intuitive for domain experts, such as network administrators.

연구 동기 및 목표

• 침입 탐지에서 블랙박스 기계학습 모델의 투명성 부족과 계산 비효율 문제를 해결하기 위해.
• 자동 생성된 인간이 읽을 수 있는 규칙를 사용하여 대규모 네트워크 트래픽을 실시간으로 분류할 수 있도록 하기 위해.
• 공격 유형에 대한 사전 지식 없이도 레이블이 없는 데이터에서 정상 행동을 학습할 수 있는 시스템을 개발하기 위해.
• 블랙박스 모델 대신 이해할 수 있는 결합 규칙을 도입함으로써 네트워크 관리자들이 시스템의 투명성과 사용성을 향상시키기 위해.
• 프레임워크의 효과성을 벤치마크(KDD Cup 99) 및 실제 네트워크 로그 데이터 세트에서 검증하기 위해.

제안 방법

• 네트워크 트래픽 특성의 저차원 표현을 추출하기 위해 확산 맵 기반 차원 축소를 적용한다.
• 축소된 데이터에 대해 군집화를 수행하여 정상 및 비정상 트래픽 패턴을 비지도로 레이블링한다.
• 군집화된 레이블에서 이해할 수 있는 결합 규칙을 추출하기 위한 규칙 추출 알고리즘을 적용한다.
• 추출된 규칙을 사용하여 들어오는 네트워크 트래픽을 신속하고 실시간으로 분류한다.
• 학습 및 평가에 KDD Cup 99 및 실제 웹 로그를 사용하며, 성능 평가에는 혼동 행렬과 매튜스 상관계수를 사용한다.
• 업데이트된 데이터로 주기적인 재학습을 허용함으로써 정확도를 유지하기 위해 동적 적응을 지원한다.

실험 결과

연구 질문

• RQ1 사전에 공격 유형을 알지 못한 상태에서 비지도 차원 축소와 군집화가 이상 탐지에 적절한 네트워크 트래픽 레이블링에 효과적으로 기여할 수 있는가?
• RQ2 군집화된 데이터에서 추출된 규칙가 실시간 침입 탐지에 대해 이해 가능하고 높은 성능을 보이는 분류기로 작용할 수 있는가?
• RQ3 이 프레임워크는 벤치마크 및 실제 네트워크 로그를 포함한 다양한 데이터세트에서 어떻게 성능를 발휘하는가?
• RQ4 제한된 학습 데이터로도 시스템의 성능가 유지되는 정도는 어느 정도인가?
• RQ5 도메인 전문가들이 도출된 규칙를 의미적으로 해석할 수 있는가? 이를 통해 시스템의 투명성이 향상되는가?

주요 결과

• KDD Cup 99 데이터세트에서 10% 학습 서브셋을 사용할 때 매튜스 상관계수 0.91을 기록하여 강력한 분류 성능를 입증하였다.
• 작은 무작위 학습 서브셋이 전체 10% 데이터세트보다 더 높은 매튜스 상관계수를 기록하여, 데이터 다양성이 감소할수록 규칙 학습 성능가 향상된다는 것을 시사한다.
• 실제 웹 로그 데이터에서 수작업 점검 결과, 정상 및 비정상 트래픽이 성공적으로 분리되었지만, 정확도 측정을 위한 기준 레이블이 없었다.
• 규칙 기반 분류기 덕분에 실시간 트래픽 분류가 가능했으며, 분류 단계는 규칙 생성 단계보다 훨씬 빠르게 수행되었다.
• 학습 중에 레이블이 없는 실제 공격 데이터를 사용함에도 불구하고, 실제 로그에서 실제 침입을 탐지하는 데 있어 높은 강건성을 보였다.
• 프레임워크의 투명성 덕분에 도메인 전문가들이 규칙를 해석하고 검증할 수 있어 신뢰도 향상과 실질적 도입이 가능해졌다.