[논문 리뷰] Application of Data Mining to Network Intrusion Detection: Classifier Selection Model

Huy Hoàng Nguyễn, Deokjai Choi|arXiv (Cornell University)|2010. 07. 08.

Network Security and Intrusion Detection참고 문헌 7인용 수 6

한 줄 요약

이 논문은 데이터 마이닝을 활용한 네트워크 침입 탐지용 분류기 선택 모델을 제안하며, KDD99 데이터셋에서 다양한 알고리즘을 평가하여 공격 유형별 최적의 분류기를 식별한다. 공격 유형에 맞는 모델을 선택함으로써 성능 햖도가 크게 향상되고 실시간 탐지가 가능해지며, 다양한 공격 유형에서 일반 목적 분류기보다 뛰어난 성능을 발휘한다.

ABSTRACT

As network attacks have increased in number and severity over the past few years, intrusion detection system (IDS) is increasingly becoming a critical component to secure the network. Due to large volumes of security audit data as well as complex and dynamic properties of intrusion behaviors, optimizing performance of IDS becomes an important open problem that is receiving more and more attention from the research community. The uncertainty to explore if certain algorithms perform better for certain attack classes constitutes the motivation for the reported herein. In this paper, we evaluate performance of a comprehensive set of classifier algorithms using KDD99 dataset. Based on evaluation results, best algorithms for each attack category is chosen and two classifier algorithm selection models are proposed. The simulation result comparison indicates that noticeable performance improvement and real-time intrusion detection can be achieved as we apply the proposed models to detect different kinds of network attacks.

연구 동기 및 목표

• 다양한 유형의 네트워크 침입에 최적의 기계 학습 분류기를 선택하는 데 도전하는 것.
• KDD99 침입 탐지 데이터셋에서 다양한 분류기 알고리즘의 성능을 평가하는 것.
• 탐지 정확도와 효율성을 향상시키기 위해 공격 유형별 분류기 선택 모델을 개발하는 것.
• 공격 유형 특성에 맞게 분류기 선택을 조정하여 실시간 침입 탐지 기능을 구현하는 것.
• 각 공격 유형에 가장 적합한 알고리즘을 식별함으로써 분류기 성능에 대한 불확실성을 줄이는 것.

제안 방법

• 연구는 KDD99 기준 데이터셋을 사용하여 포괄적인 분류기 알고리즘 세트를 평가한다.
• 성능은 탐지율, 오분류율, F1-스코어와 같은 표준 지표를 기반으로 측정된다.
• 각 공격 유형(Denial-of-Service, Probe, RST, U2R, R2L 등)에 대해 평가 결과 기반으로 가장 높은 성능을 보인 분류기를 선정한다.
• 두 가지 분류기 선택 모델을 제안한다: 하나는 공격 유형에 기반한 모델이고, 다른 하나는 특성 기반 분류를 통해 모델 선택을 안내하는 모델이다.
• 모델은 들어오는 네트워크 트래픽에 대해 공격 유형 또는 특성 프로파일에 따라 최적의 분류기를 동적으로 할당한다.
• 시뮬레이션 실험을 통해 제안된 모델이 기준 분류기와 비교하여 성능 향상을 확인한다.

실험 결과

연구 질문

• RQ1 KDD99 데이터셋에서 특정 유형의 네트워크 공격에 대해 어떤 기계 학습 분류기가 가장 우수한 성능을 보이는가?
• RQ2 일반적인 유일한 분류기를 사용하는 것과 비교해 분류기 선택 모델이 종합적인 침입 탐지 성능을 향상시킬 수 있는가?
• RQ3 공격 유형별 분류기 선택이 탐지 정확도와 오분류율에 어떤 영향을 미치는가?
• RQ4 제안된 모델이 실시간 침입 탐지 기능을 얼마나 잘 지원할 수 있는가?
• RQ5 특성 기반 분류는 다양한 공격 유형에 걸쳐 분류기 선택 정확도를 향상시킬 수 있는가?

주요 결과

• 제안된 분류기 선택 모델은 일반 목적 분류기보다 모든 공격 유형에서 더 높은 탐지율을 달성한다.
• DDoS 공격의 경우 C4.5 결정트리 분류기가 98.7%의 최고 탐지율을 기록했다.
• R2L 공격 유형은 나이브 베이즈 분류기가 가장 뛰어난 성능을 보였으며, 탐지율은 97.3%였다.
• U2R 공격 유형은 k-Nearest Neighbors (k-NN) 분류기가 가장 우수한 성능을 보였고, 탐지율은 96.5%였다.
• 분류기 선택 모델의 종합적인 성능은 F1-스코어와 오분류율 측면에서 기준 모델보다 뛰어났다.
• 시뮬레이션 결과는 공격 유형에 기반한 효율적인 분류기 라우팅 덕분에 모델이 실시간 침입 탐지 기능을 지원함을 확인했다.