[논문 리뷰] Attribute Weighting with Adaptive NBTree for Reducing False Positives in Intrusion Detection

Dewan Md. Farid, Mohammad Zahidur Rahman|arXiv (Cornell University)|2010. 05. 06.

Network Security and Intrusion Detection참고 문헌 48인용 수 9

한 줄 요약

이 논문은 네트워크 침입 탐지에서 임의의 양성 결과를 줄이기 위해 적응형 NBTree 기반의 속성 가중치 부여 방법을 제안한다. 의사결정나무 기반의 속성 가중치 부여와 나이브 베이즈 분류를 통합함으로써 탐지 정확도를 향상시키고 침입 유형 간 성능을 균형 있게 유지하며, KDD99 데이터셋에서 임의의 양성 결과를 크게 감소시키면서도 높은 탐지율을 유지한다.

ABSTRACT

In this paper, we introduce new learning algorithms for reducing false positives in intrusion detection. It is based on decision tree-based attribute weighting with adaptive naïve Bayesian tree, which not only reduce the false positives (FP) at acceptable level, but also scale up the detection rates (DR) for different types of network intrusions. Due to the tremendous growth of network-based services, intrusion detection has emerged as an important technique for network security. Recently data mining algorithms are applied on network-based traffic data and host-based program behaviors to detect intrusions or misuse patterns, but there exist some issues in current intrusion detection algorithms such as unbalanced detection rates, large numbers of false positives, and redundant attributes that will lead to the complexity of detection model and degradation of detection accuracy. The purpose of this study is to identify important input attributes for building an intrusion detection system (IDS) that is computationally efficient and effective. Experimental results performed using the KDD99 benchmark network intrusion detection dataset indicate that the proposed approach can significantly reduce the number and percentage of false positives and scale up the balance detection rates for different types of network intrusions.

연구 동기 및 목표

• 기존 침입 탐지 시스템(IDS)에서 높은 임의의 양성 결과 비율이 탐지 신뢰도를 떨어뜨리는 문제를 해결하기 위해.
• 네트워크 트래픽 데이터에서 중복되고 관련성이 없는 속성으로 인한 모델 복잡도를 줄이기 위해.
• 다양한 침입 유형 간 탐지율 균형을 향상시키기 위해, 특히 데이터 불균형이 심한 경우에 유의미한 개선을 이루기 위해.
• 적응형 속성 가중치를 활용해 계산 효율적이고 정확한 IDS를 개발하기 위해.
• 의사결정나무 기반 특성 가중치 통합을 통해 나이브 베이즈 분류기의 침입 탐지 성능을 향상시키기 위해.

제안 방법

• 이 방법은 의사결정나무 유도와 나이브 베이즈 분류를 결합한 적응형 나이브 베이지안 트리(NBTree)를 사용한다.
• 속성 가중치는 의사결정나무 분할에서 정보 이득과 지니 지수를 기반으로 동적으로 할당된다.
• 트리의 각 노드에서 특징이 재가중되어 분류에 가장 구분력 있는 속성들을 우선순위로 지정한다.
• 알고리즘은 트리 구축 과정에서 속성 중요도를 적응적으로 조정하여 분류 정확도를 향상시킨다.
• 최종 모델은 가중치가 부여된 속성을 나이브 베이즈 분류에 활용하여 임의의 양성 결과를 감소시킨다.
• 표준 침입 탐지 메트릭을 사용하여 KDD99 벤치마크 데이터셋에서 이 방법을 평가한다.

실험 결과

연구 질문

• RQ1 의사결정나무 기준에 기반한 속성 가중치가 침입 탐지에서 임의의 양성 결과 비율을 줄일 수 있는가?
• RQ2 적응형 속성 가중치는 다양한 침입 유형 간 탐지율 균형을 어떻게 향상시키는가?
• RQ3 의사결정나무와 나이브 베이즈의 통합이 모델 복잡도를 얼마나 줄이고 정확도를 향상시키는가?
• RQ4 제안된 방법은 임의의 양성 결과를 크게 감소시키면서도 높은 탐지율을 유지하는가?
• RQ5 적응형 NBTree는 표준 나이브 베이즈 및 의사결정나무 모델에 비해 침입 탐지 성능에서 어떻게 비교되는가?

주요 결과

• 제안된 방법은 기준 나이브 베이즈 및 표준 의사결정나무 모델에 비해 유의미한 임의의 양성 결과 감소를 달성했다.
• 다양한 침입 유형 간 탐지율이 균형을 이루었으며, 이전에 탐지되지 않았던 유형인 U2R 및 R2L 공격 유형까지 포함해 균형 잡힌 성능을 보였다.
• 동적 가중치 부여로 인한 속성 중복 감소 덕분에 계산 효율성이 향상된 것으로 나타났다.
• 속성 가중치 통합이 NBTree에 통합되면서 KDD99 데이터셋에서 전체 탐지 정확도가 향상되었다.
• F1 점수 향상과 FPR 감소 측면에서 기존의 나이브 베이즈 및 의사결정나무 모델을 능가하는 성능을 보였다.
• 희귀 공격 유형에 대해서도 높은 탐지율을 유지하여 클래스 불균형에 대한 강건성을 입증했다.