[논문 리뷰] Collective Anomaly Detection based on Long Short Term Memory Recurrent Neural Network

Loïc Bontemps, Van Loi Cao외 2명|arXiv (Cornell University)|2017. 03. 28.

Network Security and Intrusion Detection참고 문헌 10인용 수 28

한 줄 요약

이 논문은 KDD 1999 데이터셋에서 실시간으로 작동하는 집단적 이상 탐지 모델을 제안한다. 이 모델은 장기적 단기 기억(LSTM) 순환 신경망을 사용하며, 정상 네트워크 트래픽 데이터만으로 훈련된다. 최근 여러 시간 단위에 걸친 예측 오차를 분석함으로써 개별 시간 단위에서는 드러나지 않는 집단적 이상—즉, 다중 시간 단위에 걸친 공조된 이질성—를 탐지한다. 이 방식은 협동 공격에 대해 향상된 민감도를 보이며 KDD 1999 데이터셋에서 신뢰할 수 있는 탐지 성능을 달성한다.

ABSTRACT

Intrusion detection for computer network systems becomes one of the most critical tasks for network administrators today. It has an important role for organizations, governments and our society due to its valuable resources on computer networks. Traditional misuse detection strategies are unable to detect new and unknown intrusion. Besides, anomaly detection in network security is aim to distinguish between illegal or malicious events and normal behavior of network systems. Anomaly detection can be considered as a classification problem where it builds models of normal network behavior, which it uses to detect new patterns that significantly deviate from the model. Most of the cur- rent research on anomaly detection is based on the learning of normally and anomaly behaviors. They do not take into account the previous, re- cent events to detect the new incoming one. In this paper, we propose a real time collective anomaly detection model based on neural network learning and feature operating. Normally a Long Short Term Memory Recurrent Neural Network (LSTM RNN) is trained only on normal data and it is capable of predicting several time steps ahead of an input. In our approach, a LSTM RNN is trained with normal time series data before performing a live prediction for each time step. Instead of considering each time step separately, the observation of prediction errors from a certain number of time steps is now proposed as a new idea for detecting collective anomalies. The prediction errors from a number of the latest time steps above a threshold will indicate a collective anomaly. The model is built on a time series version of the KDD 1999 dataset. The experiments demonstrate that it is possible to offer reliable and efficient for collective anomaly detection.

연구 동기 및 목표

• 기존의 이상 탐지 방법이 개별 시간 단위를 독립적으로 분석하는 데서 비롯하는 한계를 해결하기 위해.
• 단일 시간 단위에서의 이상이 아닌, 다중 시간 단위에 걸쳐 공조된 이질성을 탐지하기 위해.
• 네트워크 트래픽의 시간적 의존성을 모델링하여 기존에 본 적 없는 복잡한 공격을 향상된 성능으로 탐지하기 위해.
• 정상 데이터만으로 훈련되는 LSTM RNN을 사용해 실시간이고 확장 가능한 솔루션을 개발하기 위해.
• 예측 오차 누적을 집단적 이상 탐지 신호로 사용하는 것이 효과적인지 입증하기 위해.

제안 방법

• KDD 1999 데이터셋의 정상 시계열 네트워크 트래픽 데이터만으로 훈련된 장기적 단기 기억(LSTM) RNN을 사용한다.
• 훈련된 LSTM은 최근 입력 시퀀스를 기반으로 향후 시간 단위를 예측하며, 각 시간 단위에 대해 예측 출력을 생성한다.
• 각 시간 단위에 대해 실제 값과 예측 값 간의 차이인 예측 오차를 계산한다.
• 최근 예측 오차의 슬라이딩 윈도우를 유지하고, 그 누적 크기를 모니터링한다.
• 윈도우 내 예측 오차의 합이 사전 정의된 임계값을 초과하면 집단적 이상으로 간주한다.
• 이 방법은 시간적 맥락과 시퀀스 모델링을 활용하여 단일 단계 분석으로는 탐지할 수 없는 미세한 공조된 이질성을 탐지한다.

실험 결과

연구 질문

• RQ1 정상 데이터로 훈련된 LSTM RNN이 시간에 따른 예측 오차 패턴을 분석함으로써 집단적 이상을 탐지할 수 있는가?
• RQ2 여러 시간 단위에 걸쳐 예측 오차를 집계함으로써 단일 단계 이상 탐지에 비해 공조된 공격의 탐지 성능가 향상되는가?
• RQ3 실제 네트워크 트래픽에서 최적의 탐지 성능을 얻기 위해 예측 오차 누적에 대한 임계값 전략은 무엇인가?
• RQ4 학습 중에 이상 예시를 접하지 않은 채로도 모델이 이전에 본 적 없는 공격 패턴을 탐지할 수 있는가?
• RQ5 KDD 1999 벤치마크 데이터셋에서 실시간 탐지 시나리오에서 모델의 성능은 어떠한가?

주요 결과

• 모델은 다중 시간 단위에 걸쳐 지속적인 예측 오차의 이질성을 식별함으로써 집단적 이상을 성공적으로 탐지한다.
• 최근 시간 단위 윈도우에 걸쳐 예측 오차를 집계하는 것은 단일 단계 이상 탐지에 비해 공조된 공격 탐지 성능을 크게 향상시킨다.
• 이 방법은 KDD 1999 데이터셋에서 신뢰할 수 있는 탐지 성능을 달성하여 다양한 공격 패턴에 대해 강건함을 입증한다.
• 학습 시 레이블이 지정된 이상 데이터가 필요 없으며, 정상 데이터만으로도 학습하므로 일반화 능력이 향상된다.
• 모델는 실시간 추론이 가능하므로 실시간 네트워크 모니터링 시스템에 구현하기 적합하다.
• 결과는 LSTM 예측 오차 분석을 통한 집단적 이상 탐지 전략이 침입 탐지에 실현 가능하고 효과적인 방법임을 시사한다.