[논문 리뷰] Convolutional Neural Network for Intrusion Detection System In Cyber Physical Systems

Gael Kamdem De Teyou, Junior Ziazet|arXiv (Cornell University)|2019. 05. 08.

Network Security and Intrusion Detection참고 문헌 6인용 수 14

한 줄 요약

이 논문은 실시간으로 고도화된 지속적 위협(APT)을 탐지할 수 있는 컨볼루션 신경망(CNN) 기반 침입 탐지 시스템(IDS)을 제안한다. NSL-KDD 데이터셋으로 훈련된 모델는 최첨단 기법들보다 뛰어난 탐지 성능를 보이며, 핵심 인프라 환경에서 정교한 사이버 침입을 식별하는 딥러닝의 효과성을 입증한다.

ABSTRACT

The extensive use of Information and Communication Technology in critical infrastructures such as Industrial Control Systems make them vulnerable to cyber-attacks. One particular class of cyber-attacks is advanced persistent threats where highly skilled attackers can steal user authentication information's and move in the network from host to host until a valuable target is reached. The detection of the attacker should occur as soon as possible in order to take appropriate response, otherwise the attacker will have enough time to reach sensitive assets. When facing intelligent threats, intelligent solutions have to be designed. Therefore, in this paper, we take advantage of recent progress in deep learning to build a convolutional neural networks that can detect intrusions in cyber physical system. The Intrusion Detection System is applied on the NSL-KDD dataset and the performances of the proposed approach are presented and compared with the state of art. Results show the effectiveness of the techniques.

연구 동기 및 목표

• 핵심 인프라에서 증가하는 사이버-물리 시스템(CPS)의 고도화된 지속적 위협(APT)에 대한 취약성 해결.
• 산업 제어 시스템에서 은밀하고 다단계적인 공격을 탐지할 수 있는 지능형 실시간 침입 탐지 메커니즘 개발.
• 기존의 서명 기반 또는 머신러닝 기반 IDS와 비교해 탐지 정확도를 향상시키고 가짜 경고를 줄이기 위해 딥러닝 기술의 발전을 활용.
• 기존 접근 방식들과의 성능를 검증하기 위해 표준 벤치마크 데이터셋에서 제안된 CNN 모델의 성능 평가.

제안 방법

• CPS 내 네트워크 트래픽 분류에 최적화된 1차원 컨볼루션 신경망(CNN) 아키텍처 설계.
• 최적의 CNN 훈련을 위해 NSL-KDD 데이터셋을 전처리하여 관련 특징을 추출하고 입력 데이터를 정규화.
• 네트워크 트래픽 내 국소적이고 시간적 패턴을 자동으로 학습하기 위해 다중 컨볼루션 레이어에 ReLU 활성화 함수 적용.
• 차원 감소 및 특징 일반화 향상을 위해 풀링 레이어 적용.
• 최종 분류를 위해 완전 연결 레이어와 소프트맥스 함수 사용하여 정상 또는 다양한 공격 유형으로 분류.
• 탐지 성능 최적화를 위해 교차 엔트로피 손실과 함께 확률적 경사 하강법을 사용해 모델 훈련.

실험 결과

연구 질문

• RQ1 CNN 기반 모델은 높은 정확도와 낮은 가짜 경고 비율로 사이버-물리 시스템에서 고도화된 지속적 위협(APT)을 효과적으로 탐지할 수 있는가?
• RQ2 제안된 CNN 모델은 NSL-KDD 데이터셋에서 기존 최첨단 침입 탐지 시스템과 비교해 성능가 어떻게 다른가?
• RQ3 딥러닝 기법은 산업 제어 시스템에서 은밀하고 다단계적인 공격 탐지에 얼마나 향상시킬 수 있는가?
• RQ4 기존 머신러닝 모델과 비교해 1차원 컨볼루션 레이어의 사용이 네트워크 트래픽 로그에서의 특징 추출에 어떻게 기여하는가?

주요 결과

• 제안된 CNN 기반 IDS는 NSL-KDD 데이터셋에서 다수의 최첨단 기법들보다 높은 탐지 정확도를 달성한다.
• 원시 네트워크 트래픽에서 계층적 특징을 학습할 수 있는 능력 덕분에 복잡한 공격 패tern, 특히 APT를 보다 효과적으로 식별한다.
• 컨볼루션 레이어의 사용으로 국소적 트래픽 패턴의 효과적인 추출이 가능해져 탐지 민감도 향상.
• 기존 전통적 IDS 접근 방식과 비교해 가짜 경고 비율이 감소하여 운영 신뢰성 향상.
• 결과적으로 딥러닝 모델, 특히 CNN은 핵심 CPS 환경에서 실시간 침입 탐지에 매우 적합함을 확인.
• 모델의 뛰어난 성능에도 불구하고, 논문은 arXiv에서 부적절한 텍스트 재사용으로 인해 철수되었으며, 학술 윤리에 대한 우려 제기.