[논문 리뷰] Data-Driven Network Intrusion Detection: A Taxonomy of Challenges and Methods

Dylan Chou, Meng Jiang|arXiv (Cornell University)|2020. 09. 15.

Network Security and Intrusion Detection참고 문헌 159인용 수 9

한 줄 요약

이 논문은 데이터 기반 네트워크 침입 탐지(NID)의 도전 과제와 방법에 대한 종합적인 분류 체계를 제시하며, 데이터 불균형과 합성 데이터셋의 한계 등 8개의 핵심 문제를 특정한다. 1999~2020년도의 일반적으로 사용되는 데이터셋을 평가하고 연구 동향을 분석하며, 모델의 일반화 능력과 새로운 공격에 대한 성능 향상을 위해 실제 세계 데이터 수집, 확장 가능한 모델, 클라우드 네이티브 탐지 시스템을 권장한다.

ABSTRACT

Data-driven methods have been widely used in network intrusion detection (NID) systems. However, there are currently a number of challenges derived from how the datasets are being collected. Most attack classes in network intrusion datasets are considered the minority compared to normal traffic and many datasets are collected through virtual machines or other simulated environments rather than real-world networks. These challenges undermine the performance of intrusion detection machine learning models by fitting models such as random forests or support vector machines to unrepresentative "sandbox" datasets. This survey presents a carefully designed taxonomy highlighting eight main challenges and solutions and explores common datasets from 1999 to 2020. Trends are analyzed on the distribution of challenges addressed for the past decade and future directions are proposed on expanding NID into cloud-based environments, devising scalable models for larger amount of network intrusion data, and creating labeled datasets collected in real-world networks.

연구 동기 및 목표

• 시스템적 분류 체계를 통해 데이터 기반 네트워크 침입 탐지(NID)의 효과적인 구현을 저해하는 주요 과제를 식별하고 분류하는 것.
• 특히 합성 기원과 클래스 불균형으로 인한 일반적인 공개 NID 데이터셋의 한계를 분석하는 것.
• 2010~2020년도 동안 NID 연구의 동향을 분석하여, 방법론적 발전과 실세계 데이터 활용의 격차를 평가하는 것.
• 확장 가능한 머신러닝 모델, 실세계 데이터 수집, 클라우드 기반 침입 탐지 시스템과 같은 향후 연구 방향을 제안하는 것.
• 방법론적 및 데이터 관련 과제를 평가하여 연구자들이 더 대표성 있고 일반화 가능하며 실용적인 NID 솔루션으로 나아갈 수 있도록 이끌는 것.

제안 방법

• 데이터 기반 NID의 8개 핵심 과제를 해당 기술적 해결책에 체계적으로 연결하기 위해 도전 과제-해결책 히어리스틱을 개발했다.
• 1999~2020년도 동안 34개의 공개 NID 데이터셋에 대해 엔트로피 분석과 공격 유형 분포 분석을 수행하여 데이터 불균형과 대표성의 정도를 정량화했다.
• 2010~2020년도 동안 100편 이상의 논문을 조사하고 분류하여 머신러닝과 빅데이터 통합에 초점을 맞춘 NID 방법의 동향을 식별했다.
• 합성 또는 불균형 데이터셋으로 훈련된 일반적인 모델들(예: 랜덤 포레스트, 서포트 벡터 머신, 딥 네트워크)의 성능과 한계를 평가했다.
• 실세계 데이터 부족, 동적 데이터 처리, 클라우드 네이티브 탐지 아키텍처의 격차를 바탕으로 향후 연구 방향을 제안했다.
• 어휘 벡터 분석(예: 그림 14)을 사용하여 빅데이터, 클라우드 컴퓨팅, NID와 같은 기술 간의 개념적 관계를 매핑했다.

실험 결과

연구 질문

• RQ1 기계학습 모델의 네트워크 침입 탐지 성능을 저해하는 주요 데이터 관련 과제는 무엇인가?
• RQ2 합성 또는 가상화된 데이터셋은 NID 모델의 일반화 능력과 실세계 적용 가능성에 어떤 영향을 미치는가?
• RQ3 2010~2020년도 동안 NID 연구에서 방법론과 데이터셋 사용에 있어 나타난 주요 동향은 무엇인가?
• RQ4 현재 NID 시스템이 대용량, 동적, 스트리밍 네트워크 데이터를 처리하는 데 겪는 주요 한계는 무엇인가?
• RQ5 확장 가능하고 실세계 기반이며 클라우드 통합형 NID 시스템을 발전시키기 위해 가장 중요한 향후 연구 방향은 무엇인가?

주요 결과

• 대부분의 NID 데이터셋은 공격 클래스가 트래픽의 소수에 불과하여 불균형한 데이터로 인해 모델 성능이 편향되는 경향이 있다.
• 대부분의 데이터셋이 가상 머신이나 시뮬레이션 환경을 통해 수집되어 실제 네트워크 트래픽의 대표성을 떨어뜨린다.
• 이상 탐지 기술의 발전에도 불구하고, 낮은 가짜 양성 비율 덕분에 서명 기반 방법이 여전히 지배적이나, 제로데이 공격을 탐지하지 못한다.
• 증가하는 데이터 볼륨을 감안할 때, 동적 네트워크 데이터를 위한 확장 가능하고 인크리멘탈 머신러닝 모델에 대한 연구는 여전히 제한적이다.
• 클라우드 기반 및 엣지 컴퓨팅 통합은 등장하고 있으나 여전히 탐색이 부족한 편이며, 특히 실시간 스트리밍 침입 탐지에 대해 그렇다.
• 실세계 소비자 및 기업 네트워크에서 수집된 공개 가능하고 레이블이 부여된 네트워크 트래픽 데이터의 부족이 심각한 문제로 존재한다.