[논문 리뷰] Deep-Net: Deep Neural Network for Cyber Security Use Cases

R. Vinayakumar, Barathi Ganesh Hb외 3명|arXiv (Cornell University)|2018. 12. 09.

Advanced Malware Detection Techniques참고 문헌 20인용 수 14

한 줄 요약

이 논문은 악성 소프트웨어 분류, 사고 탐지, 사기 탐지와 같은 세 가지 사이버 보안 용도에 특화된 딥 뉴럴 네트워크 아키텍처인 Deep-Net을 제안한다. 끝에서 끝까지의 특징 학습과 광범위한 실험을 통한 최적화된 초모수를 활용하여 Deep-Net은 뛰어난 성능을 달성한다—악성 소프트웨어 탐지에서 94.0%의 정확도, 사고 탐지에서 100%, 사기 탐지에서 97.2%를 기록하며, XGBoost와 같은 전통적 모델을 모든 작업에서 능가한다.

ABSTRACT

Deep neural networks (DNNs) have witnessed as a powerful approach in this year by solving long-standing Artificial intelligence (AI) supervised and unsupervised tasks exists in natural language processing, speech processing, computer vision and others. In this paper, we attempt to apply DNNs on three different cyber security use cases: Android malware classification, incident detection and fraud detection. The data set of each use case contains real known benign and malicious activities samples. The efficient network architecture for DNN is chosen by conducting various trails of experiments for network parameters and network structures. The experiments of such chosen efficient configurations of DNNs are run up to 1000 epochs with learning rate set in the range [0.01-0.5]. Experiments of DNN performed well in comparison to the classical machine learning algorithms in all cases of experiments of cyber security use cases. This is due to the fact that DNNs implicitly extract and build better features, identifies the characteristics of the data that lead to better accuracy. The best accuracy obtained by DNN and XGBoost on Android malware classification 0.940 and 0.741, incident detection 1.00 and 0.997 fraud detection 0.972 and 0.916 respectively.

연구 동기 및 목표

• 실제 사이버 보안 용도에 특화된 딥 뉴럴 네트워크(DNN) 아키텍처를 개발하는 것.
• 기존 기계 학습 모델과 비교해 원시 시스템 및 네트워크 데이터로부터 복잡한 계층적 특징을 학습하는 데에 DNN의 효과성을 평가하는 것.
• 성능 정확도 향상을 위해 체계적인 실험을 통해 최적의 네트워크 구성과 초모수(예: 학습률, 깊이)를 규명하는 것.
• 세 가지 다른 사이버 보안 작업—악성 소프트웨어, 사고, 사기 탐지—에서 DNN의 성능을 XGBoost와 같은 전통적 알고리즘과 비교하기 위한 벤치마킹 수행.

제안 방법

• 사이버 보안 데이터의 비선형 패턴을 모델링하기 위해 다수의 완전 연결층과 활성화 함수(예: ReLU)를 포함한 딥 뉴럴 네트워크 설계.
• 모델 수렴과 성능 최적화를 위해 1000개의 학습 에포크 동안 학습률 범위 [0.01–0.5] 내에서 광범위한 초모수 튜닝 수행.
• 각 용도에 대해 실제 데이터셋을 사용: 안드로이드 악성 소프트웨어, 시스템 침입, 금융 사기.
• 역전파와 확률적 경사 하강법을 포함한 표준 딥 러닝 학습 절차를 사용해 분류 손실 최소화.
• 정확도와 같은 표준 지표를 사용해 모델 성능 평가 및 XGBoost 및 기타 전통적 기계 학습 기반 모델과의 비교.
• 다중 시험에서의 실증적 검증 및 검증 세트 성능을 바탕으로 최종 모델 아키텍처 선정.

실험 결과

연구 질문

• RQ1 딥 뉴럴 네트워크는 기존 모델과 비교해 원시 사이버 보안 데이터로부터 계층적 표현을 효과적으로 학습하여 탐지 정확도를 향상시킬 수 있는가?
• RQ2 최적의 네트워크 아키텍처와 초모수 설정(예: 학습률, 깊이)은 다양한 사이버 보안 작업에서 성능을 극대화하는가?
• RQ3 DNN의 성능은 안드로이드 악성 소프트웨어, 시스템 침입, 금융 사기 탐지에서 XGBoost와 비교해 어떻게 나타나는가?
• RQ4 DNN는 수동 특징 공학을 초월해 분류 성능을 향상시키는 데 기여하는 분별성 있는 특징을 암묵적으로 추출하는가?
• RQ5 단일 DNN 프레임워크는 최소한의 아키텍처 수정으로 여러 사이버 보안 용도에 효과적으로 적용될 수 있는가?

주요 결과

• Deep-Net은 안드로이드 악성 소프트웨어 분류에서 94.0%의 정확도를 기록하여 XGBoost의 74.1%를 크게 능가했다.
• 사고 탐지에서는 Deep-Net이 100%의 정확도를 달성했으며, XGBoost의 99.7%보다 높았다.
• 사기 탐지에서는 Deep-Net이 97.2%의 정확도를 기록하여 XGBoost의 91.6%를 초월했다.
• DNN의 뛰어난 성능은 원시 데이터로부터 복잡한 고차원 특징을 자동으로 학습하고 추출할 수 있는 능력 덕분이다.
• 학습률 0.01에서 0.5 사이에서 1000 에포크에 걸쳐 광범위한 초모수 튜닝을 통해 최적 수렴과 높은 정확도를 확보했다.
• 결과는 데이터의 복잡성과 특징 간 상호의존성이 높은 사이버 보안 응용 분야에서 DNN가 특히 효과적이라는 것을 보여준다.