[논문 리뷰] Dempster-Shafer for Anomaly Detection

Qi Chen, Uwe Aickelin|arXiv (Cornell University)|2008. 03. 11.

Network Security and Intrusion Detection참고 문헌 11인용 수 12

한 줄 요약

이 논문은 다수의 신호를 융합하여 정확도를 향상시키는 델름스터-샤퍼 증거 이론 기반 이상 탐지 시스템을 제안한다. 기준 데이터셋과 실제 이메일 웜 탐지 작업에서 평가된 결과, 신뢰 함수를 사용하여 다양한 데이터 소스에서 온 증거를 효과적으로 융합함으로써 단일 신호 접근 방식보다 뛰어난 성능을 보였다.

ABSTRACT

In this paper, we implement an anomaly detection system using the Dempster-Shafer method. Using two standard benchmark problems we show that by combining multiple signals it is possible to achieve better results than by using a single signal. We further show that by applying this approach to a real-world email dataset the algorithm works for email worm detection. Dempster-Shafer can be a promising method for anomaly detection problems with multiple features (data sources), and two or more classes.

연구 동기 및 목표

• 다양한 이질적인 데이터 소스를 통합할 수 있는 강력한 이상 탐지 프레임워크를 개발하는 것.
• 델름스터-샤퍼 이론이 다수의 신호에서 온 증거를 융합하여 탐지 성능을 향상시키는 데 효과적인지 평가하는 것.
• 표준 기준 문제와 실제 이메일 데이터셋을 활용하여 접근 방식을 검증하는 것.
• 신뢰 함수를 통한 다중 소스 융합이 이상 탐지 작업에서 단일 신호 탐지보다 뛰어나다는 것을 입증하는 것.

제안 방법

• 저자는 불확실성을 모델링하고 다수의 특징 또는 데이터 소스에서 온 증거를 융합하기 위해 델름스터-샤퍼 이론을 적용한다.
• 각 신호 또는 특징은 이상 또는 정상 행동에 대한 지지를 나타내는 기본 확률 할당(BPA)을 기여한다.
• 프레임워크는 델름스터의 조합 규칙을 사용하여 다양한 소스에서 온 BPA를 집합적 신뢰 구조로 융합한다.
• 융합된 신뢰 함수는 이상 클래스에 대한 신뢰도를 계산하는 데 사용되며, 이를 통해 분류가 가능해진다.
• 이 방법은 두 개의 표준 기준 데이터셋과 알려진 웜 서명이 있는 실제 이메일 데이터셋을 사용하여 평가된다.
• 다중 소스 융합의 이점을 평가하기 위해 단일 신호 탐지와의 비교가 이루어진다.

실험 결과

연구 질문

• RQ1 델름스터-샤퍼 이론은 다수의 신호를 효과적으로 융합하여 이상 탐지 성능을 향상시킬 수 있는가?
• RQ2 신뢰 함수를 사용한 다중 신호 융합은 정확도 측면에서 단일 신호 탐지보다 어떻게 비교되는가?
• RQ3 델름스터-샤퍼 접근 방식은 이메일 웜 탐지와 같은 실제 이상 탐지 작업에 잘 일반화되는가?
• RQ4 다양한 데이터 소스에서 온 증거를 융합함으로써 이상 분류의 신뢰성에 어떤 영향을 미치는가?

주요 결과

• 델름스터-샤퍼 기반 시스템은 기준 데이터셋에서 단일 신호 방법보다 더 뛰어난 탐지 성능을 달성했다.
• 다양한 신호의 융합은 이메일 웜 탐지 작업에서 탐지율을 높이고 임의의 경고를 줄이는 데 크게 기여했다.
• 다양한 데이터 소스에서 온 불확실성과 충돌하는 증거를 다루는 데 있어 이 방법은 강건성을 보였다.
• 실증 결과는 신뢰 함수를 통한 증거 융합이 종합적인 탐지 정확도를 향상시킨다는 것을 확인시켰다.