[논문 리뷰] Efficient GAN-based method for cyber-intrusion detection

Hongyu Chen, Li Jiang|arXiv (Cornell University)|2019. 04. 04.

Network Security and Intrusion Detection참고 문헌 21인용 수 16

한 줄 요약

이 논문은 KDD-CUP '99 데이터셋에서 비균형 데이터셋의 이산 특징 문제를 해결하기 위해 개선된 손실 함수와 다중 중간층을 도입한 효율적인 GAN 기반 모델을 제안한다. 모델은 워샤프스키 거리와 특징 매칭을 활용하여 이상 탐지 정확도를 향상시키고 학습 및 추론 시간을 단축시킨다. 이는 기존 최고 수준의 GAN 기반 방법보다 뛰어난 성능을 보인다.

ABSTRACT

Ubiquitous anomalies endanger the security of our system constantly. They may bring irreversible damages to the system and cause leakage of privacy. Thus, it is of vital importance to promptly detect these anomalies. Traditional supervised methods such as Decision Trees and Support Vector Machine (SVM) are used to classify normality and abnormality. However, in some case the abnormal status are largely rarer than normal status, which leads to decision bias of these methods. Generative adversarial network (GAN) has been proposed to handle the case. With its strong generative ability, it only needs to learn the distribution of normal status, and identify the abnormal status through the gap between it and the learned distribution. Nevertheless, existing GAN-based models are not suitable to process data with discrete values, leading to immense degradation of detection performance. To cope with the discrete features, in this paper, we propose an efficient GAN-based model with specifically-designed loss function. Experiment results show that our model outperforms state-of-the-art models on discrete dataset and remarkably reduce the overhead.

연구 동기 및 목표

• 클래스 불균형으로 인해 희귀한 사이버 침입을 탐지하는 데 있어 전통적인 지도 학습 방법의 한계를 해결하기 위해.
• 비교적 낮은 성능을 보이는 표준 GAN이 이산 특징에서 비효율적인 이유는 분포가 겹치지 않으며 손실 함수가 부적절하기 때문이다.
• 실시간 사이버 침입 탐지에 적합한 실시간 학습 및 추론 시간을 단축하기 위해.
• 다중 중간층과 개선된 손실 함수를 활용하여 더 나은 특징 표현과 이상점 스코어링을 통해 탐지 정확도를 향상시키기 위해.

제안 방법

• 모델는 이중 생성자-판별자 아키텍처를 사용하며, 비정상적인 분포를 다룰 수 있도록 워샤프스키 거리와 특징 매칭을 조합한 개선된 손실 함수를 적용한다.
• 판별자에 다중 중간층을 도입하여 결정 경계를 부드럽게 하고, 계층적 특징 재구성을 통해 이상점 스코어 추정을 향상시킨다.
• 학습 과정에서 교차 엔트로피 대신 L1 기반 워샤프스키 거리를 사용하여 희귀하고 이산적인 데이터 분포에 더 적합하다.
• 이산 특징은 원핫 인코딩을 통해 사전 처리하여 GAN 프레임워크와 호환되도록 한다.
• 이상점 스코어는 잠재 공간에서 생성된 가장 유사한 정상 샘플과 입력 샘플 간의 차이에 기반하여 계산된다.
• 모델은 정상 샘플만으로 학습되기 때문에 비지도 이상 탐지가 가능하다.

실험 결과

연구 질문

• RQ1 이산 특징과 심각한 클래스 불균형을 가진 데이터셋에서 GAN 기반 모델이 사이버 침입을 효과적으로 탐지할 수 있는가?
• RQ2 워샤프스키 거리와 특징 매칭의 사용이 이산 데이터의 비중복 분포에서 탐지 성능을 어떻게 향상시키는가?
• RQ3 판별자에 다중 중간층을 통합할 경우 이상점 스코어 정확도와 모델의 강건성은 어느 정도 향상되는가?
• RQ4 기존 최고 수준의 GAN 기반 이상 탐지 모델과 비교해 볼 때, 제안된 모델의 학습 및 추론 효율성은 어떠한가?

주요 결과

• 제안된 모델은 이산 특징이 있는 KDD-CUP '99 데이터셋에서 최고 수준의 모델보다 높은 F1 스코어를 달성하여 뛰어난 탐지 성능을 입증했다.
• GPU 기준으로는 BiGAN 기반 벤치마크( Zenati et al., 2018) 대비 약 660배 빠른 학습 시간을 기록했고, CPU 기준으로는 1.357배 빠르게 학습했다.
• CPU 기준으로는 샘플당 평균 1.4ms의 추론 시간을 기록하여 BiGAN 기반 모델의 1.9ms보다 뛰어난 성능을 보였다.
• 1%에서 20%까지 다양해지는 오염 비율에서도 높은 정밀도와 재현율을 유지하여 데이터 불균형에 강건함을 입증했다.
• 다중 중간층의 도입으로 이상점 스코어 예측이 더 균형 잡히고 신뢰할 수 있게 되었으며, 희귀한 정상 패턴에 대한 과적합을 줄였다.
• 워샤프스키 거리와 특징 매칭을 기반으로 한 개선된 손실 함수는 이산 데이터에서 실제 분포와 생성된 분포 간 겹침이 없는 문제를 효과적으로 해결했다.