[논문 리뷰] Fast Feature Reduction in intrusion detection datasets

Shafigh Parsazad, Ehsan Saboori외 1명|arXiv (Cornell University)|2013. 04. 01.

Network Security and Intrusion Detection인용 수 27

한 줄 요약

이 논문은 침입 탐지 데이터셋에 대해 부가적인 정확도 손실 없이 중복된 특징을 제거하는 빠르고 계산 효율적인 특징 감소 방법을 제안한다. 간단하고 저비용의 필터링 기반 접근 방식을 활용하여, 상관 계수 및 최대 정보 압축 지수와 같은 유사도 기반 방법보다 계산 효율성이 뛰어나면서도 KNN 및 나이브 베이즈 분류기에서 경쟁적인 탐지 성능을 유지를 한다.

ABSTRACT

In the most intrusion detection systems (IDS), a system tries to learn characteristics of different type of attacks by analyzing packets that sent or received in network. These packets have a lot of features. But not all of them is required to be analyzed to detect that specific type of attack. Detection speed and computational cost is another vital matter here, because in these types of problems, datasets are very huge regularly. In this paper we tried to propose a very simple and fast feature selection method to eliminate features with no helpful information on them. Result faster learning in process of redundant feature omission. We compared our proposed method with three most successful similarity based feature selection algorithm including Correlation Coefficient, Least Square Regression Error and Maximal Information Compression Index. After that we used recommended features by each of these algorithms in two popular classifiers including: Bayes and KNN classifier to measure the quality of the recommendations. Experimental result shows that although the proposed method can't outperform evaluated algorithms with high differences in accuracy, but in computational cost it has huge superiority over them.

연구 동기 및 목표

• 네트워크 트래픽 데이터에서 큰 특징 집합으로 인해 발생하는 높은 계산 비용과 느린 학습 속도 문제를 해결한다.
• 침입 탐지 데이터셋의 중복 및 비정보성 특징을 감소시켜 모델 학습 및 탐지 속도를 향상시킨다.
• 기존의 유사도 기반 접근 방식보다 계산 비용이 낮으면서도 탐지 정확도를 유지하는 특징 선택 방법을 개발한다.
• 효율성과 분류 성능 측면에서 기존의 특징 선택 알고리즘과 비교하여 제안된 방법을 평가한다.

제안 방법

• 낮은 분류 능력을 지닌 특징을 단순하고 계산 비용이 낮은 기준을 사용해 필터링하는 방식을 기반으로 한 새로운 빠른 특징 선택 알고리즘을 제안한다.
• 정상 및 악성 네트워크 트래픽을 구분하는 데 기여도가 낮은 특징을 식별하고 제거하기 위해 히우리스틱 기반 접근 방식을 활용한다.
• 성능 평가를 위해 선택된 특징을 널리 사용되는 두 가지 분류기인 나이브 베이즈 및 K-최근접 이웃(KNN)에 적용한다.
• 상관 계수, 최소 제곱 회귀 오차, 최대 정보 압축 지수와 같은 세 가지 기존의 유사도 기반 방법에서 유도된 특징과의 효과를 비교한다.
• 복잡한 통계 모델링이나 반복 최적화에 의존하지 않는 필터링 메커니즘을 적용하여 대규모 데이터셋의 빠른 처리를 가능하게 한다.
• 계산 오버헤드를 최소화하면서도 수용 가능한 분류 정확도를 유지함으로써 실시간 침입 탐지에 적합한 방법이다.

실험 결과

연구 질문

• RQ1 경량형이고 빠른 특징 선택 방법이 정확도를 크게 떨어뜨리지 않으면서도 침입 탐지에서 계산 비용을 줄일 수 있는가?
• RQ2 제안된 방법이 기존의 유사도 기반 특징 선택 기법과 비교할 때 계산 효율성 측면에서 어떻게 성능을 내는가?
• RQ3 제안된 방법을 사용한 특징 감소가 표준 침입 탐지 데이터셋에서 분류 성능을 어느 정도 유지하는가?
• RQ4 실제로 널리 사용되는 대규모 고차원 침입 탐지 데이터셋에 대해 제안된 방법이 효과적으로 확장 가능한가?
• RQ5 기존 방법과 비교할 때 제안된 특징 감소 기법을 사용할 경우 계산 속도와 정확도 사이의 상충 관계는 어떠한가?

주요 결과

• 제안된 특징 감소 방법은 상관 계수, 최소 제곱 회귀 오차, 최대 정보 압축 지수와 비교해 상당히 낮은 계산 비용을 기록한다.
• 기준 성능 방법보다 정확도에서 뛰어나지 않지만, 나이브 베이즈 및 KNN 분류기에서 경쟁적인 분류 성능을 유지한다.
• 중복된 특징 제거로 인해 더 빠른 학습과 모델 학습 속도를 확보할 수 있으며, 이는 실시간 침입 탐지 시스템에 매우 중요하다.
• 제안된 방법의 계산적 우월성은 고속 네트워크 환경에서의 구현에 매우 적합하다.
• 결과적으로 단순하고 빠른 필터링 기법이 정확도를 우선으로 하지 않을 경우 침입 탐지에서 특징 감소에 효과적일 수 있음을 보여준다.
• 낮은 계산 부하 덕분에 대규모 데이터셋에서도 강력한 확장성 잠재력을 보이며, 특히 성능을 고려할 때 유리하다.