[논문 리뷰] FLAD: Adaptive Federated Learning for DDoS Attack Detection

Roberto Doriguzzi-Corin, Domenico Siracusa|arXiv (Cornell University)|2022. 05. 13.

Network Security and Intrusion Detection인용 수 10

한 줄 요약

FLAD는 테스트 데이터를 공유하지 않고도 로컬 검증 정확도를 활용하여 테스트 데이터를 공유하지 않고도 수렴 모니터링이 가능한 새로운 적응형 분산 학습 프레임워크로, 더 어려운 학습이 필요한 공격 프로파일을 가진 클라이언트에게 더 많은 학습 라운드를 동적으로 할당함으로써 비균형이고 비독립동일분포(non-i.i.d.)인 DDoS 데이터셋에서 최신 기술 대비 더 빠른 수렴 속도와 높은 정확도를 달성한다.

ABSTRACT

Federated Learning (FL) has been recently receiving increasing consideration from the cybersecurity community as a way to collaboratively train deep learning models with distributed profiles of cyber threats, with no disclosure of training data. Nevertheless, the adoption of FL in cybersecurity is still in its infancy, and a range of practical aspects have not been properly addressed yet. Indeed, the Federated Averaging algorithm at the core of the FL concept requires the availability of test data to control the FL process. Although this might be feasible in some domains, test network traffic of newly discovered attacks cannot be always shared without disclosing sensitive information. In this paper, we address the convergence of the FL process in dynamic cybersecurity scenarios, where the trained model must be frequently updated with new recent attack profiles to empower all members of the federation with the latest detection features. To this aim, we propose FLAD (adaptive Federated Learning Approach to DDoS attack detection), an FL solution for cybersecurity applications based on an adaptive mechanism that orchestrates the FL process by dynamically assigning more computation to those members whose attacks profiles are harder to learn, without the need of sharing any test data to monitor the performance of the trained model. Using a recent dataset of DDoS attacks, we demonstrate that FLAD outperforms state-of-the-art FL algorithms in terms of convergence time and accuracy across a range of unbalanced datasets of heterogeneous DDoS attacks. We also show the robustness of our approach in a realistic scenario, where we retrain the deep learning model multiple times to introduce the profiles of new attacks on a pre-trained model.

연구 동기 및 목표

• 분산 학습에서 테스트 데이터를 공유하지 않고도 모델 수렴을 모니터링하는 데 도전하는 문제를 해결하기 위해.
• 새로운 DDoS 공격 프로파일이 자주 발생하는 동적 환경에서 효율적이고 적응형 학습을 가능하게 하기 위해.
• 네트워크 침입 탐지에서 흔한 비균형이고 비독립동일분포(non-i.i.i.d.) 데이터셋에서 수렴 시간을 단축하고 탐지 정확도를 향상시키기 위해.
• 연합 클라이언트 간에 새로운 공격 프로파일을 실시간으로 업데이트할 수 있는 침입 탐지 시스템을 지원하기 위해.
• 민감한 네트워크 트래픽 데이터를暴露하지 않고도 확장 가능하고 개인정보 보호 기반의 협업 기반 DDoS 탐지 솔루션을 제공하기 위해.

제안 방법

• FLAD는 서버에 어떤 데이터도 전송하지 않고도 글로벌 모델 정확도를 추정하기 위해 클라이언트의 로컬 검증 세트를 사용한다.
• 서버는 로컬 모델의 정확도가 낮은 클라이언트(더 어려운 학습이 필요한 공격 프로파일을 가진 클라이언트)에게 더 많은 학습 라운드를 동적으로 할당한다.
• 이 적응 메커니즘은 각 라운드 후 클라이언트가 자신의 검증 정확도를 보고하는 피드백 루프에 기반하며, 이로 인해 조기 정지와 로드 밸런싱이 가능해진다.
• 이 방법은 분산 평균(Federated Averaging)이 중심 테스트 세트가 필요하다는 점을 피하기 위해 클라이언트 측 성능 지표를 글로벌 모델 품질의 대체 지표로 사용한다.
• FLAD는 로컬 정확도 추세 기반의 조기 정지 전략을 통합하여 불필요한 학습 반복을 줄인다.
• 이 방법은 훈련 데이터나 검증 데이터가 클라이언트와 서버 간에 교환되지 않도록 하여 공격 트래픽의 기밀성을 유지함으로써 데이터 프라이버시를 보장한다.

실험 결과

연구 질문

• RQ1 새로운 공격 프로파일이 발생하고 테스트 데이터를 공유할 수 없는 동적 사이버보안 환경에서 분산 학습이 효과적으로 수렴할 수 있는 방법은 무엇인가?
• RQ2 분산 침입 탐지에서 중앙 테스트 세트에 접근할 수 없을 때도 테스트 데이터 없이 모델 수렴을 모니터링하고 최적화할 수 있는가?
• RQ3 클라이언트 수준의 정확도 기반으로 학습 라운드를 적응적으로 할당하면 수렴 속도와 탐지 정확도는 어떻게 향상되는가?
• RQ4 비균형이고 비독립동일분포(non-i.i.d.)인 DDoS 데이터셋에서 FLAD는 FEDAVG 및 기타 최신 기술 대비 성능이 어떻게 되는가?
• RQ5 FLAD는 새로운 공격 유형에 대한 점진적 학습이 필요한 실세계 환경에 효과적으로 적용될 수 있는가?

주요 결과

• FLAD는 비균형이고 비독립동일분포(non-i.i.d.)인 DDoS 데이터셋에서 최신 기술 대비 수렴 시간을 크게 단축시킨다.
• 다양한 공격 프로파일 전반에서 FLAD는 FEDAVG 및 기타 기준선 FL 알고리즘보다 높은 분류 정확도를 달성한다.
• 적응 메커니즘이 더 어려운 학습이 필요한 공격 프로파일을 가진 클라이언트를 성공적으로 식별하고 우선순위를 부여하여 전체 모델의 강건성을 향상시킨다.
• FLAD는 새로운 공격 유형을 통합하기 위해 모델을 여러 번 재학습해도 높은 성능를 유지하며, 뛰어난 적응 능력을 보여준다.
• 민감한 데이터를 공유하지 않으면서도 효과적인 조기 정지와 로드 밸런싱을 가능하게 하여 프라이버시를 유지한다.
• 테스트 데이터가 서버에 존재하지 않는 상황에서도 FLAD는 FEDAVG를 능가하며, 실세계 개인정보 제약 환경에서의 실현 가능성을 입증한다.