[논문 리뷰] LuNet: A Deep Neural Network for Network Intrusion Detection

Peilun Wu, Hui Guo|arXiv (Cornell University)|2019. 09. 22.

Network Security and Intrusion Detection참고 문헌 28인용 수 13

한 줄 요약

LuNet는 네트워크 트래픽의 공간적 및 시간적 특징을 공동으로 모델링하여 네트워크 침입 탐지 성능을 향상시킨 계층적 CNN+LSTM 딥 뉴럴 네트워크이다. 점차 증가하는 해상도에서 컨볼루션 및 순환층을 동시에 학습시킴으로써 LuNet는 UNSW-NB15에서 97.43%의 탐지율과 2.89%의 위양성률을 기록하여 정확도 및 위양성 감소 측면에서 최신 기술을 초월한다.

ABSTRACT

Network attack is a significant security issue for modern society. From small mobile devices to large cloud platforms, almost all computing products, used in our daily life, are networked and potentially under the threat of network intrusion. With the fast-growing network users, network intrusions become more and more frequent, volatile and advanced. Being able to capture intrusions in time for such a large scale network is critical and very challenging. To this end, the machine learning (or AI) based network intrusion detection (NID), due to its intelligent capability, has drawn increasing attention in recent years. Compared to the traditional signature-based approaches, the AI-based solutions are more capable of detecting variants of advanced network attacks. However, the high detection rate achieved by the existing designs is usually accompanied by a high rate of false alarms, which may significantly discount the overall effectiveness of the intrusion detection system. In this paper, we consider the existence of spatial and temporal features in the network traffic data and propose a hierarchical CNN+RNN neural network, LuNet. In LuNet, the convolutional neural network (CNN) and the recurrent neural network (RNN) learn input traffic data in sync with a gradually increasing granularity such that both spatial and temporal features of the data can be effectively extracted. Our experiments on two network traffic datasets show that compared to the state-of-the-art network intrusion detection techniques, LuNet not only offers a high level of detection capability but also has a much low rate of false positive-alarm.

연구 동기 및 목표

• 기존의 인공지능 기반 네트워크 침입 탐지 시스템에서 높은 위양성률 문제를 해결한다.
• 네트워크 트래픽 데이터의 공간적 및 시간적 특징을 활용하여 탐지 정확도를 향상시킨다.
• CNN를 통해 공간 패턴을, RNN를 통해 시간적 의존성을 동시에 학습하는 딥 러닝 아키텍처를 설계한다.
• 최신 기계학습 및 딥 러닝 모델 대비 탐지율 및 위양성률 측면에서 뛰어난 성능을 달성한다.
• 데이터 부족으로 인해 낮은 빈도로 발생하는 공격 유형(예: 백도어, 웜) 탐지에 한계가 있음을 조사한다.

제안 방법

• 스택된 CNN 및 LSTM 서브네트워크로 구성된 계층적 딥 뉴럴 네트워크(LuNet)를 제안한다.
• 각 레벨에서 CNN 및 LSTM 학습을 동기화시켜 정보 손실을 방지하고 공동 특징 추출을 보장한다.
• 각 컨볼루션 및 순환층 뒤에 배치 정규화를 적용하여 학습의 안정성과 속도를 향상시킨다.
• 입력에서 출력으로 갈수록 특징의 해상도가 점차 세밀해지는 다수준 아키텍처를 구현한다.
• 교차 검증을 사용하여 레이블이 부여된 데이터셋(NSL-KDD 및 UNSW-NB15)에서 지도 학습을 수행한다.
• 계층적 학습 전략을 적용: 초기 레이어는 거친 특징을 추출하고, 후속 레이어는 세밀한 패턴으로 보완한다.

실험 결과

연구 질문

• RQ1 동기화된 CNN-LSTM 아키텍처는 네트워크 트래픽에서 공간적 및 시간적 특징을 효과적으로 추출하여 침입 탐지에 기여하는가?
• RQ2 LuNet의 계층적 설계는 단독 CNN 또는 LSTM 모델 대비 탐지 성능을 향상시키고 위양성률을 낮추는가?
• RQ3 제한된 학습 샘플을 가진 낮은 빈도의 공격 유형(예: 백도어, 웜)에 대해 LuNet은 어떻게 성능을 내는가?
• RQ4 LuNet은 탐지율 및 위양성률 측면에서 최신 기술의 기계학습 및 딥 러닝 모델을 어느 정도 초월하는가?
• RQ5 배치 정규화 및 다수준 특징 학습은 모델 수렴 및 일반화에 어떤 영향을 미치는가?

주요 결과

• LuNet는 UNSW-NB15 데이터셋에서 97.43%의 탐지율과 85.35%의 정확도를 기록하며 위양성률은 단지 2.89%이다.
• 기존 기계학습 모델 대비 딥 러닝 모델은 평균 94.57%의 탐지율과 4.72%의 위양성률을 기록하여 뛰어난 성능을 보였다.
• LuNet는 개별 CNN(92.28% DR, 3.84% FPR), LSTM(92.76% DR, 3.63% FPR), HAST-IDS(93.65% DR, 9.60% FPR)보다 다중 클래스 분류에서 UNSW-NB15에서 뛰어난 성능을 보였다.
• 정상, 공격 유형, DoS, 쉘코드, 탐색 공격에 대해 뛰어난 탐지율과 낮은 위양성률을 기록했다.
• 백도어 및 웜 공격는 자주 공격 유형으로 오분류되며, 이는 특징 유사성과 부족한 학습 샘플(각각 1.4% 및 1.1%)으로 인한 것으로 보인다.
• UNSW-NB15에서의 혼동 행렬은 LuNet가 U2R 및 R2L 공격에 대해 가장 어려움을 겪고 있음을 확인하며, 이는 특징의 겹침 또는 데이터셋 내 표현 부족을 시사한다.