[논문 리뷰] Machine Learning based Anomaly Detection for 5G Networks

Jordan Lam, Hassan Abbas|arXiv (Cornell University)|2020. 01. 01.

Network Security and Intrusion Detection참고 문헌 11인용 수 23

한 줄 요약

이 논문은 5G 네트워크에서 비정상적인 네트워크 트래픽을 탐지하기 위해 신경망 아키텍처 탐색(NAS)을 통해 최적화된 컬러리션 신경망(CNN)을 사용하는 소프트웨어 정의 보안(SDS) 프레임워크를 제안한다. 네트워크 플로우 데이터를 이미지 유사 표현으로 변환함으로써, 모델은 정상 트래픽을 100% 정확도로 식별하고, 이상 현상에 대해 96.4%의 탐지율을 달성하여, 복잡한 5G 환경에서 자동화되고 확장 가능한 침입 탐지 시스템의 강력한 잠재력을 입증한다.

ABSTRACT

Protecting the networks of tomorrow is set to be a challenging domain due to increasing cyber security threats and widening attack surfaces created by the Internet of Things (IoT), increased network heterogeneity, increased use of virtualisation technologies and distributed architectures. This paper proposes SDS (Software Defined Security) as a means to provide an automated, flexible and scalable network defence system. SDS will harness current advances in machine learning to design a CNN (Convolutional Neural Network) using NAS (Neural Architecture Search) to detect anomalous network traffic. SDS can be applied to an intrusion detection system to create a more proactive and end-to-end defence for a 5G network. To test this assumption, normal and anomalous network flows from a simulated environment have been collected and analyzed with a CNN. The results from this method are promising as the model has identified benign traffic with a 100% accuracy rate and anomalous traffic with a 96.4% detection rate. This demonstrates the effectiveness of network flow analysis for a variety of common malicious attacks and also provides a viable option for detection of encrypted malicious network traffic.

연구 동기 및 목표

• IoT의 확산, 가상화, 네트워크 슬라이싱로 인한 5G 네트워크의 복잡성 증가와 공격 표면 확대 문제를 해결하기 위해.
• 엔드 투 엔드 5G 네트워크 보호를 위한 기계학습을 활용한 자동화되고 유연하며 확장 가능한 침입 탐지 시스템을 개발하기 위해.
• 기계학습 기반의 이상 탐지에 적합한 네트워크 플로우 데이터를 이미지 표현으로 변환하는 것이 효과적인지 평가하기 위해.
• 자동 기계학습(autoML) 및 NAS를 활용해 고성능의 도메인 특화 딥 러닝 모델을 설계하는 데 있어 실현 가능성을 입증하기 위해.

제안 방법

• 모의 5G 환경에서 정상 및 비정상 트래픽 패턴을 포함한 네트워크 플로우 데이터를 수집하였다.
• 데이터는 CNN에 입력 가능한 이미지 유사 표현으로 전처리 및 변환되었다.
• 특정 데이터셋에 최적화된 모델 성능을 확보하기 위해 신경망 아키텍처 탐색(NAS)을 활용해 CNN 아키텍처를 자동 생성하였다.
• 라벨이 부여된 네트워크 플로우 이미지에 기반한 지도 학습을 통해 모델을 훈련하였으며, 정밀도, 재현율, F1 점수 지표를 사용해 성능을 평가하였다.
• 최종 모델은 테스트 세트에서 평가되어 다양한 공격 유형에 대한 탐지 정확도와 강건성을 점검하였다.
• 감지된 위협에 기반한 동적 정책 업데이트를 가능하게 하여 실시간 배포를 지원하도록 시스템을 설계하였다.

실험 결과

연구 질문

• RQ1 이미지로 변환된 네트워크 플로우 데이터를 기반으로 훈련된 CNN이 5G 네트워크에서 비정상 트래픽에 대해 높은 탐지 정확도를 달성할 수 있는가?
• RQ2 수동 설계 없이도 NAS가 5G 네트워크 이상 탐지에 최적화된 CNN 아키텍처를 효과적으로 생성할 수 있는가?
• RQ3 기계학습 기반 모델이 플로우 수준 분석을 통해 암호화된 악성 트래픽을 어느 정도 탐지할 수 있는가?
• RQ4 제안된 SDS 프레임워크가 다양한 5G 네트워크 슬라이스와 이질적인 아키텍처에서 확장 가능하고 적응 가능한 보안을 제공할 수 있는가?
• RQ5 정상 트래픽과 악성 트래픽이 대량으로 존재하는 실세계 환경에서 모델이 정밀도와 재현율을 어떻게 균형 잡고 있는가?

주요 결과

• 정상 트래픽에 대해 100% 재현율을 달성하여, 오류 없는 양성 플로우를 모두 정확히 식별하였다.
• 비정상 트래픽의 96.4%를 탐지하였으며, 이상 예측에 대해 정밀도가 100%를 기록하였다.
• 이상 탐지에 대한 F1 점수는 0.982로, 정밀도와 재현율 사이의 균형이 잘 잡혀 있음을 나타냈다.
• 혼동 행렬 분석 결과, 이질적인 플로우 중 3.6%만이 정상으로 잘못 분류되었고, 정상 플로우 중 하나도 이상으로 잘못 경고하지 않았다.
• NAS 최적화된 CNN는 기준 아키텍처를 초월하여, 보안 응용 분야에서 자동화된 신경망 아키텍처 탐색의 가치를 입증하였다.
• 결과적으로 네트워크 플로우의 이미지 기반 표현 방식이 5G 네트워크에서 딥 러닝 기반 이상 탐지에 실현 가능하고 효과적인 접근법임을 시사한다.