[논문 리뷰] Machine Learning Methods For Network Intrusion Detection

Mouhammd Alkasassbeh, Mohammad Almseidin|arXiv (Cornell University)|2018. 07. 02.

Network Security and Intrusion Detection참고 문헌 11인용 수 14

한 줄 요약

이 논문은 네트워크 침입 탐지에 대해 KDD 컵 1999 데이터셋을 대상으로 기계학습 기법—J48, MLP, 베이지안 네트워크—을 평가하며, 공정한 평가를 보장하기 위해 사전 처리를 중시한다. J48 결정트리 분류기가 모든 공격 유형(DOS, R2L, U2R, PROBE)을 탐지하는 데 가장 높은 정확도를 기록하여 네트워크 보안 시스템 내 침입 분류에 있어 효과적임을 입증한다.

ABSTRACT

Network security engineers work to keep services available all the time by handling intruder attacks. Intrusion Detection System (IDS) is one of the obtainable mechanisms that is used to sense and classify any abnormal actions. Therefore, the IDS must be always up to date with the latest intruder attacks signatures to preserve confidentiality, integrity, and availability of the services. The speed of the IDS is a very important issue as well learning the new attacks. This research work illustrates how the Knowledge Discovery and Data Mining (or Knowledge Discovery in Databases) KDD dataset is very handy for testing and evaluating different Machine Learning Techniques. It mainly focuses on the KDD preprocess part in order to prepare a decent and fair experimental data set. The J48, MLP, and Bayes Network classifiers have been chosen for this study. It has been proven that the J48 classifier has achieved the highest accuracy rate for detecting and classifying all KDD dataset attacks, which are of type DOS, R2L, U2R, and PROBE.

연구 동기 및 목표

• KDD 컵 1999 네트워크 침입 탐지 데이터셋에서 다양한 기계학습 분류기의 성능을 평가하기 위해.
• KDD 데이터셋의 철저한 데이터 사전 처리를 통해 실험 결과의 공정성과 신뢰성을 향상시키기 위해.
• DOS, R2L, U2R, PROBE와 같은 다양한 네트워크 공격 유형을 탐지하기 위해 가장 효과적인 기계학습 모델을 특정하기 위해.
• 진화하는 사이버 위협에 대응할 수 있는 최신 기술 기반의 고속 침입 탐지 시스템 개발을 지원하기 위해.

제안 방법

• KDD 컵 1999 데이터셋을 정규화, 결측치 처리, 차원 축소를 통해 사전 처리하여 일관된 모델 평가를 확보하였다.
• J48 결정트리 알고리즘을 적용하여 특성 패턴을 기반으로 네트워크 트래픽을 정상 또는 공격 유형으로 분류하였다.
• 다층 퍼셉트론(MLP) 신경망을 사용하여 역전파 알고리즘과 비선형 활성화 함수를 활용해 이질성을 탐지하도록 훈련시켰다.
• 베이지안 네트워크 분류기를 구현하여 네트워크 특성 간의 확률적 종속성을 모델링하고 조건부 확률을 사용해 공격을 분류하였다.
• 모든 공격 유형에 대해 정확도, 정밀도, 재현율과 같은 표준 지표를 사용해 성능을 평가하였다.
• 세 분류기 간의 결과를 비교하여 침입 탐지에 최적의 모델을 도출하였다.

실험 결과

연구 질문

• RQ1 KDD 컵 1999 데이터셋에서 다양한 네트워크 공격 유형에 대해 어떤 기계학습 분류기가 가장 높은 탐지 정확도를 기록하는가?
• RQ2 데이터 사전 처리는 침입 탐지에서 기계학습 모델 평가의 공정성과 신뢰성에 어떤 영향을 미치는가?
• RQ3 J48, MLP, 베이지안 네트워크 분류기는 DOS, R2L, U2R, PROBE와 같은 특정 공격 유형을 탐지하는 데 어떻게 비교되는가?
• RQ4 트리 기반, 신경망, 확률적 모델 간의 상대적 성능은 네트워크 침입을 분류하는 데 어떻게 나타나는가?

주요 결과

• J48 결정트리 분류기가 KDD 데이터셋에서 모든 종류의 네트워크 침입을 탐지하는 데 가장 높은 총합 정확도를 기록하였다.
• J48 모델은 DOS, R2L, U2R, PROBE 공격 유형 전반에 걸쳐 MLP 및 베이지안 네트워크 분류기보다 뛰어난 성능을 보였다.
• 철저한 데이터 사전 처리가 KDD 데이터셋에서 모델 평가의 일관성과 공정성을 크게 향상시킨다는 것이 연구를 통해 확인되었다.
• MLP 및 베이지안 네트워크 분류기는 낮은 정확도를 기록하여 이 특정 침입 탐지 작업에 대해 제한된 효과성을 보였다.
• 결과적으로 J48는 KDD 컵 1999 데이터셋에 적용되었을 때 강력하고 신뢰할 수 있는 네트워크 침입 탐지 선택지임을 시사한다.