[논문 리뷰] MultiResolution Anomaly Detection Method for Long Range Dependent Time Series

Lingsong Zhang, Zhengyuan Zhu외 1명|ArXiv.org|2008. 09. 08.

Network Security and Intrusion Detection참고 문헌 34인용 수 5

한 줄 요약

이 논문은 장거리 의존성(LRD)을 가진 시간 시리즈에서 국소 평균 수준 이탈을 더 효과적으로 탐지하기 위해 다중 해상도 이상 탐지(MRAD) 방법을 제안한다. 단일 해상도 방법에 비해 다중 척도 집계를 활용한다. 주요 이론적 기여는 두 해상도 MRAD 절차가 개별 해상도의 평균 검정력보다 높은 검정력을 가짐을 증명하고, 척도 상관관계와 LRD 구조를 고려한 임계값을 유도한 것이다.

ABSTRACT

Driven by network intrusion detection, we propose a MultiResolution Anomaly Detection (MRAD) method, which effectively utilizes the multiscale properties of Internet features and network anomalies. In this paper, several theoretical properties of the MRAD method are explored. A major new result is the mathematical formulation of the notion that a two-scaled MRAD method has larger power than the average power of the detection method based on the given two scales. Test threshold is also developed. Comparisons between MRAD method and other classical outlier detectors in time series are reported as well.

연구 동기 및 목표

• 장거리 의존성으로 인해 고전적 이상 탐지 방법이 실패하는 장거리 의존성(LRD) 시간 시리즈에서 네트워크 이상을 탐지하는 데 도전하는 것.
• 네트워크 이상의 다중 척도 성격과 정상 트래픽의 자기유사성을 활용하는 통계적 방법을 개발하는 것.
• 두 척도 MRAD 접근법이 단일 척도 탐지에 비해 통계적 검정력 측면에서 이론적으로 열등하지 않음을 공식적으로 입증하는 것.
• 척도 상관관계와 LRD 구조를 고려한 MRAD 검정에 대한 임계값을 유도하는 것.
• LRD에 강건하고 다양한 시간 척도에서 효과적인 이상 탐지 프레임워크를 제공하는 것.

제안 방법

• MRAD 방법은 원본 관측치를 점차 증가하는 버킷 크기(예: 1, b, b², ...)로 집계하여 다중 척도 시간 시리즈를 구성한다.
• 표준 외부 웨이브렛 변환의 근사 성분을 기반으로 한 검정 통계량을 정의함으로써, LRD 구조를 유지한다.
• 단일 시간 포인트에서 다중 척도에 걸쳐 통합 검정을 수행하며, 집계된 신호의 절대값이 임계값을 초과하는지 테스트한다.
• 유의수준 α에서 유의미한 오류율을 제어하기 위해, 척도 간 상관관계를 고려한 임계값 $ C_M^\alpha $ 를 유도한다.
• 이중 정규 근사와 테일러 전개를 사용하여, 귀무가설 및 대립가설 하에서 서로 다른 척도에서의 신호의 공동 분포를 모델링한다.
• 이론적 유도는 허스트 매개수 $ H \in (0.5, 1) $ 를 가진 자기유사 과정의 성질에 기반하며, 이는 장거리 의존성을 보장한다.

실험 결과

연구 질문

• RQ1 두 척도 MRAD 절차는 LRD 시간 시리즈에서 국소 평균 수준 이탈을 탐지할 때 개별 척도의 평균 검정력보다 높은 통계적 검정력을 가지는가?
• RQ2 다른 척도에서의 신호 간 상관관계는 MRAD 검정의 유의수준 오류율과 검정력에 어떤 영향을 미치는가?
• RQ3 척도 상관관계와 LRD를 고려한 이론적 임계값 $ C_M^\alpha $ 를 유도하여 명목 유의수준을 유지할 수 있는가?
• RQ4 의미수준 $ \alpha \to 0 $ 일 때, 검정력 차이 함수 $ f(\alpha, \delta) $ 의 점근적 행동은 어떻게 되며, 작은 $ \alpha $ 에서도 양수로 유지되는가?
• RQ5 MRAD 방법의 성능은 짧은 범위 의존성 또는 독립성을 가정하는 고전적 이상 탐지 방법과 비교해 볼 때 어떻게 되는가?

주요 결과

• MRAD 방법은 구성 요소인 단일 척도 탐지기의 평균 검정력보다 더 높은 검정력을 확보함으로써, LRD 시간 시리즈에서 국소 평균 이탈에 대한 감도 향상이 다중 척도 융합에 의해 가능함을 입증한다.
• 의미수준 $ \alpha \to 0^+ $ 일 때, 검정력 차이 함수 $ f(\alpha, \delta) $ 는 엄격히 양수이며, 이는 두 척도 MRAD 절차가 단일 척도 방법에 비해 통계적 검정력 측면에서 우월함을 확인한다.
• 임계값 $ C_M^\alpha $ 는 $ C_0 - \frac{\phi(C_0)C_0^2}{2\sqrt{1 - \alpha}} \rho^2 + o(\rho^2) $ 로 유도되며, 여기서 $ \rho \sim H L^{H-1} $ 이다. 이는 척도 간 상관관계 하에서 유의수준 오류율 제어를 정확히 보장한다.
• L \to \infty 일 때, 두 척도 MRAD 검정의 검정력은 $ 1 - \sqrt{1 - \alpha} [\Phi(C_0 - \delta) - \Phi(-C_0 - \delta)] $ 로 수렴하며, 이는 단일 척도 검정력의 평균보다 엄격히 크다.
• 이론적 기반은 이중 정규 근사와 테일러 전개에 기반하며, 귀무가설 및 대립가설 하에서 철저한 점근적 분석이 수행되었다.
• 장거리 의존성 환경에서 짧은 범위 의존성을 가정하는 고전적 이상 탐지 방법은 거짓 경고 비율이 과도하게 증가하므로, MRAD 방법이 이에 비해 열등하지 않음을 입증했다.