[논문 리뷰] Nested Multiple Instance Learning in Modelling of HTTP network traffic

Tomáš Pevný, Marek Dědič|arXiv (Cornell University)|2020. 02. 10.

Network Security and Intrusion Detection참고 문헌 34인용 수 5

한 줄 요약

이 논문은 수동으로 설계된 특징 없이 계층적 URL 구조를 활용하여 HTTP 네트워크 트래픽을 모델링하고 감염된 컴퓨터를 탐지하기 위해 내재된 다중 인스턴스 학습(MIL) 프레임워크를 제안한다. 각 컴퓨터의 전체 트래픽을 URL 인스턴스의 '백'으로 간주하고, 3-그램과 같은 토큰 수준의 표현을 사용함으로써, 수동으로 설계된 특징과 CNN 기반 기존 방법보다 우수한 성능을 보이며, 특히 미리 보지 않은 악성 소프트웨어 가족에 대한 제로샷 탐지에서 뛰어난 성능을 발휘한다.

ABSTRACT

In many interesting cases, the application of machine learning is hindered by data having a complicated structure stimulated by a structured file-formats like JSONs, XMLs, or ProtoBuffers, which is non-trivial to convert to a vector / matrix. Moreover, since the structure frequently carries a semantic meaning, reflecting it in the machine learning model should improve the accuracy but more importantly it facilitates the explanation of decisions and the model. This paper demonstrates on the identification of infected computers in the computer network from their HTTP traffic, how to achieve this reflection using recent progress in multiple-instance learning. The proposed model is compared to complementary approaches from the prior art, the first relying on human-designed features and the second on automatically learned features through convolution neural networks. In a challenging scenario measuring accuracy only on unseen domains/malware families, the proposed model is superior to the prior art while providing a valuable feedback to the security researchers. We believe that the proposed framework will found applications elsewhere even beyond the field of security.

연구 동기 및 목표

• 머신 러닝에서 인간이 설계한 특징에 의존하지 않고 의미적으로 구조화되고 계층적인 네트워크 트래픽(예: URL)을 모델링하는 데 도전하는 것.
• 개별 URL이 아닌 각 컴퓨터의 전체 HTTP 트래픽을 분석하여 감염된 호스트를 탐지함으로써 암시적인 행동 이상 징후를 탐지하는 것.
• 분류 결정의 원인이 되는 특정 URL 구성 요소를 식별함으로써 모델의 해석 가능성 향상.
• 데이터의 계층성을 학습 과정에 반영하는 확장 가능한 종단 간 훈련 가능한 프레임워크 개발로, 새로운 악성 소프트웨어 가족에 대한 일반화 능력 향상.
• 실제 네트워크 트래픽에서의 실험을 통해 기존 방법에 비해 우월한 성능을 입증하고, 특히 교차 도메인 및 제로샷 평가에서의 성능을 입증하는 것.

제안 방법

• 모델은 각 컴퓨터의 HTTP 트래픽을 URL 인스턴스의 '백'으로 간주하며, 각 URL은 스킴, 호스트명, 경로, 쿼리와 같은 구조적 구성 요소로 분해되고 3-그램을 사용해 토큰화된다.
• 내재된 MIL 아키텍처를 활용: 내부 MIL 문제는 개별 URL 토큰(예: 3-그램)를 처리하고, 외부 MIL은 이러한 결과를 종합하여 전체 컴퓨터가 감염되었는지 또는 정상인지 분류한다.
• 고정 길이 패딩 또는 잘라내기 없이 계층적 MIL을 통해 가변 길이 시퀀스를 모델링함으로써 구조적 의미를 유지한다.
• URL 토큰의 표현을 학습하고 인스턴스(URL) 및 백(컴퓨터) 간에 집계하기 위해 미분 가능한 점수 함수를 사용하여 종단 간 훈련이 가능하다.
• 이중 MIL 아키텍처를 간편하게 구현하고 재사용할 수 있도록 커스텀 라이브러리(Mill.jl)를 구현하여 계층적 데이터에 대한 프레임워크 활용을 촉진한다.
• 컴퓨터 수준의 굵은 레이블(감염 여부)만을 사용하여 종단 간 훈련을 수행함으로써 인스턴스 수준의 레이블링이 필요 없도록 한다.

실험 결과

연구 질문

• RQ1 수동으로 설계된 특징 없이 계층적 URL 구조를 모델링하는 내재된 다중 인스턴스 학습 프레임워크는 악성 소프트웨어 탐지 정확도를 향상시킬 수 있는가?
• RQ2 개별 URL이 아닌 전체 컴퓨터 트래픽을 모델링함으로써, 정상 서버에서 트래픽 분포만을 약간 변화시키는 스텔스 악성 소프트웨어의 탐지 능력이 향상되는가?
• RQ3 감염 분류의 원인이 되는 특정 URL 구성 요소를 식별함으로써 모델이 설명 가능한 피드백을 제공할 수 있는가?
• RQ4 제안된 모델은 기존 방법에 비해 제로샷 평가(미리 보지 않은 악성 소프트웨어 가족 또는 도메인)에서 어떻게 성능을 발휘하는가?
• RQ5 이 프레임워크는 네트워크 보안을 넘어서 복잡한 계층적 데이터 구조를 가진 다른 도메인으로 일반화될 수 있는가?

주요 결과

• 제안된 모델은 수동으로 설계된 특징 기반 기존 방법(R. Forest 모델)과 CNN 기반 접근 방식(exXpose)보다 제로샷 탐지에서 미리 보지 않은 악성 소프트웨어 가족에 대해 뚜렷한 성능 향상을 보였다.
• 모델은 새로운 도메인에 대해서도 뛰어난 정확도를 달성하여, 계층적이고 구조 인식 설계 덕분에 강력한 일반화 능력을 입증했다.
• 모델은 특정 URL 토큰(예: 3-그램)이 긍정적 분류에 기여한 것을 식별함으로써 설명 가능한 피드백을 제공하여 악성 행위의 실질적 지표를 제공한다.
• 모델은 컴퓨터 수준의 굵은 레이블만으로 종단 간 훈련이 가능하여, 인스턴스 수준의 레이블링에 비해 레이블링 노력 감소와 함께 정확도 향상을 이룬다.
• URL가 잘라내기나 패딩 없이도 내재된 MIL 접근 방식의 본질적 유연성 덕분에 모델 성능이 안정적이다.
• 저자들은 계층적 데이터를 가진 다른 도메인에서의 프레임워크 도입과 확장에 기여하기 위해 Mill.jl 라이브러리를 공개한다.