[논문 리뷰] Network Intrusion Detection based on LSTM and Feature Embedding

Hyeokmin Gwon, Chungjun Lee외 2명|arXiv (Cornell University)|2019. 11. 26.

Network Security and Intrusion Detection참고 문헌 26인용 수 25

한 줄 요약

이 논문은 네트워크 트래픽 시퀀스의 시간적 종속성을 모델링하고, 범주형 네트워크 특징을 인코딩하기 위해 특징 임베딩을 사용하는 딥러닝 기반의 네트워크 침입 탐지 시스템을 제안한다. 이 방법은 UNSW-NB15 데이터셋에서 이진 분류 정확도 99.72%를 달성하여, 순차적 패tern과 기호적 특징 의미를 효과적으로 포착함으로써 기존의 기계학습 모델보다 뚜렷이 뛰어난 성능을 보였다.

ABSTRACT

Growing number of network devices and services have led to increasing demand for protective measures as hackers launch attacks to paralyze or steal information from victim systems. Intrusion Detection System (IDS) is one of the essential elements of network perimeter security which detects the attacks by inspecting network traffic packets or operating system logs. While existing works demonstrated effectiveness of various machine learning techniques, only few of them utilized the time-series information of network traffic data. Also, categorical information has not been included in neural network based approaches. In this paper, we propose network intrusion detection models based on sequential information using long short-term memory (LSTM) network and categorical information using the embedding technique. We have experimented the models with UNSW-NB15, which is a comprehensive network traffic dataset. The experiment results confirm that the proposed method improve the performance, observing binary classification accuracy of 99.72\%.

연구 동기 및 목표

• 기존의 기계학습 기반 침입 탐지 시스템이 시간적 시퀀스와 범주형 네트워크 특징을 효과적으로 활용하지 못하는 한계를 해결하기 위해.
• 네트워크 트래픽의 순차적 패턴 모델링을 위해 LSTM 네트워크를 통합함으로써 탐지 정확도를 향상시키기 위해.
• 신경망 모델에 적합한 조밀한 벡터 표현으로 기호적 특징(예: 프로토콜 유형, 서비스 등)을 효과적으로 표현하기 위해 특징 임베딩 기법을 통합하기 위해.
• 현대적인 네트워크 침입 탐지 기준으로서의 UNSW-NB15 데이터셋에서 제안된 모델을 평가하기 위해.
• LSTM과 특징 임베딩을 조합할 경우 단독 모델이나 전통적 기계학습 접근 방식에 비해 뛰어난 성능을 낼 수 있음을 입증하기 위해.

제안 방법

• 시간 순서로 정렬된 패킷 기록을 입력 시퀀스로 사용하여 LSTM 네트워크를 활용해 네트워크 트래픽의 순차적 종속성을 모델링한다.
• 범주형 특징(예: 프로토콜, 서비스, 상태)에 대해 특징 임베딩을 적용하여 기호적 값을 신경망에 적합한 조밀한 벡터 표현으로 변환한다.
• 여러 가지 학습 설정을 평가함: M2M(다수에서 다수), M2O(다수에서 일), M2B(다중 클래스에서 이진 분류)로 시퀀스 모델링과 출력 예측 최적화를 도모한다.
• 최적의 성능를 얻기 위해 시퀀스 길이와 하이퍼파ram터를 조정하면서 UNSW-NB15 데이터셋을 사용해 모델을 학습하고 검증한다.
• 일반화 능력과 안정성을 평가하기 위해 표준 지표인 정확도, F1 점수, 검증 곡선을 사용해 성능을 평가한다.
• 실시간 적용 가능성 평가를 위해 다양한 시퀀스 길이에서 예측 시간을 측정한다.

실험 결과

연구 질문

• RQ1 LSTM 기반 모델은 네트워크 트래픽 시퀀스의 시간적 종속성을 효과적으로 포착하여 침입 탐지 성능을 향상시킬 수 있는가?
• RQ2 범주형 네트워크 특징에 대한 특징 임베딩을 통합할 경우 딥러닝 기반 침입 탐지 시스템의 성능에 어떤 영향을 미치는가?
• RQ3 LSTM과 특징 임베딩을 조합할 경우 MLP, 랜덤 포레스트, RepTree와 같은 전통적 기계학습 모델에 비해 유의미한 성능 향상을 이끌 수 있는가?
• RQ4 높은 탐지 정확도와 안정성을 달성하기 위해 최적의 시퀀스 길이와 학습 설정(M2M, M2O, M2B)은 무엇인가?
• RQ5 예측 시간 측정 결과를 바탕으로 제안된 모델은 실시간 배포에 적합한가?

주요 결과

• 특징 임베딩을 통합한 LSTM 모델(LSTM(M2M + EMB))은 UNSW-NB15 테스트 세트에서 이진 분류 정확도 99.72%를 기록했으며, F1 점수는 99.75%였다.
• 기본 모델인 MLP에 비해 정확도 약 16%p 향상되어 순차적 패턴 모델링의 효과성을 입증했다.
• 비임베딩 모델 대비 이진 분류에서 약 1%p, 다중 분류에서 약 2%p 성능 향상을 보였으며, 이는 범주형 특징 의미를 포착하는 데 특징 임베딩의 가치를 시사한다.
• M2M + EMB 설정은 그림 7과 8의 검증 곡선을 통해 다양한 시퀀스 길이에서 가장 안정적인 성능을 보였다.
• 예측 시간은 시퀀스 길이에 따라 선형적으로 증가했으며, 최적의 시퀀스 길이 선택을 통해 실시간 배포가 가능할 것으로 판단된다.
• M2B(다중 클래스에서 이진 분류) 변환은 유의미한 성능 향상을 제공하지 않아, 이 작업에 대해 직접적인 이진 분류가 충분함을 시사한다.