[논문 리뷰] Network Phenotyping for Network Traffic Classification and Anomaly Detection

Minhui Zou, Chengliang Wang외 2명|arXiv (Cornell University)|2018. 03. 05.

Network Security and Intrusion Detection참고 문헌 13인용 수 3

한 줄 요약

이 논문은 사이버-물리 시스템(CPS)에서 네트워크 트래픽 패턴을 분류하고 이상 현상을 탐지하기 위해 이미지 처리와 머신러닝을 활용한 네트워크 표현 프레임워크를 제안한다. 네트워크 자원 사용량을 시공간 텍스처 특징으로 변환하고, 주성분 분석(PCA)을 통한 차원 감소와 k-NN 분류를 적용함으로써, 네 가지 실제 분산형 애플리케이션의 분류 정확도가 95% 이상을 달성하며, 이상 트래픽 탐지 시 10–30% 향상된 처리량을 효과적으로 확보한다.

ABSTRACT

This paper proposes to develop a network phenotyping mechanism based on network resource usage analysis and identify abnormal network traffic. The network phenotyping may use different metrics in the cyber physical system (CPS), including resource and network usage monitoring, physical state estimation. The set of devices will collectively decide a holistic view of the entire system through advanced image processing and machine learning methods. In this paper, we choose the network traffic pattern as a study case to demonstrate the effectiveness of the proposed method, while the methodology may similarly apply to classification and anomaly detection based on other resource metrics. We apply image processing and machine learning on the network resource usage to extract and recognize communication patterns. The phenotype method is experimented on four real-world decentralized applications. With proper length of sampled continuous network resource usage, the overall recognition accuracy is about 99%. Additionally, the recognition error is used to detect the anomaly network traffic. We simulate the anomaly network resource usage that equals to 10%, 20% and 30% of the normal network resource usage. The experiment results show the proposed anomaly detection method is efficient in detecting each intensity of anomaly network resource usage.

연구 동기 및 목표

• 멀웨어 및 원격 공격에 취약한 저자원 CPS 장치에서 신뢰성을 검증하는 데 도전하는 문제를 해결한다.
• 대규모 CPS 구현에 비-scalable이거나 동적 행동 분석이 부족한 기존 원격 진술 방법의 한계를 극복한다.
• 오직 네트워크 자원 사용 메트릭스만을 사용하여 네트워크 트래픽 패턴을 분류하고 이상 현상을 탐지할 수 있는 확장성 있고 경량화된 방법을 개발한다.
• 고대역폭 또는 고연산 오버헤드 없이 네트워크 자원 사용의 시간적 및 공간적 특징을 분석하여 CPS 장치의 실시간 모니터링을 가능하게 한다.
• 분산형 CPS 애플리케이션에서 네트워크 표현을 종합적이고 시스템 수준의 신뢰성 검증 메커니즘으로 사용할 수 있음을 입증한다.

제안 방법

• 시간에 따른 네트워크 자원 사용 데이터를 공간적 특징 추출 기법을 사용해 2차원 텍스처 유사 표현으로 변환한다.
• 이미지 처리 방법을 활용해 각 시점의 네트워크 사용 패턴에서 공간적 텍스처 특징을 추출한다.
• 시간 윈도우에 걸쳐 추출된 텍스처 특징의 시간적 변화를 분석하여 동적 통신 패턴을 포착한다.
• 주성분 분석(PCA)을 적용하여 특징 차원을 감소시키면서도 정보의 95%를 유지하며, 210차원 데이터를 11차원으로 감소시킨다.
• 최적화된 k값을 사용한 k-NN 분류를 통해 감소된 특징 집합 기반으로 통신 패턴을 식별한다.
• 인식 정확도 기반의 임계값 기반 이상 탐지 메커니즘을 설정; 95% 이하의 정확도를 기록하는 변칙은 이상 행동으로 간주한다.

실험 결과

연구 질문

• RQ1 네트워크 자원 사용 패턴을 효과적으로 이미지 유사 표현으로 변환하여 CPS에서의 통신 행동 분류 정확도를 높일 수 있는가?
• RQ2 네트워크 자원 사용의 공간적 및 시간적 분석을 조합할 경우 분산형 애플리케이션의 분류 정확도가 어느 정도 향상되는가?
• RQ3 제안된 방법은 증가된 처리량이 10%, 20%, 30%일 경우 다양한 강도의 이상 네트워크 트래픽을 얼마나 효과적으로 탐지하는가?
• RQ4 차원 감소와 경량 분류를 통해 계산 오버헤드를 줄였을 때도 높은 정확도를 유지할 수 있는가?
• RQ5 슬라이딩 윈도우 크기가 통신 패턴 탐지의 정확도와 시간적 세밀도 사이의 트레이드오프에 어떤 영향을 미치는가?

주요 결과

• 슬라이딩 윈도우 크기가 190초일 때 제안된 네트워크 표현 방법은 인식 정확도가 95% 이상을 달성하며, DGD 애플리케이션의 경우 최고 97%의 정확도를 기록한다.
• 100초 슬라이딩 윈도우에서는 정확도와 세밀도의 균형을 유지하며, 집계 작업에서는 93%, 브로드캐스트에서는 90%, 공감결정에서는 93%, DGD에서는 97%의 정확도를 달성한다.
• 처리량이 10% 증가된 이상 현상 시뮬레이션 시 인식 정확도가 크게 하락한다—예를 들어 집계 작업의 경우 93%에서 78%로 감소하여 효과적인 이상 탐지 능력을 입증한다.
• 20% 및 30% 이상 강도의 이상 현상에서는 정확도가 더욱 하락한다(예: 집계 작업의 경우 60% 및 46%로 감소), 이는 방법의 이상 행동에 대한 민감도를 확인한다.
• 95%의 이상 탐지 임계값은 모든 애플리케이션에서 고강도 공격(처리량 30% 증가) 조건에서도 이상 트래픽을 성공적으로 식별하며, 40회의 테스트 런 동안 정확도가 유지된다.
• PCA를 통한 차원 감소는 정보의 95%를 유지하면서 특징 공간을 210차원에서 11차원으로 감소시켜 성능 손실 없이 계산 비용을 크게 낮춘다.