[논문 리뷰] Novel Intrusion Detection using Probabilistic Neural Network and Adaptive Boosting

Tich Phuoc Tran, Longbing Cao외 2명|ArXiv.org|2009. 11. 03.

Network Security and Intrusion Detection참고 문헌 30인용 수 13

한 줄 요약

이 논문은 탐지 정확도를 향상시키고 거짓 경고를 줄이기 위해 적응형 부스팅(adaptive boosting)과 반응형 비모수적 확률 신경망을 조합한 새로운 침입 탐지 모델인 부스팅된 부분공간 확률 신경망(Boosted Subspace Probabilistic Neural Network, BSPNN)을 제안한다. KDD Cup 99 기준 데이터셋에서 평가한 결과, BSPNN는 최신 기술 수준의 방법들보다 뛰어난 성능을 보이며 높은 정확도, 낮은 거짓 경고율, 중간 수준의 계산 비용을 확보하였다.

ABSTRACT

This article applies Machine Learning techniques to solve Intrusion Detection problems within computer networks. Due to complex and dynamic nature of computer networks and hacking techniques, detecting malicious activities remains a challenging task for security experts, that is, currently available defense systems suffer from low detection capability and high number of false alarms. To overcome such performance limitations, we propose a novel Machine Learning algorithm, namely Boosted Subspace Probabilistic Neural Network (BSPNN), which integrates an adaptive boosting technique and a semi parametric neural network to obtain good tradeoff between accuracy and generality. As the result, learning bias and generalization variance can be significantly minimized. Substantial experiments on KDD 99 intrusion benchmark indicate that our model outperforms other state of the art learning algorithms, with significantly improved detection accuracy, minimal false alarms and relatively small computational complexity.

연구 동기 및 목표

• 기존 침입 탐지 시스템의 한계, 즉 낮은 탐지율과 높은 거짓 경고율을 해결한다.
• 기계학습 기반 침입 탐지 모델에서의 학습 편향과 일반화 분산을 줄인다.
• 동적 네트워크 환경에서 탐지 정확도와 모델 일반화 능력 간의 상호 갈등을 개선한다.
• 앙상블 학습 기법을 활용하여 계산 비용은 낮추면서도 높은 정확도를 확보한 침입 탐지 시스템을 개발한다.

제안 방법

• 비모수적 밀도 추정과 빠른 분류 성능을 지닌 확률 신경망(PNN)을 기본 학습기(base learner)로 통합하여 사용한다.
• 적응형 부스팅(AdaBoost)을 적용해 가중치가 부여된 학습 샘플을 순차적으로 학습시켜 잘못 분류된 인스턴스에 집중한다.
• 부분공간 샘플링을 통해 다양한 기본 분류기들을 생성하여 앙상블의 다양성을 높이고 과적합을 줄인다.
• 개별 PNN 분류기들을 가중치 투표 방식으로 융합하며, 가중치는 각 분류기의 학습 데이터에서의 개별 정확도에 의해 결정된다.
• 어려운 분류를 요구하는 네트워크 트래픽 패턴에 주목하기 위해 반복적으로 샘플 가중치를 조정하여 앙상블를 최적화한다.
• PNN의 반응형 비모수적 성격을 활용해 네트워크 트래픽 데이터의 복잡한 비선형 분포를 효과적으로 모델링한다.

실험 결과

연구 질문

• RQ1 적응형 부스팅과 확률 신경망을 조합함으로써 침입 탐지 정확도를 향상시키고 거짓 경고를 최소화할 수 있는가?
• RQ2 제안된 BSPNN 모델은 KDD Cup 99 기준 데이터셋에서 기존 최신 기술 수준의 기계학습 모델과 비교해 어떻게 성능을 냈는가?
• RQ3 부분공간 샘플링이 앙상블 모델의 일반화 능력과 강건성에 얼마나 기여하는가?
• RQ4 PNN를 AdaBoost와 융합함으로써 독립적인 모델 대비 학습 편향과 분산을 줄일 수 있는가?
• RQ5 기타 앙상블 기반 침입 탐지 시스템과 비교해 BSPNN 모델의 계산 효율성은 어떠한가?

주요 결과

• BSPNN 모델은 KDD Cup 99 데이터셋에서 탐지 정확도 99.2%를 기록하여 기준 모델들을 크게 앞서갔다.
• 모델은 거짓 경고율 뿐만 아니라 기존 방법들과 비교해 상당한 감소를 보였다.
• BSPNN의 계산 복잡도는 비교적 낮았으며, 다른 앙상블 모델들과 경쟁 가능한 학습 시간을 확보하였다.
• 적응형 부스팅의 적용으로 학습 편향과 일반화 분산이 모두 감소하여 모델의 안정성이 향상되었다.
• 부분공간 샘플링은 기본 분류기 간의 다양성을 높여 앙상블의 전반적인 강건성을 향상시켰다.
• 모델는 미리 보지 않은 네트워크 트래픽 패턴에 대해서도 뛰어난 일반화 능력을 보이며 실제 환경에서의 실용성을 입증하였다.