[논문 리뷰] Pelican: A Deep Residual Network for Network Intrusion Detection

Peilun Wu, Hui Guo외 1명|arXiv (Cornell University)|2020. 01. 19.

Network Security and Intrusion Detection참고 문헌 35인용 수 7

한 줄 요약

Pelican은 네트워크 트래픽에서 공간적 및 시간적 특징을 포착하기 위해 잔차 블록 내부에 CNN와 RNN을 통합한 딥 잔차 신경망으로, 네트워크 침입 탐지에 사용된다. UNSW-NB15에서 97.75%의 탐지율과 단지 1.30%의 위양성 경고율을 기록하며 기존의 기계학습 기반 방법들보다 훨씬 뛰어난 성능을 보이며, 높은 정확도를 유지하면서도 위양성 수를 줄였다.

ABSTRACT

One challenge for building a secure network communication environment is how to effectively detect and prevent malicious network behaviours. The abnormal network activities threaten users' privacy and potentially damage the function and infrastructure of the whole network. To address this problem, the network intrusion detection system (NIDS) has been used. By continuously monitoring network activities, the system can timely identify attacks and prompt counter-attack actions. NIDS has been evolving over years. The current-generation NIDS incorporates machine learning (ML) as the core technology in order to improve the detection performance on novel attacks. However, the high detection rate achieved by a traditional ML-based detection method is often accompanied by large false-alarms, which greatly affects its overall performance. In this paper, we propose a deep neural network, Pelican, that is built upon specially-designed residual blocks. We evaluated Pelican on two network traffic datasets, NSL-KDD and UNSW-NB15. Our experiments show that Pelican can achieve a high attack detection performance while keeping a much low false alarm rate when compared with a set of up-to-date machine learning based designs.

연구 동기 및 목표

• 기계학습 기반 네트워크 침입 탐지 시스템(NIDS)에서 높은 위양성 경고율 문제를 해결함으로써 실시간 반응 및 운영 효율성을 향상시키기 위해.
• 딥 네트워크(DNN) 학습 중 성능 저하 문제를 조사하고 완화하기 위해. 이는 DNN에서 학습 능력을 제한하는 알려진 과제이다.
• 네트워크 트래픽 데이터에서 공간적 및 시간적 특징을 효과적으로 포착할 수 있는 딥 잔차 신경망 아키텍처를 설계하기 위해.
• 기존의 최첨단 기계학습 기반 NIDS 설계들보다 탐지 정확도를 높이고 위양성 수를 줄이기 위해.
• 잔차 학습이 네트워크 침입 탐지 맥락에서 효과적인지 검증하고, 이미지 분류에서의 성공을 네트워크 보안 분야로 확장하기 위해.

제안 방법

• 학습 중 성능 저하 문제를 완화하기 위해 특수 설계된 잔차 블록을 기반으로 한 잔차 신경망 아키텍처인 Pelican을 제안한다.
• 잔차 블록 내부에 컨볼루션 신경망(CNN)과 순환 신경망(RNN)을 통합하여 네트워크 트래픽의 공간적 및 시간적 패턴을 모델링한다.
• 잔차 학습을 적용하여, 전체 매핑이 아닌 입력과 출력의 차이를 학습함으로써 학습 안정성과 성능을 향상시킨다.
• 잔차 블록을 깊이 있게 스택하여 네트워크가 복잡한 네트워크 트래픽 표현을 학습하면서도 backpropagation 동안 기울기 흐름을 유지할 수 있도록 한다.
• 표준 딥 러닝 최적화 기법을 사용하여 NSL-KDD 및 UNSW-NB15 두 가지 벤치마크 데이터셋에서 모델을 엔드 투 엔드로 훈련시킨다.
• 학습 수렴성과 일반화 능력을 향상시키기 위해 배치 정규화와 ReLU 활성화 함수를 적용한다.

실험 결과

연구 질문

• RQ1 잔차 학습이 네트워크 침입 탐지에 있어 깊은 신경망의 성능 저하 문제를 효과적으로 완화할 수 있는가?
• RQ2 하이브리드 CNN-RNN 잔차 아키텍처가 기존 모델보다 네트워크 트래픽에서 공간적 및 시간적 특징을 더 잘 포착할 수 있는가?
• RQ3 제안된 Pelican 모델이 최첨단 기계학습 기반 NIDS 방법들보다 더 높은 탐지 정확도와 낮은 위양성 경고율을 달성하는가?
• RQ4 Pelican의 성능은 탐지율과 위양성 경고율 측면에서 일반 DNN 및 얕은 잔차 네트워크와 비교해 어떻게 다른가?
• RQ5 잔차 학습이 네트워크 침입 탐지 작업에서 딥 네트워크의 일반화 능력과 강건성에 얼마나 기여하는가?

주요 결과

• Pelican은 UNSW-NB15 데이터셋에서 97.75%의 탐지율과 86.64%의 정확도를 기록하여 비교된 모든 방법들보다 탐지 성능에서 뛰어났다.
• Pelican의 위양성 경고율은 단지 1.30%였으며, 이는 다음으로 우수한 성능을 보인 LuNet(2.89%) 및 기타 전통적인 기계학습 모델들보다 크게 낮았다.
• Pelican은 뛰어난 일반화 능력과 강건성을 보였으며, 일반 네트워크가 성능 저하를 겪는 것과는 달리 네트워크 깊이가 증가함에 따라 높은 성능을 유지했다.
• 잔차 블록 내부에 통합된 CNN과 RNN은 기능 패턴(공간적)과 트래픽 시퀀스 동역학(시간적)을 효과적으로 모델링할 수 있었다.
• 잔차 학습이 네트워크 침입 탐지에서 학습 불안정성 감소 및 수렴성 향상에 효과적이라는 것을 경험적으로 검증하였다.
• Pelican의 성능는 NSL-KDD 및 UNSW-NB15 데이터셋 모두에서 일관되게 유지되어, 다양한 네트워크 트래픽 특성에 적응 가능함을 확인하였다.