[논문 리뷰] Rallying Adversarial Techniques against Deep Learning for Network Security

Joseph Clements, Yuzhe Yang외 3명|arXiv (Cornell University)|2019. 03. 27.

Network Security and Intrusion Detection인용 수 16

한 줄 요약

이 논문은 딥러닝 기반 네트워크 침입 탐지 시스템(DL-NIDS), 예를 들어 Kitsune와 같은 시스템이 패킷당 평균 1.38개의 특성 수정으로도 탐지를 회피할 수 있는 최소한의 입력 변형을 요구하는 적대적 공격에 매우 취약하다는 것을 입증한다. 저자들은 표적 최적화 프레임워크를 사용하여 적대적 예제를 생성함으로써, 이러한 모델이 낮은 눈에 띄는 정도를 유지하면서도 신뢰성 있게 속일 수 있음을 보여주며, 인공지능 기반 네트워크 보안 시스템에 심각한 보안 격차가 존재함을 드러낸다.

ABSTRACT

Recent advances in artificial intelligence and the increasing need for powerful defensive measures in the domain of network security, have led to the adoption of deep learning approaches for use in network intrusion detection systems. These methods have achieved superior performance against conventional network attacks, which enable the deployment of practical security systems to unique and dynamic sectors. Adversarial machine learning, unfortunately, has recently shown that deep learning models are inherently vulnerable to adversarial modifications on their input data. Because of this susceptibility, the deep learning models deployed to power a network defense could in fact be the weakest entry point for compromising a network system. In this paper, we show that by modifying on average as little as 1.38 of the input features, an adversary can generate malicious inputs which effectively fool a deep learning based NIDS. Therefore, when designing such systems, it is crucial to consider the performance from not only the conventional network security perspective but also the adversarial machine learning domain.

연구 동기 및 목표

• 딥러닝 기반 네트워크 침입 탐지 시스템(DL-NIDS)이 적대적 기계학습 공격에 얼마나 취약한지 조사하기.
• 최신 기술인 Kitsune와 같은 DL-NIDS가 실제 네트워크 트래픽 환경에서 적대적 예제에 대해 얼마나 견고한지 평가하기.
• DL-NIDS를 속이기 위해 필요한 최소한의 변형을 정량화하기.
• DL-NIDS를 기존 네트워크 보안 성능 외에도 적대적 조작에 대한 내성 여부를 평가할 필요성 강조하기.

제안 방법

• 저자들은 오차 분류, 변형 크기, 입력 일관성 간의 균형을 고려한 다중목표 최적화 함수를 기반으로 한 표적 적대적 공격 프레임워크를 사용한다.
• 변형 크기를 측정하기 위해 L1, L2, L∞, L0 노름을 포함하며, 공격 성공률와 변형 비용 간의 트레이드오���을 제어하는 정규화 파라미터 c를 사용한다.
• 손실 함수에 적대적 오분류와 Lp 노름 정규화를 통합한 기반 기반 최적화 방법을 사용한다.
• 공격은 Kitsune 모델의 입력 특성에 직접 적용되며, 일반적인 네트워크 트래픽 변동 범위 내에서 유지되는 적대적 패킷 수정을 시뮬레이션한다.
• 특성 추출기와 패킷 파서를 활용하여 변형이 의미적으로 타당하고 네트워크 수준의 해석을 방해하지 않도록 보장한다.
• 실험적 평가를 통해 최적의 파라미터 설정(c=450, β=1×10⁻⁵)을 도출하였으며, 이는 100% 공격 성공률, 낮은 L1 거리(5.9518) 및 최소한의 특성 변경을 달성한다.

실험 결과

연구 질문

• RQ1 최소한의 입력 변형으로 DL-NIDS를 성공적으로 속일 수 있는 적대적 예제를 생성할 수 있는가?
• RQ2 Kitsune와 같은 DL-NIDS에 대해 100% 회피율을 달성하기 위해 필요한 최소 특성 수정 수는 얼마인가?
• RQ3 L1, L2, L∞, L0 노름 제약 조건이 DL-NIDS에 대한 적대적 공격의 은폐성과 효과성에 어떻게 영향을 미치는가?
• RQ4 정규화 파라미터 c가 공격 성공률와 변형 크기 간의 트레이드오프에 얼마나 영향을 미치는가?
• RQ5 β의 선택이 공격 최적화 과정에서 특성의 흩어짐 정도와 변형 크기에 어떻게 영향을 미치는가?

주요 결과

• 연구는 패킷당 평균 1.38개의 특성 수정으로도 Kitsune DL-NIDS를 성공적으로 속일 수 있음을 입증한다.
• 정규화 파라미터 c=450을 사용할 경우 100%의 공격 성공률를 달성하면서도 L1 거리는 5.9518로 낮아 매우 은밀함을 보여준다.
• c가 수천 수준으로 증가하더라도 L1 거리는 거의 변화하지 않아, 일정 기준 이상에서는 수익 감소 현상이 나타남을 시사한다.
• β가 1×10⁻⁵에서 1×10⁰으로 증가함에 따라 L0 거리는 96.61에서 1.01로 감소하여 특성 수정 수가 크게 줄어들며 흩어짐 정도가 높아짐을 나타낸다.
• β가 2×10¹에 도달하면 성공률가 0.84%로 떨어지고, β=5×10¹일 경우 0.08%로 급격히 감소하여 높은 β 값이 공격 효과성에 심각한 영향을 미침을 보여준다.
• 결과적으로, 적대적 기계학습이 고정밀도 성능을 보이는 정상 트래픽에서도 DL-NIDS에 실질적이고 심각한 위협이 된다는 점을 확인한다.