[논문 리뷰] RNNSecureNet: Recurrent neural networks for Cyber security use-cases

Mohammed Harun Babu R, R. Vinayakumar외 1명|arXiv (Cornell University)|2018. 01. 01.

Network Security and Intrusion Detection참고 문헌 27인용 수 11

한 줄 요약

이 논문은 Android 악성 소프트웨어 분류, 사고 탐지, 사기 탐지와 같은 사이버 보안 사용 사례를 위한 RNN 기반 프레임워크인 RNNSecureNet을 제안한다. 스택드 RNN 레이어와 배치 정규화, 드롭아웃을 활용한 순차적 데이터 모델링을 통해, 특히 사고 탐지(99.7% 정확도)와 사기 탐지(91.8% 정확도)에서 SVM보다 뛰어난 정확도를 달성하며, 보안 데이터에서 복잡한 순차적 패턴을 학습하는 데서 RNN의 효과성을 입증한다.

ABSTRACT

Recurrent neural network (RNN) is an effective neural network in solving very complex supervised and unsupervised tasks. There has been a significant improvement in RNN field such as natural language processing, speech processing, computer vision and other multiple domains. This paper deals with RNN application on different use cases like Incident Detection, Fraud Detection, and Android Malware Classification. The best performing neural network architecture is chosen by conducting different chain of experiments for different network parameters and structures. The network is run up to 1000 epochs with learning rate set in the range of 0.01 to 0.5.Obviously, RNN performed very well when compared to classical machine learning algorithms. This is mainly possible because RNNs implicitly extracts the underlying features and also identifies the characteristics of the data. This helps to achieve better accuracy.

연구 동기 및 목표

• 순환 신경망(RNN)이 악성 소프트웨어 탐지, 사고 탐지, 사기 탐지와 같은 사이버 보안 사용 사례에서 얼마나 효과적인지 평가하는 것.
• 복잡하고 진화하는 사이버 위협을 탐지하는 데서 전통적인 기계 학습 모델인 SVM과의 RNN 성능 비교.
• 보안 응용 분야에서 최적의 RNN 아키텍처, 하이퍼파라미터(학습률, 레이어 깊이, 뉴런 수) 및 정규화 기법을 규명하는 것.
• 기존 방법보다 RNN이 원시 보안 데이터에서 계층적이고 순차적인 특징을 더 효과적으로 학습할 수 있음을 입증하는 것.

제안 방법

• 하이퍼파라미터 튜닝을 거쳐 각 레이어에 768개의 뉴런을 사용하는 1~7개의 스택드 순환 레이어로 구성된 딥 RNN 아키텍처를 제안하였다.
• 과적합을 방지하고 학습 속도를 향상시키기 위해 배치 정규화와 드롭아웃(0.001)을 적용하였다.
• 이진 분류 작업(악성 소프트웨어 및 사고 탐지)에는 이진 교차 엔트로피 손실을, 다중 클래스 사기 탐지에는 다중 교차 엔트로피 손실을 사용하였다.
• 분류 손실을 최소화하기 위해 확률적 경사 하강법(SGD)을 옵티마이저로 적용하였다.
• 10겹 교차 검증과 700~1000 에포크 학습을 통해 최적의 학습률(0.01)과 네트워크 깊이(악성 소프트웨어에선 6층, 사고/사기 탐지에선 3층)를 선정하였다.
• 학습을 위해 APK 파일의 API 호출 시퀀스와 UTM 및 합성 금융 데이터의 로그/이벤트 시퀀스를 입력 시퀀스로 사용하였다.

실험 결과

연구 질문

• RQ1 API 호출 시퀀스 기반으로 Android 악성 소프트웨어를 탐지하는 데서 RNN이 SVM과 같은 전통적 기계 학습 모델을 능가할 수 있는가?
• RQ2 통합 위협 관리(UTM) 로그에서 순차적 패턴을 모델링하는 데서 RNN은 얼마나 효과적인가?
• RQ3 기존 분류기와 비교해 RNN은 금융 거래의 사기 탐지 정확도를 얼마나 향상시킬 수 있는가?
• RQ4 다양한 사이버 보안 사용 사례에 최적의 RNN 아키텍처(깊이, 너비, 학습률)는 무엇인가?

주요 결과

• 사고 탐지에서 RNN은 99.7%의 정확도를 기록하여 SVM의 99.3%를 초월하며, 강력한 순차적 패턴 학습 능력을 입증하였다.
• 사기 탐지에서는 RNN이 91.8%의 정확도와 F-스코어를 달성하여 SVM(91.7% 정확도, 91.7% F-스코어)를 약간 앞서며 성능을 뛰어올랐다.
• Android 악성 소프트웨어 분류에서는 RNN이 74.1%의 정확도를 기록하여 SVM의 72.3%를 초월했으며, 복잡한 악성 소프트웨어 행동의 탐지 능력이 향상되었다.
• 악성 소프트웨어 탐지에선 6층 RNN 아키텍처가 가장 우수한 성능을 보였고, 사고 및 사기 탐지에선 3층 RNN이 최적의 성능을 보였다.
• 최적의 학습률은 0.01로 확인되었으며, 높은 값들(예: 0.05)은 정확도 저하를 유도해 하이퍼파라미터 튜닝에 민감함을 보였다.
• 배치 정규화와 드롭아웃의 사용은 특히 대규모 보안 데이터셋으로 학습된 깊은 RNN에서 과적합을 크게 감소시켜 주었다.