[논문 리뷰] Self-Organising Maps in Computer Security

Jan Feyereisl, Uwe Aickelin|arXiv (Cornell University)|2016. 08. 05.

Network Security and Intrusion Detection참고 문헌 70인용 수 5

한 줄 요약

이 논문은 생물학적으로 영감을 받은 기계 학습 알고리즘인 자기조직화 지도(SOMs)에 대한 종합적인 리뷰를 제시한다. 컴퓨터 보안 분야에서의 응용을 다루며, 고차원 데이터를 저차원의 위상적 표현으로 정리함으로써 비지도 이상 탐지, 실행 파일 분석, 무선 네트워크 모니터링을 가능하게 한다. 4,000편 이상의 연구 논문을 통합 분석한 결과, 침입 탐지 및 사이버 위협 분석 분야에서 강력한 적용 가능성을 입증하였다.

ABSTRACT

Some argue that biologically inspired algorithms are the future of solving difficult problems in computer science. Others strongly believe that the future lies in the exploration of mathematical foundations of problems at hand. The field of computer security tends to accept the latter view as a more appropriate approach due to its more workable validation and verification possibilities. The lack of rigorous scientific practices prevalent in biologically inspired security research does not aid in presenting bio-inspired security approaches as a viable way of dealing with complex security problems. This chapter introduces a biologically inspired algorithm, called the Self Organising Map (SOM), that was developed by Teuvo Kohonen in 1981. Since the algorithm's inception it has been scrutinised by the scientific community and analysed in more than 4000 research papers, many of which dealt with various computer security issues, from anomaly detection, analysis of executables all the way to wireless network monitoring. In this chapter a review of security related SOM research undertaken in the past is presented and analysed. The algorithm's biological analogies are detailed and the author's view on the future possibilities of this successful bio-inspired approach are given. The SOM algorithm's close relation to a number of vital functions of the human brain and the emergence of multi-core computer architectures are the two main reasons behind our assumption that the future of the SOM algorithm and its variations is promising, notably in the field of computer security.

연구 동기 및 목표

• 생물학적으로 영감을 받은 방법에 대한 회의론에도 불구하고, 자기조직화 지도(SOMs)가 컴퓨터 보안 분야에서 과학적 엄밀성과 타당성을 갖추고 있음을 입증하는 것.
• 이상 탐지, 실행 파일 분석, 무선 네트워크 모니터링을 포함한 보안 연구 분야에서의 SOMs의 역사를 분석하는 것.
• 다중 코어 아키텍처와의 호환성과 생물학적 타당성 덕분에, 향후 사이버 방어 시스템에서의 장기적 지속 가능성에 대해 주장하는 것.
• 생물학적으로 영감을 받은 알고리즘과 공식적 검증 간 격차를 메우기 위해, 보안 환경에서의 재현 가능하고 분석 가능한 SOM의 행동을 입증하는 것.

제안 방법

• 1981년 테보 코호넨이 개발한 자기조직화 지도(SOM) 알고리즘을 활용하며, 경쟁 학습을 통해 고차원 입력 데이터를 저차원 격자에 매핑한다.
• 승자자제(winner-takes-all) 메커니즘을 적용하여 입력 데이터와 가장 가까운 가중치 벡터를 가진 뉴런을 최적 매칭 단위(BMU)로 선정한다.
• 데이터의 공간적 관계를 유지하기 위해, BMU 및 그 위상적 이웃 뉴런의 가중치를 가우시안 이웃 함수를 사용해 갱신한다.
• SOM의 위상 정렬 성질을 활용해 네트워크 트래픽, 시스템 호출, 또는 바이너리 특징을 군집화하고 시각화하여 이상 탐지에 활용한다.
• 라벨이 없는 데이터를 다룰 수 있는 능력을 활용해, 이전에 알려지지 않은 사이버 위협을 탐지하는 데 적합하다.
• 컴퓨터 보안 분야에서의 SOM 응용에 관한 4,000편 이상의 연구 논문을 종합한 결과를 통해 접근 방식을 검증한다.

실험 결과

연구 질문

• RQ1 생물학적으로 영감을 받은 방법에 대한 회의론에도 불구하고, 자기조직화 지도는 컴퓨터 보안 문제 해결에 과학적으로 엄밀하고 효과적인 접근을 제공할 수 있는가?
• RQ2 SOMs는 침입 탐지, 악성코드 분석, 네트워크 모니터링와 같은 다양한 보안 분야에서 어떻게 적용되었는가?
• RQ3 SOMs는 사이버-물리 시스템과 네트워크 트래픽의 이상을 탐지하는 데 어떤 핵심적 강점이 있는가?
• RQ4 다중 코어 컴퓨팅의 발전과 함께, 왜 SOM 알고리즘이 향후 컴퓨터 보안 분야에서의 개발에 적합한가?
• RQ5 SOM의 생물학적 유사성은 장기적인 관련성과 확장성 면에서 사이버 방어 시스템에 어떻게 기여하는가?

주요 결과

• SOMs는 이상 탐지, 실행 파일 분석, 무선 네트워크 모니터링 등 다양한 컴퓨터 보안 과제에 대해 4,000편 이상의 연구 논문에서 성공적으로 적용되었다.
• 알고리즘의 고차원 데이터를 위상적으로 정렬된 지도로 시각화할 수 있는 능력 덕분에, 이질적 요소와 악성 패턴을 효과적으로 식별할 수 있다.
• 라벨이 부족하거나 가용하지 않은 비지도 학습 환경에서 뛰어난 성능을 보이며, 이는 사이버 위협 탐지에서 흔한 과제이다.
• 인간의 대뇌皮질 지도 형성과의 생물학적 유사성 덕분에 해석 가능성과 인지 과정과의 일치성이 향상된다.
• 다중 코어 컴퓨팅 아키텍처의 발전은 SOM 학습의 병렬 처리 가능성을 보완하여 확장성과 실시간 처리 잠재력을 향상시킨다.
• 생물학적으로 영감을 받은 방법에 대한 회의론에도 불구하고, SOMs는 생물학적 타당성과 수학적 엄밀성의 균형을 이루며 보안 환경에서의 검증 및 검증을 지원한다.