[논문 리뷰] SynGAN: Towards Generating Synthetic Network Attacks using GANs

Jérémy Charlier, Aman Singh외 3명|arXiv (Cornell University)|2019. 08. 26.

Network Security and Intrusion Detection참고 문헌 13인용 수 29

한 줄 요약

SynGAN은 실시간 트래픽 데이터를 기반으로 고해상도 합성 DDoS 네트워크 공격을 생성하기 위한 GAN 기반 프레임워크를 제안한다. GP-WGAN을 활용해 훈련 안정성과 품질을 향상시켰으며, 합성 공격 플로우와 실제 공격 플로우 간의 평균 제곱 오차(root mean square error)는 0.10을 기록하고, 실제 공격 대비 합성 공격을 구분하는 데 AUC가 75%에 이를 정도로 높은 유사성을 보였다. 이는 NIDS 테스트 및 평가 향상 잠재력이 있음을 시사한다.

ABSTRACT

The rapid digital transformation without security considerations has resulted in the rise of global-scale cyberattacks. The first line of defense against these attacks are Network Intrusion Detection Systems (NIDS). Once deployed, however, these systems work as blackboxes with a high rate of false positives with no measurable effectiveness. There is a need to continuously test and improve these systems by emulating real-world network attack mutations. We present SynGAN, a framework that generates adversarial network attacks using the Generative Adversial Networks (GAN). SynGAN generates malicious packet flow mutations using real attack traffic, which can improve NIDS attack detection rates. As a first step, we compare two public datasets, NSL-KDD and CICIDS2017, for generating synthetic Distributed Denial of Service (DDoS) network attacks. We evaluate the attack quality (real vs. synthetic) using a gradient boosting classifier.

연구 동기 및 목표

• 네트워크 침입 탐지 시스템(NIDS)의 테스팅 및 개선을 위한 고품질, 다각도의 합성 네트워크 공격 데이터 부족 문제를 해결하기 위해.
• 실제 세계 공격 패턴을 반영한 현실적이고 변형 인식 기능을 갖춘 DDoS 공격 트래픽을 생성할 수 있는 프레임워크를 개발하기 위해.
• NSL-KDD 및 CICIDS2017와 같은 두 개의 공개 데이터셋을 활용해 복잡한 공격(예: GoldenEye)을 중심으로 합성 공격 생성의 효과성을 평가하기 위해.
• 지속적이고 자동화된 테스트를 통해 진화하는 합성 공격 변종을 제공함으로써 NIDS의 강건성을 향상시키기 위해.

제안 방법

• SynGAN 프레임워크는 생성자(generator), 판별자(discriminator), 평가자(evaluator)를 포함한 생성적 적대적 네트워크(GAN)를 활용하여 합성 네트워크 공격 플로우를 생성한다.
• 기울기 페널티-워샤르스키 GAN(GP-WGAN)을 사용해 훈련 안정성과 샘플 품질을 향상시키며, 기울기 페널티를 통해 1-립시츠 조건을 강제 적용한다.
• 생성자는 임의의 노이즈를 입력으로 받아 합성 패킷 플로우를 생성하고, 판별자는 실제 공격와 생성된 공격를 구분한다.
• 평가자는 기울기 부스팅 분류기를 사용하여 루트 평균 제곱 오차 등의 지표를 통해 합성 공격의 품질을 평가하며, 실제 공격와의 유사도를 측정한다.
• 프레임워크는 NSL-KDD와 CICIDS2017의 실재 DDoS 공격 데이터를 기반으로 훈련되며, Smurf 및 GoldenEye 공격에 중점을 둔다.
• 훈련 과정은 RMSProp 최적화를 사용하며, 학습률은 0.001, 감쇠율 ρ=0.9, ε=10⁻⁶이며, 기울기 페널티에 대해 λ=10을 사용한다.

실험 결과

연구 질문

• RQ1 GP-WGAN 기반 생성이 공개 데이터셋의 실제 공격와 통계적·행동적으로 유사한 합성 DDoS 네트워크 공격를 생성할 수 있는가?
• RQ2 주요 네트워크 플로우 특성(예: 플로우 지속 시간, IAT, 초당 바이트 수 등) 측면에서 합성 공격의 품질은 실제 공격와 비교해 어떠한가?
• RQ3 기울기 부스팅 분류기가 실제 공격 대비 합성 공격 트래픽을 구분하는 데 성능은 어떠한가?
• RQ4 CICIDS2017 데이터셋은 NSL-KDD보다 GoldenEye와 같은 복잡한 DDoS 공격 생성에 더 높은 통계적 유의성과 대표성을 제공하는가?
• RQ5 이 합성 공격 생성 프레임워크는 DDoS를 초월해 더 복잡한 공격 상태 기계를 모델링할 수 있는가?

주요 결과

• SynGAN 프레임워크는 합성 공격 플로우와 실제 공격 플로우 간 루트 평균 제곱 오차가 0.10을 기록하여 패킷 길이 평균, 초당 플로우 바이트 수, 플로우 지속 시간, 향방 간격 시간(IAT) 등의 주요 네트워크 특성에서 높은 유사성을 보였다.
• 기울기 부스팅 평가자에서 실제 공격와 합성 공격를 구분하는 데 AUC가 75%에 도달하여, 합성 공격가 매우 현실적이며 실제 공격와 구분하기 어려운 정도의 높은 현실성을 입증했다.
• CICIDS2017 데이터셋은 10,000개 이상의 DDoS 샘플을 포함해 NSL-KDD의 2,000개의 Smurf 공격 샘플보다 더 강력한 통계적 유의성을 제공하여, 더 신뢰할 수 있는 생성 및 평가가 가능했다.
• 특성 중요도 분석 결과, NSL-KDD 데이터셋에서 Smurf 공격 탐지에 가장 영향력 있는 변수로 Dst_host_count가 확인되었다.
• 복잡한 GoldenEye DDoS 공격 패턴에 대해서도 수렴성과 고품질 생성이 입증되어, 고도화된 공격 유형군에의 적용 가능성을 시사했다.
• 결과적으로 GP-WGAN 기반 생성이 고해상도의 합성 네트워크 공격를 생성할 수 있으며, 이는 NIDS 테스트 및 평가 파이프라인 향상에 적합하다는 것이 확인되었다.