[논문 리뷰] Training a Bidirectional GAN-based One-Class Classifier for Network Intrusion Detection

Xu Wen, Julian Jang‐Jaccard외 2명|arXiv (Cornell University)|2022. 02. 02.

Network Security and Intrusion Detection인용 수 5

한 줄 요약

이 논문은 불균형 텍스트 기반 데이터셋에서 생성된 데이터 품질을 향상시키기 위해 생성자와 판별자 학습을 분리하는 이중성 GAN 기반 일종 분류기인 Bi-GAN 기반의 네트워크 침입 탐지 방법을 제안한다. 생성자와 인코더가 판별자보다 더 집중적으로 학습되도록 하여 생성된 네트워크 트래픽의 의미적 정합성을 향상시키며, NSL-KDD에서 92.68%의 F1 스코어를 달성하여 기존의 GAN 및 오토에인코드 기반 방법들을 능가한다.

ABSTRACT

The network intrusion detection task is challenging because of the imbalanced and unlabeled nature of the dataset it operates on. Existing generative adversarial networks (GANs), are primarily used for creating synthetic samples from reals. They also have been proved successful in anomaly detection tasks. In our proposed method, we construct the trained encoder-discriminator as a one-class classifier based on Bidirectional GAN (Bi-GAN) for detecting anomalous traffic from normal traffic other than calculating expensive and complex anomaly scores or thresholds. Our experimental result illustrates that our proposed method is highly effective to be used in network intrusion detection tasks and outperforms other similar generative methods on the NSL-KDD dataset.

연구 동기 및 목표

• 표준 GAN이 불균형 텍스트 기반 네트워크 침입 탐지에서 강한 생성자-판별자 동기화가 의미 표현의 차이로 인해 실패하는 문제를 해결하기 위해.
• 생성자와 판별자 간의 학습 동기화를 완화하여 생성된 네트워크 트래픽 데이터의 품질을 향상시키기 위해.
• 복잡한 이상치 점수 계산 없이도 이상치를 탐지할 수 있도록 훈련된 인코더와 판별자를 기반으로 한 일종 이진 분류기를 개발하기 위해.
• NSL-KDD 데이터셋에서 기존 오토에인코드 및 GAN 기반 모델들을 능가하는 네트워크 침입 탐지 성능을 확보하기 위해.

제안 방법

• 생성자와 판별자 학습 반복을 분리하여 생성자와 인코더가 더 집중적으로 학습될 수 있도록 하는 이중성 GAN(Bi-GAN) 프레임워크를 도입한다.
• 생성자의 정지 조건으로 교차 엔트로피 손실 기반 기준을 사용하여, 판별자 업데이트 이전에 고품질의 합성 데이터 생성 상태에 도달하도록 보장한다.
• 실제 네트워크 트래픽 샘플을 저차원 잠재 공간으로 매핑하기 위해 인코더를 사용하며, 의미적 관계를 유지한다.
• 판별자를 실제 샘플과 생성자에 의해 생성된 합성 샘플 양쪽 모두에 대해 훈련하여 실제 트래픽과 가짜 트래픽을 구분하도록 한다.
• 훈련된 인코더와 판별자를 기반으로 이진 출력을 사용해 트래픽을 정상 또는 이방적이라고 분류하는 일종 이진 분류기를 구성한다.
• PCA와 잠재 공간 시각화를 활용하여 분포의 정합성 분석을 위해 모델을 NSL-KDD 데이터셋에 적용한다.

실험 결과

연구 질문

• RQ1 생성자와 판별자 간의 학습 동기화를 분리함으로써 불균형 텍스트 기반 침입 탐지 데이터셋에서 생성된 네트워크 트래픽 데이터의 품질을 향상시킬 수 있는가?
• RQ2 생성자와 판별자 간의 학습 동기화를 완화하면 생성 샘플의 의미적 정합성에 어떤 영향을 미치는가?
• RQ3 훈련된 인코더-판별자 쌍 기반의 일종 이진 분류기가 복잡한 이상치 점수 계산 없이 효과적으로 이상치를 탐지할 수 있는가?
• RQ4 제안된 방법이 NSL-KDD 데이터셋에서 F1 스코어와 탐지 정확도 측면에서 기존 오토에인코드 및 GAN 기반 모델들을 능가하는가?

주요 결과

• 제안된 모델은 NSL-KDD 테스트 세트에서 91.12%의 정확도, 87.27%의 정밀도, 98.81%의 재현율, 92.68%의 F1 스코어를 기록한다.
• 모델의 AUC-ROC 스코어는 0.953에 도달하여 정상 트래픽와 이방적 트래픽 간의 강력한 구분 성능를 나타낸다.
• 판별자보다 더 많은 반복 횟수로 학습된 생성자로부터 생성된 합성 샘플은 잠재 공간 시각화를 통해 더 높은 의미적 정합성을 확보하였다.
• 이상치 점수 계산이나 임계값 설정 없이도 일종 이진 분류기가 이상치를 성공적으로 탐지하여 구현을 단순화한다.
• 모델은 AE, DAE, AnoGAN, BiGAN 및 기타 GAN 변종을 포함한 모든 벤치마크 방법들을 NSL-KDD 데이터셋에서 능가한다.
• 희귀 공격 유형을 고려할 때 특히 높은 재현율(98.81%)을 기록하여 불균형 데이터에서 뛰어난 성능을 보였다.