[논문 리뷰] Using Rough Set and Support Vector Machine for Network Intrusion Detection

Rung-Ching Chen, Kai-Fan Cheng외 1명|arXiv (Cornell University)|2010. 04. 05.

Network Security and Intrusion Detection참고 문헌 10인용 수 41

한 줄 요약

이 논문은 특성 선택 및 차원 축소를 위해 흐린 집합 이론(Rough Set Theory, RST)을 사용하고, 이를 바탕으로 지지 벡터 기반 기계학습(Support Vector Machine, SVM)을 활용한 하이브리드 네트워크 침입 탐지 모델을 제안한다. 이 방법은 SVM 학습 이전에 중복된 특성을 걸러내어 탐지 정확도를 크게 향상시키고, 거짓 경고 비율을 감소시켜 기준 모델 대비 벤치마크 데이터셋에서 뛰어난 성능을 보인다.

ABSTRACT

The main function of IDS (Intrusion Detection System) is to protect the system, analyze and predict the behaviors of users. Then these behaviors will be considered an attack or a normal behavior. Though IDS has been developed for many years, the large number of return alert messages makes managers maintain system inefficiently. In this paper, we use RST (Rough Set Theory) and SVM (Support Vector Machine) to detect intrusions. First, RST is used to preprocess the data and reduce the dimensions. Next, the features were selected by RST will be sent to SVM model to learn and test respectively. The method is effective to decrease the space density of data. The experiments will compare the results with different methods and show RST and SVM schema could improve the false positive rate and accuracy.

연구 동기 및 목표

• 기존의 침입 탐지 시스템(IDS)에서 발생하는 경고 메시지의 과도한 양이 시스템 관리 효율성을 저해하는 문제를 해결하기 위해.
• 네트워크 침입 탐지 데이터셋의 데이터 공간 밀도를 낮추고 중복된 특성을 제거하기 위해.
• 침입 탐지 시스템의 탐지 정확도를 향상시키고 거짓 경고 비율을 낮추기 위해.
• 침입 탐지에 있어 흐린 집합 이론(Rough Set Theory)과 지지 벡터 기반 기계학습(Support Vector Machine)을 융합하는 효과를 평가하기 위해.
• 실시간 네트워크 침입 탐지에 대해 확장 가능하고 효율적인 솔루션을 제공하기 위해.

제안 방법

• NSL-KDD 데이터셋을 사전 처리하기 위해 흐린 집합 이론(Rough Set Theory, RST)을 적용하여 중복되거나 관련성이 없는 특성을 식별하고 제거한다.
• RST는 분류 정확도를 유지하는 최소 특성 부분집합을 결정하기 위해 재구성(reducts)과 핵심 속성(core attributes)을 계산한다.
• RST에서 선별된 특성들을 지지 벡터 기반 기계학습(Support Vector Machine, SVM) 분류기의 입력으로 사용한다.
• SVM은 정상 및 침입성 네트워크 트래픽을 구분하기 위해 이진 분류를 수행한다.
• 성능 지표를 평가하기 위해 사전 처리된 데이터셋을 기반으로 모델을 학습하고 테스트한다.
• 정확도 및 거짓 경고 비율과 같은 표준 평가 지표를 사용해 기준 모델과의 성능을 비교한다.

실험 결과

연구 질문

• RQ1 흐린 집합 이론(Rough Set Theory)은 분류에 관련된 특성들을 유지하면서 네트워크 침입 탐지 데이터셋의 차원을 효과적으로 줄일 수 있는가?
• RQ2 RST와 SVM의 융합은 침입 탐지 시스템의 탐지 정확도에 어떤 영향을 미치는가?
• RQ3 제안된 RST-SVM 모델은 기존의 전통적 방법 대비 거짓 경고 비율을 어느 정도 감소시키는가?
• RQ4 RST를 통한 특성 선택은 SVM 기반 침입 탐지의 효율성과 확장 가능성에 어떤 영향을 미치는가?
• RQ5 NSL-KDD 데이터셋에서 RST-SVM 모델은 다른 기계학습 접근법 대비 비교적 어떤 성능을 보이는가?

주요 결과

• RST-SVM 모델은 NSL-KDD 데이터셋을 사용하여 기준 모델 대비 높은 탐지 정확도를 달성하였다.
• 흐린 집합 이론(Rough Set Theory)에 의한 효과적인 특성 선택 덕분에 거짓 경고 비율이 크게 감소하였다.
• 중복되거나 관련성이 없는 특성들을 제거함으로써 데이터셋의 차원이 감소하여 계산 효율성이 향상되었다.
• RST와 SVM의 조합은 정확도와 거짓 경고 비율 측면에서 개별 모델보다 뛰어난 성능을 보였다.
• 제안된 방법은 실제 네트워크 침입 탐지 작업에서 개선된 확장성과 성능을 보였다.
• 결과는 RST 사전 처리가 SVM 분류기의 일반화 능력을 향상시킨다는 것을 확인시켰다.