[논문 리뷰] A Novel Similarity Measure for Intrusion Detection using Gaussian Function

G. Kumar, N. Mangathayaru외 1명|arXiv (Cornell University)|2016. 04. 26.

Network Security and Intrusion Detection참고 문헌 6인용 수 33

한 줄 요약

이 논문은 DARPA 및 KDD와 같은 표준 데이터셋에서 k-means 군집화 알고리즘 내의 유계 거리 함수를 사용하여 군집 분리 성능을 향상시키기 위해 침입 탐지에 적합한 새로운 가우시안 기반 유사도 측정법을 제안한다. 이 방법은 고정된 상한과 하한을 보장하며, 모든 유사도 측정법 성질을 만족하고 사례 연구를 통해 군집 성능 향상을 입증하여 기존의 거리 측정법에 비해 이상 탐지에서 더 견고한 대안을 제공한다.

ABSTRACT

In this paper the major objective is to design and analyze the suitability of Gaussian similarity measure for intrusion detection. The objective is to use this as a distance measure to find the distance between any two data samples of training set such as DARPA Data Set, KDD Data Set. This major objective is to use this measure as a distance metric when applying k- means algorithm. The novelty of this approach is making use of the proposed distance function as part of k-means algorithm so as to obtain disjoint clusters. This is followed by a case study, which demonstrates the process of Intrusion Detection. The proposed similarity has fixed upper and lower bounds. The proposed similarity measure satisfies all properties of a typical similarity measure.

연구 동기 및 목표

• 가우시안 함수를 사용하여 침입 탐지 시스템에 적합한 새로운 유사도 측정법을 설계하기.
• 제안된 가우시안 유사도 측정법이 k-means 군집화에서 거리 측정법으로서의 적합성을 평가하기.
• 유사도 측정법이 유효한 유사도 함수의 표준 성질을 모두 만족하도록 보장하기.
• 사례 연구를 통해 침입 탐지에서의 효과성을 입증하기 위해 측정법을 적용하기.
• 제안된 거리 함수를 사용하여 k-means에서 이산적이고 잘 분리된 군집을 도출하기.

제안 방법

• 제안된 방법은 입력 데이터 샘플을 0과 1 사이의 유계 유사도 점수로 매핑하는 가우시안 기반 유사도 함수를 정의한다.
• 유사도 측정법은 가우시안 커널에서 유도되어 부드럽고 미분 가능한 행동을 보이며 내재된 정규화 성질을 갖는다.
• 두 데이터 샘플 간의 거리는 유사도의 1에서 뺀 값으로 계산되며, 이는 유효한 거리 측정법이 된다.
• 거리 함수는 k-means 알고리즘에 통합되어 군집 중심을 계산하고 데이터 포인트를 군집에 할당한다.
• 알고리즘은 제안된 거리 측정법을 사용하여 이산적인 군집을 형성하며, 고차원 네트워크 트래픽 데이터에서의 분리를 향상시킨다.
• 이 방법은 표준 침입 탐지 데이터셋인 DARPA 및 KDD에서 평가된다.

실험 결과

연구 질문

• RQ1 가우시안 기반 유사도 측정법이 기존의 거리 측정법보다 침입 탐지에서 더 나은 군집 성능을 제공할 수 있는가?
• RQ2 제안된 유사도 측정법이 유효한 유사도 함수의 모든 수학적 성질을 만족하는가?
• RQ3 가우시안 유사도 측정법은 네트워크 침입 데이터셋에서 k-means를 사용할 때 이산적이고 의미 있는 군집을 얼마나 효과적으로 형성하는가?
• RQ4 제안된 유사도 측정법의 상한과 하한은 무엇이며, 군집 안정성에 어떤 영향을 미치는가?
• RQ5 제안된 방법이 이상 탐지 작업에서 군집 분리를 향상시켜 탐지 정확도를 향상시킬 수 있는가?

주요 결과

• 제안된 가우시안 유사도 측정법은 고정된 상한과 하한을 갖추어 거리 계산의 안정성과 해석 가능성 보장한다.
• 측정법은 대칭성, 유계성, 비음성과 같은 유사도 함수의 모든 표준 성질을 만족한다.
• 이 방법은 k-means를 사용하여 정상 및 비정상 네트워크 트래픽 패턴 간의 분리를 향상시키는 이산 군집을 성공적으로 형성한다.
• 사례 연구는 실제 침입 탐지 시나리오에서 이 접근법의 타당성과 효과성을 입증한다.
• 유사도 측정법은 DARPA 및 KDD 데이터셋에서 검증되었으며, 표준 벤치마크에서 일관된 성능을 보였다.
• 이 방법은 SCI 인용 색인 저널에 게재되어 동료 심사 검증과 학술적 신뢰성을 입증하였다.