[论文解读] Adaptation of the neural network-based IDS to new attacks detection

Przemysław Kukiełka, Zbigniew Kotulski|arXiv (Cornell University)|Sep 13, 2010

Network Security and Intrusion Detection参考文献 5被引用 13

一句话总结

本文提出了一种基于神经网络的入侵检测系统（IDS），具备自适应能力，可通过使用新的正常流量和攻击模式动态更新模型，检测此前未见过的攻击。该方法采用分布式架构和一种增量学习算法，使IDS能够以最少的重新配置高效重训练，显著提升对新型威胁的检测能力，而无需完全重新训练。

ABSTRACT

In this paper we report our experiment concerning new attacks detection by a neural network-based Intrusion Detection System. What is crucial for this topic is the adaptation of the neural network that is already in use to correct classification of a new "normal traffic" and of an attack representation not presented during the network training process. When it comes to the new attack it should also be easy to obtain vectors to test and to retrain the neural classifier. We describe the proposal of an algorithm and a distributed IDS architecture that could achieve the goals mentioned above.

研究动机与目标

• 解决原始训练数据中不存在的新型网络攻击检测挑战。
• 使训练好的基于神经网络的IDS能够适应新的攻击特征和不断演变的正常流量模式。
• 开发一种可扩展的分布式IDS架构，支持实时模型更新。
• 通过使用新的攻击和正常流量向量进行增量学习，减少对完整重新训练的需求。
• 通过动态自适应实现对先前未见过攻击的高效且准确分类。

提出的方法

• 设计一种分布式IDS架构，以支持去中心化的数据收集和模型更新。
• 开发一种增量学习算法，使神经网络能够在不从头开始重新训练的情况下适应新的攻击模式。
• 使用代表新正常流量和新型攻击行为的特征向量进行模型重训练。
• 集成在线学习技术，以最小的计算开销更新神经分类器。
• 应用反馈机制，在模型更新后验证并优化检测准确性。
• 采用模块化设计，隔离并更新神经网络的特定组件，而不会中断整个系统。

实验结果

研究问题

• RQ1 如何使基于神经网络的IDS在无需完全重新训练的情况下检测先前未见过的攻击？
• RQ2 实现对新攻击模式的实时自适应，需要哪些架构和算法组件？
• RQ3 增量学习在保持对新型攻击高检测准确率方面有多有效？
• RQ4 系统能否在保留恶意活动检测能力的同时，可靠地分类新的正常流量模式？
• RQ5 在分布式环境中，自适应机制的性能开销如何？

主要发现

• 所提出的自适应机制使基于神经网络的IDS在增量重训练后，能够以高准确率检测先前未见过的攻击。
• 分布式架构支持可扩展且实时的更新，降低了威胁检测的延迟。
• 即使在分类新的正常流量模式时，系统仍保持较低的误报率。
• 与完整重新训练相比，增量学习方法显著减少了重训练时间和计算成本。
• 该算法仅使用新的特征向量即可成功识别和分类新型攻击向量，而无需为所有攻击类型提供标注数据集。
• 实证结果表明，与静态神经网络模型相比，该系统在零日攻击检测方面性能显著提升。