[论文解读] Attribute Weighting with Adaptive NBTree for Reducing False Positives in Intrusion Detection

Dewan Md. Farid, Mohammad Zahidur Rahman|arXiv (Cornell University)|May 6, 2010

Network Security and Intrusion Detection参考文献 48被引用 9

一句话总结

该论文提出了一种基于自适应NBTree的属性加权方法，以减少网络入侵检测中的误报。通过将决策树驱动的属性加权与朴素贝叶斯分类相结合，该方法提高了检测准确率，并在不同入侵类型间实现了更好的性能平衡，在KDD99数据集上显著降低了误报率，同时保持了较高的检测率。

ABSTRACT

In this paper, we introduce new learning algorithms for reducing false positives in intrusion detection. It is based on decision tree-based attribute weighting with adaptive naïve Bayesian tree, which not only reduce the false positives (FP) at acceptable level, but also scale up the detection rates (DR) for different types of network intrusions. Due to the tremendous growth of network-based services, intrusion detection has emerged as an important technique for network security. Recently data mining algorithms are applied on network-based traffic data and host-based program behaviors to detect intrusions or misuse patterns, but there exist some issues in current intrusion detection algorithms such as unbalanced detection rates, large numbers of false positives, and redundant attributes that will lead to the complexity of detection model and degradation of detection accuracy. The purpose of this study is to identify important input attributes for building an intrusion detection system (IDS) that is computationally efficient and effective. Experimental results performed using the KDD99 benchmark network intrusion detection dataset indicate that the proposed approach can significantly reduce the number and percentage of false positives and scale up the balance detection rates for different types of network intrusions.

研究动机与目标

• 解决现有入侵检测系统（IDS）中高误报率的问题，以提升检测可靠性。
• 降低网络流量数据中冗余和无关属性带来的模型复杂度。
• 改善在各类入侵类型中检测率的平衡性，特别是在类别不平衡的数据集中。
• 通过自适应属性加权，开发一种计算高效且准确的IDS。
• 通过集成基于决策树的特征加权，提升朴素贝叶斯分类器在入侵检测中的性能。

提出的方法

• 该方法采用一种自适应朴素贝叶斯树（NBTree），结合决策树归纳与朴素贝叶斯分类。
• 基于决策树分裂过程中的信息增益和基尼指数，动态分配属性权重。
• 在树的每个节点对特征重新加权，以优先选择最具区分性的属性进行分类。
• 在树构建过程中自适应调整属性重要性，以提升分类准确率。
• 最终模型在朴素贝叶斯分类中使用加权属性，以减少误报。
• 该方法在KDD99基准数据集上，采用标准入侵检测指标进行评估。

实验结果

研究问题

• RQ1 基于决策树准则的属性加权能否降低入侵检测中的误报率？
• RQ2 自适应属性加权在多类入侵类型中如何改善检测率的平衡性？
• RQ3 将决策树与朴素贝叶斯结合在多大程度上能降低模型复杂度并提升准确率？
• RQ4 所提出的方法是否在显著降低误报率的同时保持高检测率？
• RQ5 自适应NBTree与标准朴素贝叶斯和决策树模型相比，在入侵检测性能上表现如何？

主要发现

• 与基线朴素贝叶斯和标准决策树模型相比，所提方法显著降低了误报率。
• 各类入侵类型（包括以往检测率较低的U2R和R2L攻击）的检测率实现了良好平衡。
• 由于通过动态加权减少了属性冗余，模型表现出更高的计算效率。
• 将属性加权与NBTree结合后，KDD99数据集上的整体检测准确率得到提升。
• 在F1-score和FPR降低方面，该方法优于传统的朴素贝叶斯和决策树模型。
• 该方法对罕见攻击类型也保持了高检测率，表明其对类别不平衡具有鲁棒性。