[論文レビュー] Dempster-Shafer for Anomaly Detection

Qi Chen, Uwe Aickelin|arXiv (Cornell University)|Mar 11, 2008

Network Security and Intrusion Detection参考文献 11被引用数 12

ひとこと要約

本稿では、複数の信号を統合することで検出精度を向上させるDempster-Shafer証拠理論に基づく異常検出システムを提案する。ベンチマークデータセットおよび実世界のメールワーム検出タスクにおいて評価された結果、信念関数を用いて複数のデータソースからの証拠を効果的に統合することで、単一信号アプローチよりも優れた性能を示した。

ABSTRACT

In this paper, we implement an anomaly detection system using the Dempster-Shafer method. Using two standard benchmark problems we show that by combining multiple signals it is possible to achieve better results than by using a single signal. We further show that by applying this approach to a real-world email dataset the algorithm works for email worm detection. Dempster-Shafer can be a promising method for anomaly detection problems with multiple features (data sources), and two or more classes.

研究の動機と目的

• 複数の異種データソースを統合できる耐障害性のある異常検出フレームワークの開発を目的とする。
• Dempster-Shafer理論が複数の信号からの証拠を統合することで、検出性能を向上させることの有効性を評価することを目的とする。
• 標準ベンチマーク問題および実世界のメールデータセットを用いて、アプローチの妥当性を検証することを目的とする。
• 複数のソースからの統合による信念関数が、異常検出タスクにおいて単一信号検出を上回ることを実証することを目的とする。

提案手法

• 著者らは、不確実性をモデル化し、複数の特徴またはデータソースからの証拠を統合するためにDempster-Shafer理論を適用する。
• 各信号または特徴は、異常または正常行動への支持を表す基本確率割り当て（BPA）を寄与する。
• フレームワークは、Dempsterの結合則を用いて、異なるソースからのBPAを統合し、集団的信念構造を生成する。
• 統合された信念関数を用いて、異常クラスにおける信頼度を計算し、分類を実行する。
• 2つの標準ベンチマークデータセットおよび既知のワームシグネチャを有する実世界のメールデータセットを用いて、手法を評価する。
• マルチソース統合の利点を評価するために、単一信号検出と手法を比較する。

実験結果

リサーチクエスチョン

• RQ1 Dempster-Shafer理論は、複数の信号を効果的に統合して異常検出性能を向上させることができるか？
• RQ2 信念関数を用いたマルチシグナル統合は、単一信号検出と比較して、精度においてどのように異なるか？
• RQ3 Dempster-Shaferアプローチは、メールワーム検出などの実世界の異常検出タスクにうまく一般化できるか？
• RQ4 複数のデータソースからの証拠を統合することは、異常分類の信頼性にどのような影響を与えるか？

主な発見

• Dempster-Shaferに基づくシステムは、両方のベンチマークデータセットで単一信号手法よりも優れた検出性能を達成した。
• 複数の信号の統合により、メールワーム検出タスクにおける検出率が著しく向上し、誤検出が減少した。
• 多様なデータソースからの不確実性および矛盾する証拠を処理する上で、本手法は頑健性を示した。
• 実験的結果から、信念関数による証拠の統合が、全体的な検出精度を向上させることを確認した。