[論文レビュー] Detecting Network Anomalies using Rule-based machine learning within SNMP-MIB dataset

Abdalrahman Hwoij, Mouhammd Alkasassbeh+1 more|arXiv (Cornell University)|Jan 18, 2020

Network Security and Intrusion Detection参考文献 33被引用数 6

ひとこと要約

本論文は、SNMP-MIBデータセットを用いて、特にDoS攻撃を検出するためのルールベースの機械学習アプローチを提案する。5つのルールベースの分類器—特にPART—を用い、正常なトラフィックとさまざまなDoS攻撃を区別する際、100%の正確性を達成した。ICMP変数を用いることで、ICMPベースの攻撃の識別において99.7%の正確性を達成した。

ABSTRACT

One of the most effective threats that targeting cybercriminals to limit network performance is Denial of Service (DOS) attack. Thus, data security, completeness and efficiency could be greatly damaged by this type of attacks. This paper developed a network traffic system that relies on adopted dataset to differentiate the DOS attacks from normal traffic. The detection model is built with five Rule-based machine learning classifiers (DecisionTable, JRip, OneR, PART and ZeroR). The findings have shown that the ICMP variables are implemented in the identification of ICMP attack, HTTP flood attack, and Slowloris at a high accuracy of approximately 99.7% using PART classifier. In addition, PART classifier has succeeded in classifying normal traffic from different DOS attacks at 100%.

研究の動機と目的

• SNMP-MIBデータを用いて、正常なネットワークトラフィックとDoS攻撃を区別できるネットワークトラフィックシステムの開発を目的とする。
• ルールベースの機械学習分類器の有効性を、ICMPフラッドやSlowlorisを含むさまざまな種類のDoS攻撃の検出において評価すること。
• 異常検出におけるネットワークトラフィックの分類において、DecisionTable、JRip、OneR、PART、ZeroRの5つの分類器の中で最も正確なものを特定すること。
• ICMP関連変数が特定の攻撃タイプの検出正確性を向上させる役割を評価すること。

提案手法

• 本研究では、訓練およびテストのためのネットワークトラフィックデータとして、SNMP-MIBデータセットを主な情報源として用いた。
• 正常性検出のため、5つのルールベースの機械学習分類器—DecisionTable、JRip、OneR、PART、ZeroR—を実装し、評価した。
• 高い性能を示したため、PART分類器を詳細分析の対象とした。ルール誘導を用いて解釈可能な分類ルールを生成した。
• 特徴選択は、ICMPベースの攻撃に対して特に判別能が高いとされたICMP関連変数に焦点を当てた。
• 標準的な分類指標を用いて性能を評価したが、特に正常トラフィックとDoS攻撃の区別における正確性に注目した。

実験結果

リサーチクエスチョン

• RQ1 SNMP-MIBデータを用いた場合、どのルールベースの機械学習分類器がDoS攻撃の検出において最も優れた性能を示すか？
• RQ2 ICMP関連変数は、ICMPベースのDoS攻撃の特定においてどの程度有効か？
• RQ3 ルールベースのモデルは、正常トラフィックとDoSトラフィックの分類において、ほぼ完璧な正確性を達成できるか？
• RQ4 特徴選択は、特定の攻撃タイプの検出性能にどのような影響を与えるか？

主な発見

• PART分類器は、さまざまなDoS攻撃と正常ネットワークトラフィックを分類する際、100%の正確性を達成した。
• PART分類器は、ICMP関連変数を用いることで、ICMPベースの攻撃を約99.7%の正確性で検出できた。
• ICMP変数は、ICMPフラッド攻撃およびSlowloris攻撃の特定において非常に効果的であることが判明した。
• 検証された5つのルールベース分類器の中で、PARTは全体的な検出性能が最も優れていた。