[논문 리뷰] GAN-based method for cyber-intrusion detection.

Hongyu Chen, Li Jiang|arXiv (Cornell University)|2019. 04. 04.

Network Security and Intrusion Detection참고 문헌 2인용 수 8

한 줄 요약

이 논문은 사이버 침입 탐지에서 클래스 불균형과 고차원 이산 특징 문제를 해결하기 위해 고유한 손실 함수를 갖춘 새로운 GAN 기반 침입 탐지 모델을 제안한다. 정상 트래픽 분포만 학습함으로써, 최신 기술 대비 성능 향상과 계산 오버헤드 감소를 달성하며 이질적 이상 현상을 효과적으로 탐지한다.

ABSTRACT

Ubiquitous cyber-intrusions endanger the security of our devices constantly. They may bring irreversible damages to the system and cause leakage of privacy. Thus, it is of vital importance to promptly detect these intrusions. Traditional methods such as Decision Trees and Support Vector Machine (SVM) are used to classify normal internet connections and cyber-intrusions. However, the intrusions are largely fewer than normal connections, which limits the capability of these methods. Anomaly detection methods such as Isolation Forest can handle the imbalanced data. Nevertheless, when the features of data increase, these methods lack enough ability to learn the distribution. Generative adversarial network (GAN) has been proposed to solve the above issues. With its strong generative ability, it only needs to learn the distribution of normal status, and identify the abnormal status when intrusion occurs. But existing models are not suitable to process discrete values, leading to immense degradation of detection performance. To cope with these challenges, in this paper, we propose a novel GAN-based model with specifically-designed loss function to detect cyber-intrusions. Experiment results show that our model outperforms state-of-the-art models and remarkably reduce the overhead.

연구 동기 및 목표

• 악성 활동이 정상 트래픽에 비해 훨씬 적은 경우 발생하는 클래스 불균형 문제를 해결한다.
• 결정 트리 및 서포트 벡터 머신(SVM)과 같은 전통적인 기계학습 모델이 불균형 데이터셋을 다루는 데 한계를 가진다는 점을 극복한다.
• 기존 방법(예: Isolation Forest)이 어려움을 겪는 고차원 특징 공간에서의 이상 탐지 성능을 향상시킨다.
• 정상 네트워크 트래픽 분포를 학습하고 이를 기반으로 이질성을 침입으로 탐지하는 GAN 기반 접근법을 개발한다.
• 네트워크 트래픽 데이터에서 흔한 이산 특징을 다룰 수 있도록 설계된 특수한 손실 함수를 개발한다.

제안 방법

• 합성 정상 네트워크 트래픽을 생성함으로써 정상 연결의 기저 분포를 학습하는 GAN 프레임워크를 제안한다.
• 이산 특징에 특화된 고유한 손실 함수를 도입하여 학습 안정성과 표현 학습을 향상시킨다.
• 생성자와 판별자를 동시에 학습함: 생성자는 현실적인 정상 트래픽 샘플을 생성하고, 판별자는 실제 데이터와 생성된 데이터를 구분한다.
• 학습된 판별자를 이상 탐지기로 활용: 낮은 신뢰도 예측은 잠재적 침입을 나타낸다.
• 네트워크 프로토콜 및 연결 특징의 이산성 특성을 반영한 수정된 적대적 손실을 사용해 GAN을 최적화한다.
• GAN 학습 수렴을 향상시키기 위해 이산형 범주형 특징(예: 프로토콜 유형, 서비스)을 사전 처리하기 위한 특징 공학 기법을 적용한다.

실험 결과

연구 질문

• RQ1 정상 네트워크 트래픽 분포만 학습함으로써 GAN 기반 모델이 침입을 효과적으로 탐지할 수 있는가?
• RQ2 제안된 고유한 손실 함수는 표준 GAN에 비해 이산 네트워크 특징 처리에서 탐지 성능을 어떻게 향상시키는가?
• RQ3 불균형 데이터셋에서 높은 탐지 정확도를 유지하면서 계산 오버헤드를 얼마나 줄일 수 있는가?
• RQ4 F1 점수와 AUC 측면에서 Isolation Forest 및 전통적 기계학습 분류기와 같은 최신 기술 대비 모델 성능은 어떻게 비교되는가?
• RQ5 학습 중에 레이블이 부여된 이상 예제가 필요 없이도 모델은 새로운 침입 패턴에 잘 일반화되는가?

주요 결과

• 제안된 GAN 기반 모델은 벤치마크 침입 탐지 데이터셋에서 최신 기술 대비 뛰어난 탐지 성능을 달성한다.
• 특수한 손실 함수 덕분에 효율적인 학습과 추론로 인해 탐지 오버헤드가 크게 감소한다.
• 고유한 손실 함수는 고차원 이산 네트워크 특징을 처리할 때 모델의 강건성과 정확도를 향상시킨다.
• 모델은 새로운 침입 패턴을 사전 공격 유형 지식 없이도 강력한 일반화 능력을 보이며 탐지할 수 있다.
• 극심한 클래스 불균형 조건에서도 높은 F1 점수와 AUC를 유지하며 기존 기계학습 및 이상 탐지 기반 모델을 능가한다.
• GAN 프레임워크는 정상 트래픽 분포를 효과적으로 학습하여 낮은 오진 양성률로 신뢰할 수 있는 이상 탐지가 가능하다.