[논문 리뷰] Improving the Performance of Multi-class Intrusion Detection Systems using Feature Reduction

Yasmen Wahba, Ehab ElSalamouny외 1명|arXiv (Cornell University)|2015. 07. 23.

Network Security and Intrusion Detection참고 문헌 25인용 수 43

한 줄 요약

이 논문은 다중 클래스 침입 탐지 시스템(IDS)에서 부적절하고 중복되는 특징을 줄이기 위해 상관계수 기반 특징 선택(CFS)과 정보 양상(Information Gain)을 조합한 하이브리드 특징 선택 방법을 제안한다. NSL-KDD 데이터셋에서 적응형 부스팅과 나이브 베이즈를 사용하여, 더 적은 특징 수로도 높은 탐지 정확도를 달성하며, 탐색 전략과 최적의 특징 부분집합 선택을 통해 전통적인 5단계 IDS 방법보다 뛰어난 성능을 발휘한다.

ABSTRACT

Intrusion detection systems (IDS) are widely studied by researchers nowadays due to the dramatic growth in network-based technologies. Policy violations and unauthorized access is in turn increasing which makes intrusion detection systems of great importance. Existing approaches to improve intrusion detection systems focus on feature selection or reduction since some features are irrelevant or redundant which when removed improve the accuracy as well as the learning time. In this paper we propose a hybrid feature selection method using Correlation-based Feature Selection and Information Gain. In our work we apply adaptive boosting using naïve Bayes as the weak (base) classifier. The key point in our research is that we are able to improve the detection accuracy with a reduced number of features while precisely determining the attack. Experimental results showed that our proposed method achieved high accuracy compared to methods using only 5-class problem. Correlation is done using Greedy search strategy and naïve Bayes as the classifier on the reduced NSL-KDD dataset.

연구 동기 및 목표

• 다중 클래스 침입 탐지 시스템(IDS)에서 고차원적이고 중복적이며 관련성이 없는 특징 문제를 해결하기 위해.
• 최소한의 최적 특징 부분집합을 선택하여 탐지 정확도를 향상시키고 학습 시간을 단축하기 위해.
• 상관계수와 정보 양상을 조합하여 특징의 관련성 평가를 향상시키는 하이브리드 특징 선택 방법을 개발하기 위해.
• 기본 분류기로 나이브 베이즈를 사용한 적응형 부스팅을 적용하여, NSL-KDD 데이터셋에서 제안된 방법의 효과성을 평가하기 위해.
• 특징 감소가 공격 분류 정밀도를 희생시키지 않고도 IDS 성능을 크게 향상시킬 수 있음을 입증하기 위해.

제안 방법

• 상관계수 기반 특징 선택(CFS)과 정보 양상을 조합하여 가장 관련성이 높은 특징을 식별하는 하이브리드 특징 선택 접근법을 설계하였다.
• CFS는 클래스와의 상관관계를 기반으로 특징 부분집합을 평가하면서 상호 간 특징 간 부재를 최소화한다.
• 정보 양상은 각 특징이 침입 클래스를 예측하는 데 얼마나 관련성이 있는지 측정하여 잡음이나 관련성이 없는 속성을 걸러내는 데 기여한다.
• 결합된 CFS-IG 평가 결과에서 최적의 특징 부분집합을 반복적으로 선택하기 위해 탐색 전략을 사용한다.
• 감소된 특징 집합에서 전체 탐지 성능을 향상시키기 위해 나이브 베이즈를 약한 분류기로 사용한 적응형 부스팅(AdaBoost)을 적용한다.
• 실제이고 표준화된 기준을 확보하기 위해 KDD 컵 1999의 개선된 버전인 NSL-KDD 데이터셋에서 방법을 평가한다.

실험 결과

연구 질문

• RQ1 CFS와 정보 양상을 조합한 하이브리드 특징 선택 방법이 다중 클래스 침입 탐지 시스템의 정확도를 향상시킬 수 있는가?
• RQ2 이 하이브리드 접근법을 사용한 특징 감소가 학습 시간과 모델 복잡도에 어떤 영향을 미치는가?
• RQ3 감소된 특징 집합에서 나이브 베이즈와 적응형 부스팅을 통합하면 기준 방법보다 탐지 성능이 향상되는가?
• RQ4 탐색 전략이 다중 클래스 IDS 맥락에서 특징 부분집합 선택을 얼마나 효과적으로 최적화하는가?
• RQ5 제안된 방법이 더 적은 특징으로 다양한 형태의 사이버 공격을 정확하게 식별하고 분류할 수 있는가?

주요 결과

• 제안된 하이브리드 특징 선택 방법은 단일 5단계 문제 설정을 사용한 방법보다 더 높은 탐지 정확도를 달성하였다.
• 특징 감소는 분류 성능에 손상을 주지 않으면서도 입력 특징 수를 줄여 학습 효율성을 크게 향상시켰다.
• CFS와 정보 양상의 조합은 관련성 있고 중복되지 않는 특징을 식별하는 데 개별 특징 선택 기법보다 뛰어난 성능을 보였다.
• 감소된 특징 집합에서 나이브 베이즈와 적응형 부스팅을 적용함으로써 다양한 공격 유형을 정확하게 탐지할 수 있는 능력이 향상되었다.
• 탐색 전략은 효율적으로 작동하여 컴act하고 높은 성능을 보이는 특징 부분집합을 식별하였으며, 이는 모델 일반화 능력 향상에 기여하였다.
• NSL-KDD 데이터셋에서의 실험 결과, 제안된 방법이 다양한 공격 유형 분류에서 높은 정밀도를 유지하는 것으로 확인되었다.