[論文レビュー] Machine Learning Methods For Network Intrusion Detection

Mouhammd Alkasassbeh, Mohammad Almseidin|arXiv (Cornell University)|Jul 2, 2018

Network Security and Intrusion Detection参考文献 11被引用数 14

ひとこと要約

この論文は、ネットワークインシデント検出のための機械学習手法—J48、MLP、ベイズネットワーク—をKDD Cup 1999データセットに対して評価し、公平な評価を確保するための前処理に注目している。J48意思決定木分類器は、DOS、R2L、U2R、PROBEの全攻撃タイプを検出する際に最高の正確性を達成し、ネットワークセキュリティシステムにおけるインシデント分類の有効性を示している。

ABSTRACT

Network security engineers work to keep services available all the time by handling intruder attacks. Intrusion Detection System (IDS) is one of the obtainable mechanisms that is used to sense and classify any abnormal actions. Therefore, the IDS must be always up to date with the latest intruder attacks signatures to preserve confidentiality, integrity, and availability of the services. The speed of the IDS is a very important issue as well learning the new attacks. This research work illustrates how the Knowledge Discovery and Data Mining (or Knowledge Discovery in Databases) KDD dataset is very handy for testing and evaluating different Machine Learning Techniques. It mainly focuses on the KDD preprocess part in order to prepare a decent and fair experimental data set. The J48, MLP, and Bayes Network classifiers have been chosen for this study. It has been proven that the J48 classifier has achieved the highest accuracy rate for detecting and classifying all KDD dataset attacks, which are of type DOS, R2L, U2R, and PROBE.

研究の動機と目的

• KDD Cup 1999ネットワークインシデント検出データセット上で複数の機械学習分類器の性能を評価すること。
• KDDデータセットのきめ細やかな前処理を通じて、実験結果の公平性と信頼性を向上させること。
• DOS、R2L、U2R、PROBEを含む多様なネットワーク攻撃タイプを検出できる、最も効果的な機械学習モデルを特定すること。
• 進化するサイバー脅威に適応可能な最新で高速なインシデント検出システムの開発を支援すること。

提案手法

• KDD Cup 1999データセットの前処理として、欠損値の処理、特徴量の正規化、次元削減を実施し、一貫性のあるモデル評価を実現した。
• J48意思決定木アルゴリズムを用いて、特徴量のパターンに基づきネットワークトラフィックを通常または攻撃に分類した。
• 多層パーセプトロン（MLP）ニューラルネットワークを、バックプロパゲーションと非線形活性化関数を用いて異常を検出するように学習させた。
• ベイジアンネットワーク分類器を実装し、ネットワーク特徴量間の確率的依存関係をモデル化し、条件付き確率を用いて攻撃を分類した。
• 標準的な指標（正確性、適合率、再現率）を用いて、全攻撃クラスにおける性能を評価した。
• 全3つの分類器の結果を比較し、インシデント検出に最適なモデルを特定した。

実験結果

リサーチクエスチョン

• RQ1 どの機械学習分類器が、KDD Cup 1999データセットにおいて多様なネットワーク攻撃タイプを最も高い検出正確性で識別できるか？
• RQ2 データ前処理は、インシデント検出における機械学習モデル評価の公平性と信頼性にどのように影響するか？
• RQ3 J48、MLP、ベイズネットワーク分類器は、DOS、R2L、U2R、PROBEなどの特定攻撃タイプを検出する際に、どのように比較されるか？
• RQ4 木ベース、ニューラルネットワーク、確率的モデルの相対的な性能は、ネットワークインシデント分類においてどうなるか？

主な発見

• J48意思決定木分類器は、KDDデータセットにおける全ネットワークインシデントタイプの検出において、最高の全体的正確性を達成した。
• J48モデルは、全攻撃カテゴリにおいてMLPおよびベイズネットワーク分類器と比較して優れた性能を示した。
• 本研究では、適切なデータ前処理がKDDデータセットにおけるモデル評価の一貫性と公平性を著しく向上させることを確認した。
• MLPおよびベイズネットワーク分類器は低い正確性率を示し、この特定のインシデント検出タスクにおいて有効性に限界があることがわかった。
• 結果から、J48はKDD Cup 1999データセットに適用された場合、堅牢で信頼性の高いインシデント検出選択肢であると示唆された。