[論文レビュー] MultiResolution Anomaly Detection Method for Long Range Dependent Time Series

Lingsong Zhang, Zhengyuan Zhu+1 more|ArXiv.org|Sep 8, 2008

Network Security and Intrusion Detection参考文献 34被引用数 5

ひとこと要約

本稿では、長-range依存性（LRD）を持つ時系列における局所的平均レベルの変化を、単一スケール手法よりも効果的に検出できるように、マルチスケール集約を活用したマルチスケール異常検出（MRAD）手法を提案する。主な理論的貢献は、2スケールMRAD手順が個々のスケールの平均検出力よりも高い検出力を有することを証明し、スケール間相関とLRD構造を考慮したしきい値を導出したことである。

ABSTRACT

Driven by network intrusion detection, we propose a MultiResolution Anomaly Detection (MRAD) method, which effectively utilizes the multiscale properties of Internet features and network anomalies. In this paper, several theoretical properties of the MRAD method are explored. A major new result is the mathematical formulation of the notion that a two-scaled MRAD method has larger power than the average power of the detection method based on the given two scales. Test threshold is also developed. Comparisons between MRAD method and other classical outlier detectors in time series are reported as well.

研究の動機と目的

• 長-range依存性（LRD）が存在する時系列において、古典的手法では失敗するネットワーク異常の検出という課題に対処すること。
• ネットワーク異常のマルチスケール特性と正常トラフィックの自己相似性を活用する統計的手法を開発すること。
• 2スケールMRADアプローチが単一スケール検出よりも統計的検出力において理論的に優位であることを明確にすること。
• スケール間相関とLRD構造を考慮したMRAD検定のための臨界しきい値を導出すること。
• LRDに強く、複数の時間スケールにわたって効果的なネットワークトラフィックにおける異常検出のフレームワークを提供すること。

提案手法

• MRAD手法は、元の観測値を増加するバッチサイズ（例：1, b, b², ...）で集約することで、複数スケールの時系列を構築し、マルチスケール表現を形成する。
• 標準でないウェーブレット変換の近似成分に基づく検定統計量を定義し、ウェーブレット係数ではなく、LRD構造を保持する。
• 複数スケールの1つの時刻における統合検定を実施し、集約信号の絶対値が臨界しきい値を超えるかどうかを検証する。
• 帰無仮説下で第1種誤り率を制御するため、スケール間相関を考慮した臨界しきい値 $ C_M^\alpha $ を導出する。
• 2変量正規近似とテイラー展開を用いて、帰無仮説および対立仮説下での異なるスケールにおける信号の同時分布をモデル化する。
• 理論的導出は、Hurst指数 $ H \in (0.5, 1) $ を持つ自己相似過程の性質に依拠し、長-range依存性を保証する。

実験結果

リサーチクエスチョン

• RQ1 2スケールMRAD手順は、LRD時系列における局所的平均レベルの変化を検出する際、個々のスケールの平均検出力よりも高い統計的検出力を有するか？
• RQ2 異なるスケール間の信号の相関は、MRAD検定の第1種誤り率と検出力にどのように影響するか？
• RQ3 スケール間相関とLRDを考慮した理論的しきい値 $ C_M^\alpha $ を構築でき、名目有意水準を維持できるか？
• RQ4 有意水準 $ \alpha \to 0 $ のとき、パワー差関数 $ f(\alpha, \delta) $ の漸近的挙動は何か？ そして、$ \alpha $ が小さいときにも正のまま保たれるか？
• RQ5 MRAD手法の性能は、短-range依存性または独立性を仮定する古典的手法と比べてどうか？

主な発見

• MRAD手法は、その構成要素である単一スケール検出器の平均検出力よりも高い検出力を達成し、LRD時系列における局所的平均シフトへの感受性がマルチスケール融合によって向上することを証明した。
• パワー差関数 $ f(\alpha, \delta) $ は $ \alpha \to 0^+ $ のとき厳密に正であり、2スケールMRAD手順が単一スケール手法を統計的検出力の観点から上回ることを確認した。
• 臨界しきい値 $ C_M^\alpha $ は $ C_0 - \frac{\phi(C_0)C_0^2}{2\sqrt{1 - \alpha}} \rho^2 + o(\rho^2) $ として導出され、ここで $ \rho \sim H L^{H-1} $ であり、相関下での第1種誤り率の適切な制御を保証する。
• $ L \to \infty $ のとき、2スケールMRAD検定のパワーは $ 1 - \sqrt{1 - \alpha} [\Phi(C_0 - \delta) - \Phi(-C_0 - \delta)] $ に収束し、これは単一スケールパワーの平均よりも厳密に大きい。
• 手法の理論的基盤は2変量正規近似とテイラー展開にあり、帰無仮説および対立仮説下での厳密な漸近的解析が行われた。
• 短-range依存性を仮定する古典的手法は、LRD環境下で誤検出率が上昇するため、MRAD手法に比べて劣ることが示された。