[論文レビュー] Network Traffic Decomposition for Anomaly Detection

Tahereh Babaie, Sanjay Chawla+1 more|arXiv (Cornell University)|Mar 2, 2014

Network Security and Intrusion Detection参考文献 3被引用数 8

ひとこと要約

本稿では、フロー時系列から構築されたヘンケル行列のスペクトル分解に基づく多次元特異スペクトル解析（M-SSA）を用いて、ネットワークトラフィックの統合的異常検出フレームワークを提案する。時間的（DoS）および空間的（ポートスキャン）相関を捉えることで、PCA やウェーブレットベースの手法よりも優れた検出率を達成し、実際のトラフィックデータおよび合成トラフィックデータにおいて、パrameter感度分析の厳密な検証を伴って優れた検出性能を示す。

ABSTRACT

In this paper we focus on the detection of network anomalies like Denial of Service (DoS) attacks and port scans in a unified manner. While there has been an extensive amount of research in network anomaly detection, current state of the art methods are only able to detect one class of anomalies at the cost of others. The key tool we will use is based on the spectral decomposition of a trajectory/hankel matrix which is able to detect deviations from both between and within correlation present in the observed network traffic data. Detailed experiments on synthetic and real network traces shows a significant improvement in detection capability over competing approaches. In the process we also address the issue of robustness of anomaly detection systems in a principled fashion.

研究の動機と目的

• 既存の異常検出システムが一度に一つの異常タイプ（例：DoS または ポートスキャン）しか検出できないという限界に対処すること。
• 同時に、DoS 攻撃とポートスキャン攻撃の両方を検出可能な統合フレームワークを開発すること。
• トラジェクトリ／ヘンケル行列のスペクトル分解を活用して、フロー内およびフロー間の相関の逸脱をモデル化・検出すること。
• パrameter設定の厳密な分析と実世界のネットワークトレースを用いた検証により、異常検出のロバスト性を向上させること。
• 将来の異常検出手法のベンチマークとして利用可能な、日本–米国間バックボーンリンクからのラベル付き新データセットを提供すること。

提案手法

• 複数のネットワークフロー時系列からヘンケル行列を構築し、各行がフローの時間遅延ウィンドウを表すようにする。
• ヘンケル行列に特異値分解（SVD）を適用し、正常なトラフィック行動の背後にある多様体を表す低ランク成分を抽出する。
• 観測値と再構成値の残差（y(t) - ŷ(t)）を検出統計量として用い、残差がしきい値を超えた場合に異常と特定する。
• 複数のフローを同時にモデル化し、時間的または空間的相関の違反を検出可能な多次元SSA（M-SSA）に拡張する。
• 再構成された時間系列成分の解釈可能性および検証のため、行列分解からの対角平均化（ヘンケル化）を適用する。
• 実際および合成されたネットワークトレースを用いて、M-SSA の性能を PCA、ウェーブレット、フーリエ解析、カルマンフィルタリング、ASTUTE と比較する。

実験結果

リサーチクエスチョン

• RQ1 ヘンケル行列のスペクトル分解は、統合フレームワークとして DoS および ポートスキャン異常を検出可能か？
• RQ2 M-SSA は、時間的または空間的相関からの逸脱を示す異常を検出する際、PCA やウェーブレットベースの手法と比較してどのように優れているか？
• RQ3 ウィンドウ長およびランク選択が、異常検出性能およびロバスト性に与える影響は何か？
• RQ4 局所的逸脱による相関違反が生じる場合、標準的な相関ベースのSVDでは検出できない異常も、本手法で検出可能か？
• RQ5 非定常的挙動を示す実世界のネットワークトラフィックにおいて、本手法はどのように性能を発揮するか？

主な発見

• M-SSA は、実際および合成されたネットワークトレースにおいて、PCA、ウェーブレット、フーリエ解析、カルマンフィルタリング、ASTUTE と比較して、DoS および ポートスキャン異常の両方を顕著に優れた性能で検出する。
• 局所的相関違反が生じるポートスキャン異常でさえ、時間遅延付きヘンケル行列の構築により、標準的なSVDでは検出できないが、本手法により効果的に検出可能である。
• 時間的相関を破壊するDoS 攻撃は、ヘンケル行列の低ランク近似後の残差解析により、効果的に検出可能である。
• ヘンケル行列の使用により、フロー内およびフロー間の両方の相関違反を検出可能となり、統合的検出アプローチの実現が可能である。
• ロバストネス分析の結果、M-SSA はウィンドウ長およびランク設定の多様な組み合わせにおいても高い検出性能を維持し、正常データにおける相関のない残差においても最小限の誤検出を示す。
• 日本–米国間バックボーンリンクからのラベル付き新データセットの提供により、将来的な異常検出研究のための貴重なベンチマークが得られた。