[论文解读] Rallying Adversarial Techniques against Deep Learning for Network Security

Joseph Clements, Yuzhe Yang+3 more|arXiv (Cornell University)|Mar 27, 2019

Network Security and Intrusion Detection被引用 16

一句话总结

本文表明，基于深度学习的网络入侵检测系统（DL-NIDS），如Kitsune，极易受到对抗性攻击的影响，仅需每数据包1.38个特征的微小扰动即可逃避检测。通过使用目标优化框架生成对抗性样本，作者证明这些模型可在保持极低可察觉性的同时被可靠欺骗，暴露出人工智能驱动的网络安防系统中存在关键的安全漏洞。

ABSTRACT

Recent advances in artificial intelligence and the increasing need for powerful defensive measures in the domain of network security, have led to the adoption of deep learning approaches for use in network intrusion detection systems. These methods have achieved superior performance against conventional network attacks, which enable the deployment of practical security systems to unique and dynamic sectors. Adversarial machine learning, unfortunately, has recently shown that deep learning models are inherently vulnerable to adversarial modifications on their input data. Because of this susceptibility, the deep learning models deployed to power a network defense could in fact be the weakest entry point for compromising a network system. In this paper, we show that by modifying on average as little as 1.38 of the input features, an adversary can generate malicious inputs which effectively fool a deep learning based NIDS. Therefore, when designing such systems, it is crucial to consider the performance from not only the conventional network security perspective but also the adversarial machine learning domain.

研究动机与目标

• 调查基于深度学习的网络入侵检测系统（DL-NIDS）对对抗性机器学习攻击的脆弱性。
• 评估Kitsune这一最先进的DL-NIDS在真实网络流量场景下对对抗性样本的鲁棒性。
• 量化使DL-NIDS失效所需的最小扰动，同时保持隐蔽性和有效性。
• 强调必须不仅从传统网络安全性角度，还从对对抗性操纵的抗性角度评估DL-NIDS。

提出的方法

• 作者采用基于多目标优化函数的靶向对抗攻击框架，以平衡误分类、扰动大小和输入一致性。
• 攻击公式包含L1、L2、L∞和L0范数以衡量扰动幅度，正则化参数c用于控制攻击成功率与扰动成本之间的权衡。
• 使用基于梯度的方法进行优化，损失函数结合了对抗性误分类和Lp范数正则化。
• 攻击直接作用于Kitsune模型的输入特征，模拟在正常网络流量波动范围内的对抗性数据包修改。
• 利用模型的特征提取器和数据包解析器，确保扰动在语义上合理，不破坏网络层的解析。
• 通过实验评估确定最优参数设置（c=450，β=1×10⁻⁵），实现100%的攻击成功率，L1距离最低（5.9518），且特征修改极少。

实验结果

研究问题

• RQ1 能否生成对抗性样本，以极小的输入扰动成功欺骗基于深度学习的网络入侵检测系统？
• RQ2 在DL-NIDS（如Kitsune）上实现100%逃逸率所需的最少特征修改数量是多少？
• RQ3 不同的Lp范数约束（L1、L2、L∞、L0）如何影响对抗性攻击在DL-NIDS上的隐蔽性和有效性？
• RQ4 正则化参数c在攻击成功率与扰动幅度之间的权衡中起到多大作用？
• RQ5 β的选择如何影响攻击优化中对抗性扰动的稀疏性和幅度？

主要发现

• 研究表明，对抗性样本可仅通过平均每数据包1.38个特征修改，成功欺骗Kitsune DL-NIDS。
• 当正则化参数c=450时，攻击成功率达100%，L1距离仅为5.9518，表明具有高度隐蔽性。
• 即使c增加到数千，L1距离也基本保持不变，表明超过某一阈值后收益递减。
• 当β从1×10⁻⁵增加到1×10⁰时，L0距离从96.61降至1.01，表明稀疏性显著提高，特征修改大幅减少。
• 当β达到2×10¹时，成功率降至0.84%；当β=5×10¹时，进一步降至0.08%，表明更高的β值严重降低攻击有效性。
• 结果证实，对抗性机器学习对DL-NIDS构成真实且关键的威胁，即使模型在良性流量上表现极高准确率亦无法避免。