[论文解读] Statistical Analysis Driven Optimized Deep Learning System for Intrusion Detection

Cosimo Ieracitano, Ahsan Adeel+6 more|arXiv (Cornell University)|Aug 16, 2018

Network Security and Intrusion Detection参考文献 16被引用 4

一句话总结

本文提出了一种基于统计分析优化的深度学习系统，用于入侵检测，采用 NSL-KDD 数据集。通过结合大数据可视化与统计特征选择及深度自编码器（AE），该方法通过优化相关特征提取和 AE 架构的贪婪预训练，实现了 87% 的准确率，优于当前最先进模型。

ABSTRACT

Attackers have developed ever more sophisticated and intelligent ways to hack information and communication technology systems. The extent of damage an individual hacker can carry out upon infiltrating a system is well understood. A potentially catastrophic scenario can be envisaged where a nation-state intercepting encrypted financial data gets hacked. Thus, intelligent cybersecurity systems have become inevitably important for improved protection against malicious threats. However, as malware attacks continue to dramatically increase in volume and complexity, it has become ever more challenging for traditional analytic tools to detect and mitigate threat. Furthermore, a huge amount of data produced by large networks has made the recognition task even more complicated and challenging. In this work, we propose an innovative statistical analysis driven optimized deep learning system for intrusion detection. The proposed intrusion detection system (IDS) extracts optimized and more correlated features using big data visualization and statistical analysis methods (human-in-the-loop), followed by a deep autoencoder for potential threat detection. Specifically, a pre-processing module eliminates the outliers and converts categorical variables into one-hot-encoded vectors. The feature extraction module discard features with null values and selects the most significant features as input to the deep autoencoder model (trained in a greedy-wise manner). The NSL-KDD dataset from the Canadian Institute for Cybersecurity is used as a benchmark to evaluate the feasibility and effectiveness of the proposed architecture. Simulation results demonstrate the potential of our proposed system and its outperformance as compared to existing state-of-the-art methods and recently published novel approaches. Ongoing work includes further optimization and real-time evaluation of our proposed IDS.

研究动机与目标

• 为应对现代网络中日益复杂和庞大的网络威胁。
• 克服传统机器学习在处理高维异构网络数据方面的局限性。
• 通过整合统计特征优化与深度学习，提升入侵检测的准确率。
• 开发一种鲁棒且可扩展的系统，能够以低误报率检测多种攻击类型（例如：DoS、R2L、Probe）。
• 在 NSL-KDD 基准数据集上超越现有的深度学习与混合模型。

提出的方法

• 预处理模块移除异常值，并将分类变量转换为独热编码向量。
• 特征提取模块丢弃空值超过 80% 的特征，并利用统计分析选择最相关的特征。
• 采用贪婪的逐层方式训练深度自编码器（AE），以学习优化后特征集的分层表示。
• 将深度 AE 与浅层多层感知机（MLP）分类器进行分类性能对比。
• 系统使用精确率、召回率、F-measure 和准确率等指标评估在 NSL-KDD 数据集上的检测性能。
• 模型优化包括测试具有 1、2 和 3 个隐藏层的 AE 架构，以确定最优深度。

实验结果

研究问题

• RQ1 基于统计分析的特征选择能否提升深度学习模型在入侵检测中的性能？
• RQ2 在统计优化特征上训练的深度自编码器与浅层 MLP 在分类网络入侵类型方面表现如何？
• RQ3 在 NSL-KDD 数据集上，用于入侵检测的深度自编码器的最优深度是多少？
• RQ4 所提出的系统能否在 NSL-KDD 基准测试中实现高于近期最先进模型的准确率？
• RQ5 将人工统计特征工程与自动深度学习相结合，能否增强模型泛化能力并降低误报率？

主要发现

• 所提出的深度自编码器分类器实现了 87% 的准确率，优于所有对比的最先进模型，包括浅层 MLP（准确率为 81.43%）。
• 深度 AE 在 R2L 攻击类别上实现了最高的 F-measure（98%），显著优于 MLP 的 11.74% F-measure。
• 单层 AE（50 个隐藏神经元，$AE_{[50]}$）实现了最佳准确率（87%），优于更深的架构（$AE_{[50,25]}$: 82%，$AE_{[50,25,12]}$: 81%），可能由于深层模型存在过度压缩。
• 深度 AE 在所有攻击类别中均表现出优越性能，F-measure 分别为：90.27%（正常），97.61%（DoS），80.14%（Probe），56.83%（R2L）。
• 该系统表明，将统计特征优化与深度学习结合可显著提升多分类入侵检测中模型的性能与鲁棒性。
• 结果证实，基于统计分析的特征选择可改善输入表示，使深度 AE 能够从网络流量数据中学习更具判别性的模式。