[논문 리뷰] Towards an Effective Zero-Day Attack Detection Using Outlier-Based Deep Learning Techniques.

Hanan Hindy, Robert Atkinson외 4명|arXiv (Cornell University)|2020. 06. 27.

Anomaly Detection Techniques and Applications인용 수 10

한 줄 요약

이 논문은 이상치 학습을 활용하여 제로데이 공격 탐지 성능을 햖थ기 위해 딥 오토에인코드어 기반의 침입 탐지 시스템(IDS)을 제안한다. 정상 네트워크 트래픽을 재구성하고 높은 재구성 오차를 가진 항목을 이상치로 표시함으로써, 모델은 NSL-KDD에서 89–99%의 정확도와 CICIDS2017에서 75–98%의 정확도를 달성하며, 복잡한 제로데이 시나리오에서 기존의 One-Class SVM를 능가한다. 이는 거짓 음성률을 최소화하면서도 성능을 향상시킨다.

ABSTRACT

Machine Learning (ML) and Deep Learning (DL) have been broadly used for building Intrusion Detection Systems (IDS). The continuing increase in new unknown cyberattacks requires corresponding improvements to the performance of IDS solutions at identifying new zero-day attacks. Therefore, the need for robust IDS capable of flagging zero-day attacks is emerging. Current outlier-based zero-day detection research suffers from high false-negative rates, thus limiting their use and performance. In this paper, an autoencoder implementation to detect zero-day attacks is proposed. The aim is to build an IDS model with high detection rate while keeping false-negative rate at a minimal. Two mainstream IDS datasets are used for evaluation; CICIDS2017 and NSL-KDD. To demonstrate the efficiency of our model, we compare its results against a state of the art One-Class Support Vector Machine (SVM). The manuscript highlights the efficiency of One-Class SVM when zero-day attacks are distinctive from normal behaviour. However, the proposed model benefits greatly from the encoding-decoding capabilities of autoencoders. The results show that autoencoders are well-suited at detecting zero-day attacks, thus, mitigating their effect. The results reached a zero-day detection accuracy of [89% - 99%] for the NSL-KDD dataset and [75% - 98%] for the CICIDS2017 dataset. The results demonstrate that the autoencoder performs better when faced with complex zero-day attacks. Finally, the trade-off between false-positive rate and detection accuracy is also highlighted. The source code for building and evaluating the proposed models will be made available through an open-source GitHub repository.

연구 동기 및 목표

• 기존의 이상치 기반 제로데이 탐지 방법에서 높은 거짓 음성률 문제를 해결한다.
• 기존에 알려지지 않은 사이버 공격에 대해 침입 탐지 시스템(IDS)의 탐지 성능을 향상시킨다.
• 정상 트래픽 패턴을 학습함으로써 제로데이 공격을 효과적으로 식별할 수 있는 딥 러닝 모델을 개발한다.
• 복잡한 제로데이 위협을 탐지하는 데서 오토에인코드어가 기존의 One-Class SVM보다 뛰어난 성능을 보임을 입증한다.
• 실제 도입 가능성을 고려하여 제로데이 공격 탐지에서 정확도와 거짓 양성률 간의 균형을 유지한다.

제안 방법

• 정상 네트워크 트래픽의 저차원 표현을 학습하기 위해 딥 오토에인코드어 아키텍처를 활용한다.
• 정상(유해하지 않은) 트래픽 전용으로 오토에인코드어를 훈련시어 정상 데이터에 대한 재구성 오차를 최소화한다.
• 높은 재구성 오차를 가진 네트워크 인스턴스를 잠재적 제로데이 공격로 간주하고 이상치로 표시한다.
• 훈련에 정상 트래픽만 사용하여 두 가지 표준 IDS 데이터셋인 CICIDS2017과 NSL-KDD에서 모델을 평가한다.
• 동일한 평가 조건에서 최신 기술의 One-Class SVM 기준선과 성능을 비교한다.
• 실제 환경 적용을 고려하여 하이퍼파라미터를 최적화하여 정확도와 거짓 양성률 간의 균형을 확보한다.

실험 결과

연구 질문

• RQ1 오토에인코드어 기반 모델은 표준 IDS 데이터셋에서 One-Class SVM보다 더 높은 제로데이 탐지 정확도를 달성할 수 있는가?
• RQ2 기존에 본 적 없는 복잡한 제로데이 공격 패턴에 대해 오토에인코드어 모델은 기존의 이상치 탐지 기법보다 어떻게 성능을 내는가?
• RQ3 제안된 오토에인코드어 기반 IDS에서 거짓 양성률과 탐지 정확도 간의 상충 관계는 어떻게 되는가?
• RQ4 오토에인코드어의 인코딩-디코딩 능력이 네트워크 트래픽의 이상 탐지에 얼마나 기여하는가?
• RQ5 다양하고 진화하는 제로데이 공격 변종에 직면했을 때 오토에인코드어 모델은 얼마나 견고한가?

주요 결과

• 오토에인코드어 기반 IDS는 NSL-KDD 데이터셋에서 제로데이 탐지 정확도가 89–99%에 이르며, 복잡한 시나리오에서 기준선 방법보다 뚜렷이 뛰어난 성능을 보였다.
• CICIDS2017 데이터셋에서는 모델이 탐지 정확도 범위 75–98%를 달성하여 다양한 공격 유형에서 뛰어난 성능을 보였다.
• 오토에인코드어 모델은 특히 미세하고 복잡한 제로데이 공격을 탐지하는 데서 One-Class SVM보다 뛰어난 성능을 보였다.
• 모델은 낮은 거짓 음성률을 유지하여 기존에 알려지지 않은 위협을 식별하는 데 있어 향상된 신뢰성을 보였다.
• 재구성 오차 지표는 이상치를 효과적으로 포착하여 오토에인코드어가 이상치 기반 제로데이 탐지에 적합함을 확인했다.
• 거짓 양성률과 탐지 정확도 간의 상충 관계는 관리 가능했으며, 모델은 과도한 거짓 경고 없이도 높은 탐지율을 확보했다.