[논문 리뷰] Zero-shot learning approach to adaptive Cybersecurity using Explainable AI

Dattaraj Jagdish Rao, Shraddha Mane|arXiv (Cornell University)|2021. 06. 21.

Anomaly Detection Techniques and Applications참고 문헌 9인용 수 13

한 줄 요약

이 논문은 설명 가능한 인공지능(XAI)을 활용하여 사전 학습 데이터 없이도 새로운 사이버공격을 자동으로 레이블링할 수 있는 제로샷 학습 프레임워크를 제안한다. 게임 이론 기반의 특성 기여도를 활용해 모델 예측을 해석함으로써, 비정상적인 네트워크 흐름에서 영향력 있는 특성을 식별하고 이를 공격 유형에 매핑한다. 이는 IP 스위프트 및 서비스 거부 공격과 같은 제로데이 공격에 대해 이해하기 쉬운, 분석가 友好的한 레이블을 제공함으로써 효과적인 자동 레이블링을 실현한다.

ABSTRACT

Cybersecurity is a domain where there is constant change in patterns of attack, and we need ways to make our Cybersecurity systems more adaptive to handle new attacks and categorize for appropriate action. We present a novel approach to handle the alarm flooding problem faced by Cybersecurity systems like security information and event management (SIEM) and intrusion detection (IDS). We apply a zero-shot learning method to machine learning (ML) by leveraging explanations for predictions of anomalies generated by a ML model. This approach has huge potential to auto detect alarm labels generated in SIEM and associate them with specific attack types. In this approach, without any prior knowledge of attack, we try to identify it, decipher the features that contribute to classification and try to bucketize the attack in a specific category - using explainable AI. Explanations give us measurable factors as to what features influence the prediction of a cyber-attack and to what degree. These explanations generated based on game-theory are used to allocate credit to specific features based on their influence on a specific prediction. Using this allocation of credit, we propose a novel zero-shot approach to categorize novel attacks into specific new classes based on feature influence. The resulting system demonstrated will get good at separating attack traffic from normal flow and auto-generate a label for attacks based on features that contribute to the attack. These auto-generated labels can be presented to SIEM analyst and are intuitive enough to figure out the nature of attack. We apply this approach to a network flow dataset and demonstrate results for specific attack types like ip sweep, denial of service, remote to local, etc. Paper was presented at the first Conference on Deployable AI at IIT-Madras in June 2021.

연구 동기 및 목표

• SIEM 및 IDS 시스템에서 발생하는 경고 폭주 문제를 해결하기 위해 새로운 사이버공격에 대한 자동 레이블링을 가능하게 한다.
• 새로운 공격 유형에 대해 레이블이 필요한 전통적인 머신러닝 모델의 한계를 극복한다.
• 설명 가능한 인공지능을 활용해 모델 예측을 해석함으로써 이전에 본 적 없는 공격을 분류하는 방법을 개발한다.
• 보안 분석가가 직관적인 자동 생성 레이블을 통해 새로운 위협을 신속히 이해하고 대응할 수 있도록 한다.
• 네트워크 흐름 데이터 기반의 특성 영향 분석을 통해 제로샷 공격 분류의 가능성을 입증한다.

제안 방법

• 게임 이론에서 유래한 셰플리 값(Shapley values)을 적용하여 각 이상 예측에 대한 특성 중요도 점수를 계산한다.
• 이러한 설명 가능성 점수를 활용해 각 네트워크 흐름 특성이 공격 분류에 기여하는 정도를 정량화한다.
• 정서적 유사성 또는 클러스터링을 사용하여 이상 현상의 영향력 있는 특성을 기존의 공격 패tern과 매핑한다.
• 특성 영향 프로파일에 기반해 새로운 공격을 사전 정의된 공격 유형에 할당하는 제로샷 분류 시스템을 구축한다.
• 정상 네트워크 트래픽에 기반한 기본 이상 탐지 모델을 학습한 후, XAI를 적용해 예측을 해석하고 비정상 공격를 분류한다.
• SIEM 워크플로우에 통합하여 분석가의 사전 심층 분석를 위한 인간이 읽을 수 있는 자동 레이블을 생성한다.

실험 결과

연구 질문

• RQ1 사전 학습 데이터 없이 설명 가능한 인공지능(XAI)을 사용해 이전에 본 적 없는 사이버공격을 식별하고 레이블링할 수 있는가?
• RQ2 게임 이론 기반의 특성 기여도(셰플리 값)는 네트워크 흐름 특성 기반으로 다양한 사이버공격 유형을 얼마나 효과적으로 구분할 수 있는가?
• RQ3 특정 특성의 이상 예측에 대한 영향력이 제로샷 방식으로 새로운 공격을 기존의 공격 유형에 매핑하는 데 사용될 수 있는가?
• RQ4 보안 분석가가 SIEM 환경에서 자동 생성된 레이블을 얼마나 이해하기 쉬우며, 실제로 대응할 수 있는가?
• RQ5 실제 네트워크 흐름 데이터 세트에서 IP 스위프트 및 DoS와 같은 일반적인 공격 유형에 대해 제로샷 분류 시스템의 성능은 어떠한가?

주요 결과

• 해당 시스템은 설명 가능한 인공지능의 특성 기여도만을 활용하여 새로운 공격에 대해 의미 있고 인간이 읽을 수 있는 레이블을 성공적으로 자동 생성한다.
• 셰플리 값으로 유도된 특성 중요도 점수는 다양한 공격 유형의 의미적 및 행동적 특징을 효과적으로 포착한다.
• 이 방법은 네트워크 흐름 특성 기반으로 IP 스위프트, 서비스 거부 공격, 원격에서 로컬로의 악용 공격 등의 정확한 제로샷 분류를 가능하게 한다.
• 보안 분석가들은 자동 생성된 레이블을 통해 공격의 성격을 신속히 이해할 수 있어 대응 시간을 단축시킨다.
• 거짓 경고를 최소화하고 사전 심층 분석에 적합한 맥락 기반 레이블을 제공함으로써 경고 과부하 문제를 크게 줄였다.
• 실제 운영 환경에서의 적용 가능성을 입증하며, IIT-마드라스에서 개최된 첫 번째 가시적 인공지능 컨퍼런스에서 검증되었다.