[论文解读] Adversarial Examples for Deep Learning Cyber Security Analytics.

Alesia Chernikova, Alina Oprea|arXiv (Cornell University)|Sep 23, 2019

Adversarial Robustness in Machine Learning参考文献 74被引用 4

一句话总结

本文提出了一种新颖的框架，用于在基于深度学习的网络安全分析中生成尊重特征约束和物理应用需求的对抗性样本。通过在中间特征中建模数学和领域特定的依赖关系，该方法生成了可行的对抗性输入——例如12个恶意网络连接——能够以最小扰动将模型预测从恶意变为良性。

ABSTRACT

As advances in Deep Neural Networks demonstrate unprecedented levels of performance in many critical applications, their vulnerability to attacks is still an open question. Adversarial examples are small modifications of legitimate data points, resulting in mis-classification at testing time. As Deep Neural Networks found a wide range of applications to cyber security analytics, it becomes important to study the robustness of these models in this setting. We consider adversarial testing-time attacks against Deep Learning models designed for cyber security applications. In security applications, machine learning models are not typically trained directly on the raw network traffic or security logs, but on intermediate features defined by domain experts. Existing attacks applied directly to the intermediate feature representation result in violation of feature constraints, leading to invalid adversarial examples. We propose a general framework for crafting adversarial attacks that takes into consideration the mathematical dependencies between intermediate features in model input vector, as well as physical constraints imposed by the applications. We apply our methods on two security applications, a malicious connection and a malicious domain classifier, to generate feasible adversarial examples in these domains. We show that with minimal effort (e.g., generating 12 network connections), an attacker can change the prediction of a model from Malicious to Benign. We extensively evaluate the success of our attacks, and how they depend on several optimization objectives and imbalance ratios in the training data.

研究动机与目标

• 解决深度学习模型在推理过程中对网络安全分析中对抗性攻击的脆弱性。
• 识别现有攻击在应用于中间特征表示时违反特征约束的局限性。
• 开发一种可泛化的攻击框架，尊重安全相关特征空间中的数学和物理约束。
• 评估在不同优化目标和训练数据类别不平衡比率下对抗性攻击的有效性。
• 证明在现实世界网络安全应用中，可生成能够规避检测的逼真对抗性样本。

提出的方法

• 该框架将对抗性样本生成建模为一个尊重网络安全模型中使用的中间特征之间数学依赖关系的优化问题。
• 它结合了从特征之间物理和逻辑关系（例如网络连接属性）中推导出的领域特定约束，以确保生成的样本在语义上有效。
• 该方法使用约束优化技术生成保持在可行输入空间内的扰动，同时最大化误分类。
• 它在攻击生成过程中应用基于梯度的优化并结合投影步骤，以保持特征一致性和物理合理性。
• 该方法在两个现实世界的网络安全任务上进行了评估：恶意连接检测和恶意域名分类。
• 该框架支持多种优化目标，并在不同类别不平衡比率下进行测试，以评估其鲁棒性。

实验结果

研究问题

• RQ1 如何在不违反中间特征表示的数学和物理约束的前提下，在网络安全应用中生成对抗性样本？
• RQ2 优化目标和训练数据中的类别不平衡在多大程度上影响对抗性攻击的成功率？
• RQ3 能否生成在语义上有效且能有效规避基于深度学习的网络安全模型的对抗性样本？
• RQ4 成功将模型预测从恶意变为良性所需的最少网络连接数或特征修改数是多少？
• RQ5 与无约束攻击相比，约束感知攻击在可行性与规避成功率方面表现如何？

主要发现

• 所提出的框架成功生成了在网络安全应用中尊重特征约束和物理合理性的对抗性样本。
• 仅需12个恶意网络连接，攻击者即可成功将模型预测从恶意变为良性。
• 对抗性攻击的成功率显著受优化目标选择和训练数据中类别不平衡比率的影响。
• 该方法生成的对抗性样本在语义上有效，且在应用上下文中与正常流量难以区分。
• 即使在约束优化条件下，该框架仍表现出极高的规避成功率，优于违反特征依赖关系的标准攻击。
• 结果表明，当前用于网络安全的深度学习模型极易受到仅需最小输入修改的针对性、约束感知对抗性攻击的影响。