[论文解读] Adversarial Machine Learning In Network Intrusion Detection Domain: A Systematic Review

Huda Ali Alatwi, C. Morisset|arXiv (Cornell University)|Dec 6, 2021

Adversarial Robustness in Machine Learning被引用 14

一句话总结

本篇系统性综述研究了网络入侵检测系统（NIDS）中的对抗性机器学习，分析了通过生成对抗性样本以规避基于深度学习的NIDS的攻击。研究按攻击类型、防御机制和鲁棒性评估对相关研究进行分类，识别出在实际应用和缓解策略方面面临的关键挑战与开放问题。

ABSTRACT

Due to their massive success in various domains, deep learning techniques are increasingly used to design network intrusion detection solutions that detect and mitigate unknown and known attacks with high accuracy detection rates and minimal feature engineering. However, it has been found that deep learning models are vulnerable to data instances that can mislead the model to make incorrect classification decisions so-called (adversarial examples). Such vulnerability allows attackers to target NIDSs by adding small crafty perturbations to the malicious traffic to evade detection and disrupt the system's critical functionalities. The problem of deep adversarial learning has been extensively studied in the computer vision domain; however, it is still an area of open research in network security applications. Therefore, this survey explores the researches that employ different aspects of adversarial machine learning in the area of network intrusion detection in order to provide directions for potential solutions. First, the surveyed studies are categorized based on their contribution to generating adversarial examples, evaluating the robustness of ML-based NIDs towards adversarial examples, and defending these models against such attacks. Second, we highlight the characteristics identified in the surveyed research. Furthermore, we discuss the applicability of the existing generic adversarial attacks for the NIDS domain, the feasibility of launching the proposed attacks in real-world scenarios, and the limitations of the existing mitigation solutions.

研究动机与目标

• 系统分析2017至2021年间关于网络入侵检测系统（NIDS）中对抗性机器学习的最新研究。
• 根据研究在生成对抗性样本、评估模型鲁棒性以及防御攻击方面的贡献，对相关研究进行分类。
• 评估现有对抗性攻击在真实NIDS场景中的可行性，以及当前防御机制的局限性。
• 识别开放的研究挑战，并为基于机器学习的NIDS对抗鲁棒性研究提供未来工作指引。

提出的方法

• 对2017至2021年期间在NIDS领域中关于对抗性机器学习的同行评审研究进行了系统性文献综述。
• 将研究划分为三类：对抗性样本生成、鲁棒性评估和防御机制。
• 分析了包括黑盒、白盒和灰盒欺骗攻击在内的攻击类型，采用的技术包括FGSM、C&W、PGD、GANs和PSO。
• 评估了如对抗性训练、特征移除和基于梯度的正则化等防御策略。
• 评估了通用对抗性攻击（如来自计算机视觉领域的攻击）在网路流量数据上的适用性。
• 综合分析了攻击成功率、模型脆弱性以及当前缓解技术的局限性。

实验结果

研究问题

• RQ1 在NIDS背景下，生成对抗性样本的主要技术有哪些？
• RQ2 现有防御机制在保护基于机器学习的NIDS免受对抗性攻击方面效果如何？
• RQ3 来自计算机视觉领域的通用对抗性攻击在多大程度上可被适配至网络流量数据？
• RQ4 在对抗性条件下部署鲁棒NIDS的关键局限性和开放挑战是什么？
• RQ5 基于现有实证研究结果，对抗性攻击在真实世界NIDS部署中的可行性如何？

主要发现

• FGSM、C&W和PGD等对抗性攻击能够成功绕过多种基于机器学习的NIDS模型，包括DNNs、SVMs和集成模型，且在NSL-KDD和CICIDS2017等数据集上表现有效。
• 基于GAN和PSO的方法在黑盒和白盒环境下均表现出较高的成功率，可有效生成逃避检测的对抗性样本。
• 对抗性训练是最广泛采用的防御方法，但通常难以在不同攻击类型和数据集之间实现泛化。
• 特征移除和归一化技术在降低攻击有效性方面表现中等，但可能降低正常流量检测的准确性。
• 许多攻击在真实场景中具有可行性，尤其是在黑盒环境中，攻击者可利用查询反馈来优化扰动。
• 尽管已有进展，但尚无防御机制具备普遍鲁棒性，且在泛化能力、可扩展性和真实世界部署方面仍存在显著差距。