[论文解读] An Efficient Flow-based Multi-level Hybrid Intrusion Detection System for Software-Defined Networks

Majd Latah, Levent Toker|arXiv (Cornell University)|Jun 11, 2018

Network Security and Intrusion Detection被引用 10

一句话总结

本文提出了一种用于软件定义网络（SDNs）的五级混合入侵检测系统，利用流量统计信息以提高检测精度。该系统在多个层级上结合了k-最近邻（kNN）、极限学习机（ELM）和分层ELM（H-ELM），在NSL-KDD基准数据集上实现了84.29%的准确率，优于传统的监督学习方法。

ABSTRACT

Software-Defined Networking (SDN) is a novel networking paradigm that provides enhanced programming abilities, which can be used to solve traditional security challenges on the basis of more efficient approaches. The most important element in the SDN paradigm is the controller, which is responsible for managing the flows of each correspondence forwarding element (switch or router). Flow statistics provided by the controller are considered to be useful information that can be used to develop a network-based intrusion detection system. Therefore, in this paper, we propose a 5-level hybrid classification system based on flow statistics in order to attain an improvement in the overall accuracy of the system. For the first level, we employ the k-Nearest Neighbor approach (kNN); for the second level, we use the Extreme Learning Machine (ELM); and for the remaining levels, we utilize the Hierarchical Extreme Learning Machine (H-ELM) approach. In comparison with conventional supervised machine learning algorithms based on the NSL-KDD benchmark dataset, the experimental study showed that our system achieves the highest level of accuracy (84.29%). Therefore, our approach presents an efficient approach for intrusion detection in SDNs.

研究动机与目标

• 为应对软件定义网络（SDNs）因其动态和可编程架构而日益增长的高效且准确的入侵检测需求。
• 通过利用从SDN控制器收集的流量统计信息作为输入特征，提升检测精度。
• 设计一种多层级混合分类系统，结合多种机器学习技术以提升整体性能。
• 使用标准基准数据集，将所提出的系统与传统监督学习算法进行对比评估。
• 证明基于流量的多层级混合方法在SDN环境中检测网络入侵的可行性与优越性。

提出的方法

• 该系统采用五级分类架构，第一级使用k-最近邻（kNN）进行初步分类。
• 第二级应用极限学习机（ELM），一种用于单层前馈网络的快速学习算法。
• 剩余三个层级采用分层极限学习机（H-ELM），通过分层的、层级化的处理方式进一步优化分类结果。
• 从SDN控制器收集的流量统计信息作为输入特征，捕捉网络行为模式以实现异常检测。
• 混合模型以级联方式集成kNN、ELM和H-ELM，逐步提升检测精度。
• 系统使用NSL-KDD基准数据集进行训练与评估，该数据集是入侵检测研究中的标准基准。

实验结果

研究问题

• RQ1 与传统的单模型方法相比，多层级混合机器学习模型是否能提升SDN中的入侵检测准确率？
• RQ2 在基于流量的级联分类系统中，kNN、ELM和H-ELM的集成在检测网络入侵方面效果如何？
• RQ3 在混合学习框架中，使用从SDN控制器获取的流量统计信息在多大程度上提升了检测性能？
• RQ4 所提出的五级架构是否在NSL-KDD数据集上实现了高于现有监督学习方法的准确率？
• RQ5 分层学习（H-ELM）在SDN环境中减少误分类方面有何影响？

主要发现

• 所提出的五级混合系统在NSL-KDD基准数据集上的检测准确率达到84.29%，为所评估方法中的最高值。
• kNN、ELM和H-ELM在多层级级联结构中的集成，显著提升了分类性能，优于单模型方法。
• 从SDN控制器收集的流量统计信息提供了充分且有效的特征，可实现可靠的入侵检测。
• 在后期层级中使用H-ELM显著增强了系统识别复杂攻击模式的高精度能力。
• 在整体准确率和分类稳定性方面，该系统相比传统监督机器学习算法表现出更优性能。
• 结果证实，混合式多层级学习架构是实现SDN中高效且准确入侵检测的有前景方法。