[论文解读] Convolutional Neural Network for Intrusion Detection System In Cyber Physical Systems

Gael Kamdem De Teyou, Junior Ziazet|arXiv (Cornell University)|May 8, 2019

Network Security and Intrusion Detection参考文献 6被引用 14

一句话总结

本文提出一种基于卷积神经网络（CNN）的入侵检测系统（IDS），用于网络物理系统（CPS），以实现实时检测高级持续性威胁（APTs）。该模型在NSL-KDD数据集上进行训练，相比最先进方法展现出更优的检测性能，证明了深度学习在关键基础设施环境中识别复杂网络入侵的有效性。

ABSTRACT

The extensive use of Information and Communication Technology in critical infrastructures such as Industrial Control Systems make them vulnerable to cyber-attacks. One particular class of cyber-attacks is advanced persistent threats where highly skilled attackers can steal user authentication information's and move in the network from host to host until a valuable target is reached. The detection of the attacker should occur as soon as possible in order to take appropriate response, otherwise the attacker will have enough time to reach sensitive assets. When facing intelligent threats, intelligent solutions have to be designed. Therefore, in this paper, we take advantage of recent progress in deep learning to build a convolutional neural networks that can detect intrusions in cyber physical system. The Intrusion Detection System is applied on the NSL-KDD dataset and the performances of the proposed approach are presented and compared with the state of art. Results show the effectiveness of the techniques.

研究动机与目标

• 应对关键基础设施中网络物理系统（CPS）日益增长的高级持续性威胁（APTs）脆弱性。
• 开发一种智能、实时的入侵检测机制，能够识别工业控制系统中的隐蔽、多阶段攻击。
• 利用深度学习的进展，相比传统基于签名或机器学习的IDS，提升检测准确率并降低误报率。
• 在标准基准数据集上评估所提出的CNN模型，以验证其性能相较于现有方法的优势。

提出的方法

• 设计一种专为CPS网络流量分类而定制的一维卷积神经网络（CNN）架构。
• 对NSL-KDD数据集进行预处理，以提取相关特征并归一化输入数据，以实现CNN训练的最优化。
• 使用多个卷积层并配合ReLU激活函数，自动学习网络流量中的空间与时间模式。
• 应用池化层以降低维度并增强特征泛化能力。
• 在全连接层后使用Softmax进行最终分类，划分为正常或各类攻击类别。
• 使用随机梯度下降和交叉熵损失函数训练模型，以优化检测性能。

实验结果

研究问题

• RQ1 基于CNN的模型能否在高准确率和低误报率下有效检测网络物理系统中的高级持续性威胁？
• RQ2 所提出的CNN模型在NSL-KDD数据集上与现有最先进入侵检测系统相比性能如何？
• RQ3 深度学习技术在多大程度上可提升对工业控制系统中隐蔽、多阶段攻击的检测能力？
• RQ4 与传统机器学习模型相比，使用一维卷积层是否能增强从网络流量日志中提取特征的能力？

主要发现

• 所提出的基于CNN的IDS在NSL-KDD数据集上的检测准确率高于多种最先进方法。
• 由于能够从原始网络流量中学习分层特征，该模型在识别复杂攻击模式（包括APTs）方面表现出更优性能。
• 卷积层的使用有效提取了局部流量模式，提升了检测灵敏度。
• 与传统IDS方法相比，该系统显著降低了误报率，提高了运行可靠性。
• 结果证实，如CNN等深度学习模型非常适合用于关键CPS环境中实时入侵检测。
• 尽管模型性能表现优异，但该论文因不当文本重复被arXiv撤回，引发了对学术诚信的担忧。