[论文解读] Deep-Net: Deep Neural Network for Cyber Security Use Cases

R. Vinayakumar, Barathi Ganesh Hb+3 more|arXiv (Cornell University)|Dec 9, 2018

Advanced Malware Detection Techniques参考文献 20被引用 14

一句话总结

本文提出 Deep-Net，一种专为三种网络安全部署场景（Android 恶意软件分类、事件检测和欺诈检测）量身定制的深度神经网络架构。通过端到端特征学习并结合大规模实验优化超参数，Deep-Net 在各项任务中均表现出色——恶意软件检测准确率达 94.0%，事件检测准确率达 100%，欺诈检测准确率达 97.2%，全面优于 XGBoost 等传统模型。

ABSTRACT

Deep neural networks (DNNs) have witnessed as a powerful approach in this year by solving long-standing Artificial intelligence (AI) supervised and unsupervised tasks exists in natural language processing, speech processing, computer vision and others. In this paper, we attempt to apply DNNs on three different cyber security use cases: Android malware classification, incident detection and fraud detection. The data set of each use case contains real known benign and malicious activities samples. The efficient network architecture for DNN is chosen by conducting various trails of experiments for network parameters and network structures. The experiments of such chosen efficient configurations of DNNs are run up to 1000 epochs with learning rate set in the range [0.01-0.5]. Experiments of DNN performed well in comparison to the classical machine learning algorithms in all cases of experiments of cyber security use cases. This is due to the fact that DNNs implicitly extract and build better features, identifies the characteristics of the data that lead to better accuracy. The best accuracy obtained by DNN and XGBoost on Android malware classification 0.940 and 0.741, incident detection 1.00 and 0.997 fraud detection 0.972 and 0.916 respectively.

研究动机与目标

• 开发一种专为真实世界网络安全用例量身定制的深度神经网络（DNN）架构。
• 评估 DNN 从原始系统和网络数据中学习复杂、分层特征的能力，相较于传统机器学习模型的优越性。
• 通过系统性实验，识别最优网络结构与超参数设置（如：学习率、深度），以提升检测准确率。
• 在三项独立的网络安全任务（恶意软件、事件和欺诈检测）上，将 DNN 性能与 XGBoost 等经典算法进行基准对比。

提出的方法

• 设计包含多个全连接层和激活层（如 ReLU）的深度神经网络，以建模网络安全数据中的非线性模式。
• 在 1000 个训练周期内，对学习率范围为 [0.01–0.5] 的超参数进行广泛调优，以优化模型收敛与性能。
• 使用包含已知良性与恶意样本的真实世界数据集，覆盖三种用例：Android 恶意软件、系统入侵和金融欺诈。
• 采用标准深度学习训练流程，包括反向传播和随机梯度下降，以最小化分类损失。
• 使用标准指标（如准确率）评估模型性能，并与 XGBoost 及其他经典机器学习基线模型进行对比。
• 基于多次试验中的实证验证及在验证集上的表现，选择最终的模型架构。

实验结果

研究问题

• RQ1 与传统模型相比，深度神经网络能否有效从原始网络安全数据中学习分层表示，从而提升检测准确率？
• RQ2 何种最优网络架构与超参数设置（如学习率、深度）可使性能在多样化的网络安全任务中达到最大化？
• RQ3 DNN 在检测 Android 恶意软件、系统入侵和金融欺诈方面，与 XGBoost 的性能相比如何？
• RQ4 DNN 在多大程度上能隐式提取具有判别性的特征，从而在分类性能上超越人工特征工程？
• RQ5 单一 DNN 框架是否可通过极少的架构修改，有效适配多种网络安全用例？

主要发现

• Deep-Net 在 Android 恶意软件分类中达到 94.0% 的准确率，显著优于 XGBoost 的 74.1%。
• 在事件检测任务中，Deep-Net 准确率达 100%，高于 XGBoost 的 99.7%。
• 在欺诈检测任务中，Deep-Net 准确率达 97.2%，超过 XGBoost 的 91.6%。
• DNN 性能优越的原因在于其能够自动从原始数据中学习并提取复杂、高层级的特征。
• 在 1000 个训练周期内，对学习率在 0.01 至 0.5 范围内的超参数进行广泛调优，实现了最优收敛与高准确率。
• 结果表明，当数据复杂度高且特征间依赖性强时，DNN 在网络安全应用中尤为有效。