[论文解读] Fast Feature Reduction in intrusion detection datasets

Shafigh Parsazad, Ehsan Saboori+1 more|arXiv (Cornell University)|Apr 1, 2013

Network Security and Intrusion Detection被引用 27

一句话总结

本文提出了一种针对入侵检测数据集的快速、计算高效的特征降维方法，可在不显著损失准确率的情况下消除冗余特征。通过采用一种简单、低成本的过滤方法，该方法在计算效率上优于基于相似性的方法（如相关系数和最大信息压缩指数），同时在K近邻和朴素贝叶斯分类器上保持了具有竞争力的检测性能。

ABSTRACT

In the most intrusion detection systems (IDS), a system tries to learn characteristics of different type of attacks by analyzing packets that sent or received in network. These packets have a lot of features. But not all of them is required to be analyzed to detect that specific type of attack. Detection speed and computational cost is another vital matter here, because in these types of problems, datasets are very huge regularly. In this paper we tried to propose a very simple and fast feature selection method to eliminate features with no helpful information on them. Result faster learning in process of redundant feature omission. We compared our proposed method with three most successful similarity based feature selection algorithm including Correlation Coefficient, Least Square Regression Error and Maximal Information Compression Index. After that we used recommended features by each of these algorithms in two popular classifiers including: Bayes and KNN classifier to measure the quality of the recommendations. Experimental result shows that although the proposed method can't outperform evaluated algorithms with high differences in accuracy, but in computational cost it has huge superiority over them.

研究动机与目标

• 解决由于网络流量数据中特征集过大而导致的入侵检测系统计算成本高、学习速度慢的问题。
• 减少入侵检测数据集中冗余和非信息性特征，以加速模型训练和检测过程。
• 开发一种计算成本低于现有基于相似性的方法的特征选择方法，同时保持检测准确率。
• 从效率和分类性能两个方面，将所提出的方法与现有的特征选择算法进行对比评估。

提出的方法

• 提出一种新颖的快速特征选择算法，基于使用简单、低计算成本的标准过滤掉判别能力弱的特征。
• 采用基于启发式的方法识别并剔除对区分正常与恶意网络流量贡献较小的特征。
• 将所选特征应用于两种广泛使用的分类器——朴素贝叶斯和K近邻（KNN）——以评估性能。
• 将所选特征的有效性与三种成熟的基于相似性的方法（相关系数、最小二乘回归误差、最大信息压缩指数）的结果进行比较。
• 采用一种不依赖复杂统计建模或迭代优化的过滤机制，从而实现对大规模数据集的快速处理。
• 专注于最小化计算开销，同时保持可接受的分类准确率，使其适用于实时入侵检测系统。

实验结果

研究问题

• RQ1 轻量级、快速的特征选择方法是否能在不显著降低检测准确率的情况下降低入侵检测中的计算成本？
• RQ2 与现有的基于相似性的特征选择技术相比，所提出方法在计算效率方面表现如何？
• RQ3 使用所提出方法进行特征降维在标准入侵检测数据集上的分类性能保留程度如何？
• RQ4 所提出方法在实际中常见的大规模、高维入侵检测数据集上是否具备良好的可扩展性？
• RQ5 与现有方法相比，使用所提出的特征降维技术在计算速度与准确率之间的权衡如何？

主要发现

• 所提出的特征降维方法在计算成本上显著低于相关系数、最小二乘回归误差和最大信息压缩指数。
• 尽管在准确率上未超越基准方法，但所提出方法在朴素贝叶斯和K近邻分类器上仍保持了具有竞争力的分类性能。
• 由于去除了冗余特征，该方法显著加快了学习和模型训练速度，这对实时入侵检测系统至关重要。
• 所提出方法的计算优势极为显著，使其适用于高速网络环境中的部署。
• 结果表明，简单、快速的过滤技术在入侵检测的特征降维中具有实际效果，尤其在速度优先的场景下。
• 由于计算开销极低，该方法在大规模数据集上展现出强大的可扩展性潜力。