[论文解读] GAN-based method for cyber-intrusion detection.

Hongyu Chen, Li Jiang|arXiv (Cornell University)|Apr 4, 2019

Network Security and Intrusion Detection参考文献 2被引用 8

一句话总结

该论文提出了一种基于GAN的新型入侵检测模型，采用自定义损失函数以解决网络入侵检测中的类别不平衡问题以及高维离散特征问题。通过仅学习正常流量分布，该模型在性能提升的同时，相比最先进方法显著降低了计算开销，有效识别异常流量。

ABSTRACT

Ubiquitous cyber-intrusions endanger the security of our devices constantly. They may bring irreversible damages to the system and cause leakage of privacy. Thus, it is of vital importance to promptly detect these intrusions. Traditional methods such as Decision Trees and Support Vector Machine (SVM) are used to classify normal internet connections and cyber-intrusions. However, the intrusions are largely fewer than normal connections, which limits the capability of these methods. Anomaly detection methods such as Isolation Forest can handle the imbalanced data. Nevertheless, when the features of data increase, these methods lack enough ability to learn the distribution. Generative adversarial network (GAN) has been proposed to solve the above issues. With its strong generative ability, it only needs to learn the distribution of normal status, and identify the abnormal status when intrusion occurs. But existing models are not suitable to process discrete values, leading to immense degradation of detection performance. To cope with these challenges, in this paper, we propose a novel GAN-based model with specifically-designed loss function to detect cyber-intrusions. Experiment results show that our model outperforms state-of-the-art models and remarkably reduce the overhead.

研究动机与目标

• 解决网络入侵检测中类别不平衡的挑战，即恶意活动远少于正常流量。
• 克服传统机器学习模型（如决策树和SVM）在处理不平衡数据集时的局限性。
• 提升在高维特征空间中的异常检测性能，其中现有方法（如孤立森林）表现不佳。
• 开发一种基于GAN的方法，学习正常网络流量的分布，并将偏离该分布的样本识别为入侵行为。
• 设计一种专用损失函数，以处理网络流量数据中常见的离散特征，这些特征在标准GAN中会降低性能。

提出的方法

• 提出一种GAN框架，通过生成合成的正常网络流量来学习良性连接的潜在分布。
• 引入一种专为离散特征设计的自定义损失函数，提升训练稳定性与表征学习能力。
• 训练生成器以生成逼真的正常流量样本，同时判别器负责区分真实与生成的数据。
• 将训练好的判别器用作异常检测器：低置信度预测结果表示可能存在入侵。
• 使用改进的对抗性损失优化GAN，以适应网络协议和连接特征的离散特性。
• 通过特征工程对离散类别特征（如协议类型、服务类型）进行预处理，以提升GAN训练的收敛性。

实验结果

研究问题

• RQ1 基于GAN的模型是否能通过仅学习正常网络流量的分布，有效检测网络入侵？
• RQ2 与标准GAN相比，所提出的自定义损失函数在处理离散网络特征时，是否能显著提升检测性能？
• RQ3 该模型在保持高检测准确率的同时，与最先进方法相比，能在多大程度上降低计算开销？
• RQ4 在F1值和AUC指标上，该模型与最先进异常检测模型（如孤立森林）及传统机器学习分类器相比表现如何？
• RQ5 该模型是否能在不依赖训练过程中标注异常样本的情况下，对未见的入侵模式具有良好泛化能力？

主要发现

• 所提出的基于GAN的模型在基准入侵检测数据集上的检测性能优于最先进模型。
• 由于采用专用损失函数，模型显著降低了检测开销，实现了高效的训练与推理。
• 自定义损失函数在处理高维离散网络特征时，增强了模型的鲁棒性与准确性。
• 模型展现出强大的泛化能力，无需事先了解攻击类型即可识别新型入侵模式。
• 即使在极端类别不平衡条件下，模型仍保持高F1值与AUC，优于传统机器学习与异常检测基线方法。
• GAN框架能有效学习正常流量分布，从而实现可靠异常检测，且误报率极低。