[论文解读] Host-based anomaly detection using Eigentraces feature extraction and one-class classification on system call trace data

Ehsan Aghaei, Gürsel Serpen|arXiv (Cornell University)|Nov 25, 2019

Network Security and Intrusion Detection被引用 9

一句话总结

本文提出一种基于主机的异常检测系统，采用特征轨迹（Eigentraces）进行主成分分析（PCA）特征提取，从系统调用轨迹中提取特征，并使用一类分类法识别正常与异常行为。在ADFA-LD数据集上的评估显示，该方法检测准确率高且误报率低，表明其在使用径向基函数网络和随机森林进行概率建模时，能够有效区分正常与攻击行为。

ABSTRACT

This paper proposes a methodology for host-based anomaly detection using a semi-supervised algorithm namely one-class classifier combined with a PCA-based feature extraction technique called Eigentraces on system call trace data. The one-class classification is based on generating a set of artificial data using a reference distribution and combining the target class probability function with artificial class density function to estimate the target class density function through the Bayes formulation. The benchmark dataset, ADFA-LD, is employed for the simulation study. ADFA-LD dataset contains thousands of system call traces collected during various normal and attack processes for the Linux operating system environment. In order to pre-process and to extract features, windowing on the system call trace data followed by the principal component analysis which is named as Eigentraces is implemented. The target class probability function is modeled separately by Radial Basis Function neural network and Random Forest machine learners for performance comparison purposes. The simulation study showed that the proposed intrusion detection system offers high performance for detecting anomalies and normal activities with respect to a set of well-accepted metrics including detection rate, accuracy, and missed and false alarm rates.

研究动机与目标

• 开发一种基于系统调用轨迹的半监督异常检测框架，用于主机入侵检测。
• 通过基于主成分分析（PCA）的降维技术——特征轨迹（Eigentraces），改进系统调用序列的特征表示。
• 采用贝叶斯密度估计的一类分类方法，建模正常行为并检测偏差。
• 使用标准指标（如检测率、准确率、误报率和漏报率）评估性能。
• 比较不同概率估计器（RBF网络与随机森林）在所提框架中的有效性。

提出的方法

• 首先将系统调用轨迹数据按固定大小的窗口进行分割，然后对每个窗口执行主成分分析（PCA），以提取主要特征。
• 所得主成分构成系统调用行为的紧凑、低维表示，有效降低噪声与冗余。
• 一类分类通过贝叶斯公式实现，结合参考分布与人工数据，以估计目标类别密度函数。
• 目标类别概率函数采用两种机器学习模型进行建模：径向基函数（RBF）神经网络与随机森林。
• 基于参考分布生成人工数据，以增强在缺乏标注异常样本情况下的正常类别密度估计。
• 最终通过将新系统调用轨迹的估计密度与学习到的正常密度阈值进行比较，做出异常检测决策。

实验结果

研究问题

• RQ1 Eigentraces能否有效从系统调用轨迹中提取用于异常检测的判别性特征？
• RQ2 当仅有正常训练数据可用时，结合贝叶斯密度估计的一类分类在异常检测中的表现如何？
• RQ3 RBF网络与随机森林在建模正常行为密度函数方面的性能对比如何？
• RQ4 所提方法在真实系统调用轨迹数据上，能在多大程度上降低误报率与漏报率？
• RQ5 基于PCA的特征提取与一类分类的集成能否在半监督设置下实现高检测准确率？

主要发现

• 所提系统在ADFA-LD基准数据集上实现了高检测率，性能指标表明其具备强大的异常检测能力。
• 使用Eigentraces显著改善了特征表示，通过PCA捕捉了系统调用序列中的主导模式。
• 结合贝叶斯密度估计的一类分类有效建模了正常行为，实现了对偏差的可靠检测。
• 在报告的仿真研究中，RBF神经网络在检测率与误报率方面优于随机森林。
• 系统表现出低误报率与低漏报率，表明其在区分正常与异常行为方面具有鲁棒性与可靠性。
• Eigentraces与一类分类的集成实现了紧凑高效的模型，适用于实时主机入侵检测。