[论文解读] Hybrid Model For Intrusion Detection Systems

Baha Rababah, Srija Srivastava|arXiv (Cornell University)|Mar 19, 2020

Network Security and Intrusion Detection参考文献 19被引用 11

一句话总结

本文提出了一种混合入侵检测模型，通过堆叠集成方法结合决策树与随机森林，在CICIDS2017数据集上实现98%的准确率和98%的精确率，在NSL-KDD数据集上实现85.2%的准确率和86.2%的精确率，表明该模型在真实网络流量数据集上的性能优于独立模型。

ABSTRACT

With the increasing number of new attacks on ever growing network traffic, it is becoming challenging to alert immediately any malicious activities to avoid loss of sensitive data and money. This is making intrusion detection as one of the major areas of concern in network security. Anomaly based network intrusion detection technique is one of the most commonly used technique. Depending upon the dataset used to test those techniques, the accuracy varies. Most of the times this dataset does not represent the real network traffic. Considering this, this project involves analysis of different machine learning algorithms used in intrusion detection systems, when tested upon two datasets which are similar to current real world network traffic(CICIDS2017) and an improvement of KDD 99 (NSL-KDD). After the analysis of different intrusion detection systems on both the datasets, this project aimed to develop a new hybrid model for intrusion detection systems. This new hybrid approach combines decision tree and random forest algorithms using stacking scheme to achieve an accuracy of 85.2% and precision of 86.2% for NSL-KDD dataset, and achieve an accuracy of 98% and precision of 98% for CICIDS2017 dataset.

研究动机与目标

• 解决现有入侵检测系统依赖过时或非代表性数据集（如KDD99）的局限性。
• 通过利用CICIDS2017和NSL-KDD等现代、真实的网络流量数据集，提升基于异常的入侵检测的检测准确率与精确率。
• 开发一种结合决策树与随机森林优势的混合机器学习模型，采用堆叠集成方法。
• 在两种接近真实世界网络流量条件的数据集上评估所提出模型的性能。
• 在基准数据集与现代数据集上，实现高于单一模型的检测准确率与精确率。

提出的方法

• 所提出的模型采用堆叠集成学习框架，其中基学习器（决策树与随机森林）在NSL-KDD和CICIDS2017数据集上进行训练。
• 基学习器的输出作为元学习器的输入特征，由元学习器整合其预测结果以提升整体分类性能。
• 使用标准机器学习评估指标（包括准确率、精确率、召回率与F1分数）对模型进行训练与验证。
• 所用数据集NSL-KDD与CICIDS2017经过预处理，包括处理类别特征、归一化数值特征以及平衡类别分布。
• 对基学习器与元学习器进行超参数调优，以优化性能。
• 最终模型在测试集上进行评估，以衡量其在未见网络流量模式下的泛化能力。

实验结果

研究问题

• RQ1 与独立模型相比，结合决策树与随机森林的混合集成模型是否能在类似真实世界网络流量的数据集上提升入侵检测准确率？
• RQ2 在NSL-KDD与CICIDS2017数据集上，基于堆叠的混合模型在准确率与精确率方面的性能表现如何？
• RQ3 相较于传统数据集，使用CICIDS2017等现代、真实数据集在多大程度上提升了入侵检测系统的检测性能？
• RQ4 堆叠集成方法是否能有效利用决策树与随机森林的互补优势，降低误报率并提升检测可靠性？
• RQ5 在多样化流量模式下，实现高精确率与高召回率的混合模型最优配置为何？

主要发现

• 该混合模型在CICIDS2017数据集上实现了98%的准确率与98%的精确率，表明其在现代、真实网络流量上的强大性能。
• 在NSL-KDD数据集上，模型实现了85.2%的准确率与86.2%的精确率，尽管该数据集存在已知局限性，仍表现出一致的性能。
• 堆叠集成方法显著提升了检测性能，优于独立的决策树或随机森林模型。
• 使用CICIDS2017这一更具代表性的现实世界数据集，使准确率显著高于NSL-KDD，凸显了数据集相关性的重要性。
• 该混合模型在处理多种入侵类型（包括DoS、U2R与R2L攻击）时表现出鲁棒性，各类别均保持高精确率。
• 结果证实，通过堆叠集成多个学习器可增强入侵检测系统的泛化能力与检测可靠性。