[论文解读] Improving the Performance of Multi-class Intrusion Detection Systems using Feature Reduction

Yasmen Wahba, Ehab ElSalamouny+1 more|arXiv (Cornell University)|Jul 23, 2015

Network Security and Intrusion Detection参考文献 25被引用 43

一句话总结

本文提出一种混合特征选择方法，结合相关性特征选择（CFS）与信息增益，以减少多类入侵检测系统（IDS）中的无关和冗余特征。在NSL-KDD数据集上，采用自适应提升与朴素贝叶斯结合的方法，该方法在更少特征下实现了更高的检测准确率，通过贪心搜索策略和优化的特征子集选择，优于传统的五类IDS方法。

ABSTRACT

Intrusion detection systems (IDS) are widely studied by researchers nowadays due to the dramatic growth in network-based technologies. Policy violations and unauthorized access is in turn increasing which makes intrusion detection systems of great importance. Existing approaches to improve intrusion detection systems focus on feature selection or reduction since some features are irrelevant or redundant which when removed improve the accuracy as well as the learning time. In this paper we propose a hybrid feature selection method using Correlation-based Feature Selection and Information Gain. In our work we apply adaptive boosting using naïve Bayes as the weak (base) classifier. The key point in our research is that we are able to improve the detection accuracy with a reduced number of features while precisely determining the attack. Experimental results showed that our proposed method achieved high accuracy compared to methods using only 5-class problem. Correlation is done using Greedy search strategy and naïve Bayes as the classifier on the reduced NSL-KDD dataset.

研究动机与目标

• 解决多类入侵检测系统（IDS）中高维、冗余和无关特征的挑战。
• 通过选择最小且最优的特征子集，提升检测准确率并减少学习时间。
• 开发一种结合相关性和信息增益的混合特征选择方法，以改善特征相关性评估。
• 在NSL-KDD数据集上，采用自适应提升与朴素贝叶斯作为基分类器，评估所提方法的有效性。
• 证明特征降维可显著提升IDS性能，同时不牺牲攻击分类的精确度。

提出的方法

• 设计一种混合特征选择方法，结合相关性特征选择（CFS）与信息增益，以识别最相关的特征。
• CFS基于特征子集与类别之间的相关性进行评估，同时最小化特征间的冗余性。
• 信息增益衡量每个特征在预测入侵类别方面的相关性，有助于过滤掉噪声或无关属性。
• 采用贪心搜索策略，从CFS-IG联合评估结果中迭代选择最优特征子集。
• 在缩减后的特征集上应用自适应提升（AdaBoost），并以朴素贝叶斯作为弱分类器，以增强整体检测性能。
• 在NSL-KDD数据集上进行评估，该数据集是KDD Cup 1999的优化版本，以确保具备真实性和标准化基准。

实验结果

研究问题

• RQ1 结合CFS与信息增益的混合特征选择方法是否能提升多类入侵检测系统的准确率？
• RQ2 使用该混合方法进行特征降维，对学习时间与模型复杂度有何影响？
• RQ3 在缩减后的特征集上，将自适应提升与朴素贝叶斯结合，是否能提升检测性能，优于基线方法？
• RQ4 在多类IDS背景下，贪心搜索策略在特征子集选择中优化程度如何？
• RQ5 所提方法是否能通过更少的特征，精确识别并分类各类网络攻击，且保持高准确率？

主要发现

• 所提出的混合特征选择方法在检测准确率上优于仅使用五类问题设定的方法。
• 特征降维显著提升了学习效率，减少了输入特征数量，同时未损害分类性能。
• CFS与信息增益的结合在识别相关且非冗余特征方面，优于单一特征选择技术。
• 在缩减后的特征集上使用自适应提升与朴素贝叶斯，显著增强了系统对各类攻击的准确检测能力。
• 贪心搜索策略有效识别出紧凑且高性能的特征子集，有助于提升模型泛化能力。
• 在NSL-KDD数据集上的实验结果证实，所提方法在分类不同攻击类别时保持了高精确度。