[论文解读] Intrusion Detection In Mobile Ad Hoc Networks Using GA Based Feature Selection

Rajarathnam Nallusamy, K. Jayarajan+1 more|arXiv (Cornell University)|Dec 15, 2009

Network Security and Intrusion Detection参考文献 12被引用 5

一句话总结

本文提出一种基于遗传算法（GA）的特征选择方法，用于移动自组织网络（MANETs）中的入侵检测，利用贝叶斯网络优化特征相关性，提升检测准确率。该方法减少了冗余特征，在检测率更高、误报率更低方面优于基于马尔可夫毯的特征选择方法。

ABSTRACT

Mobile ad hoc networking (MANET) has become an exciting and important technology in recent years because of the rapid proliferation of wireless devices. MANETs are highly vulnerable to attacks due to the open medium, dynamically changing network topology and lack of centralized monitoring point. It is important to search new architecture and mechanisms to protect the wireless networks and mobile computing application. IDS analyze the network activities by means of audit data and use patterns of well-known attacks or normal profile to detect potential attacks. There are two methods to analyze: misuse detection and anomaly detection. Misuse detection is not effective against unknown attacks and therefore, anomaly detection method is used. In this approach, the audit data is collected from each mobile node after simulating the attack and compared with the normal behavior of the system. If there is any deviation from normal behavior then the event is considered as an attack. Some of the features of collected audit data may be redundant or contribute little to the detection process. So it is essential to select the important features to increase the detection rate. This paper focuses on implementing two feature selection methods namely, markov blanket discovery and genetic algorithm. In genetic algorithm, bayesian network is constructed over the collected features and fitness function is calculated. Based on the fitness value the features are selected. Markov blanket discovery also uses bayesian network and the features are selected depending on the minimum description length. During the evaluation phase, the performances of both approaches are compared based on detection rate and false alarm rate.

研究动机与目标

• 为解决由于移动自组织网络（MANETs）的开放介质和动态拓扑结构，导致其易受攻击的问题。
• 通过减少审计数据中冗余或无关的特征，提升入侵检测系统（IDS）的性能。
• 在贝叶斯网络框架内，比较两种特征选择技术——遗传算法（GA）与马尔可夫毯发现——的有效性。
• 在基于异常的移动自组织网络入侵检测中，优化检测率并最小化误报率。

提出的方法

• 在模拟各种攻击后，从移动节点收集审计数据，以建模正常与异常的网络行为。
• 在收集的特征上构建贝叶斯网络，以建模特征之间的概率依赖关系。
• 应用遗传算法（GA）通过最大化基于贝叶斯网络导出的适应度函数，搜索最优特征子集。
• 在马尔可夫毯发现中使用最小描述长度（MDL）原则，识别最相关的特征，同时保持预测准确性。
• 使用检测率和误报率作为性能指标，评估两种方法的性能。
• 比较基于遗传算法和基于马尔可夫毯的特征选择在异常检测中的检测性能与效率。

实验结果

研究问题

• RQ1 与传统方法相比，基于遗传算法的特征选择方法在移动自组织网络（MANETs）中如何提升入侵检测性能？
• RQ2 在降低误报率和提高检测率方面，基于遗传算法与基于马尔可夫毯的特征选择方法的相对有效性如何？
• RQ3 哪种特征子集选择方法能更好地保持审计数据在移动自组织网络异常检测中的预测能力？
• RQ4 冗余或无关特征在多大程度上会降低移动自组织网络中入侵检测系统的性能？

主要发现

• 基于遗传算法的特征选择方法相比马尔可夫毯发现方法，实现了更高的检测率。
• 基于遗传算法的方法导致更低的误报率，表明其在识别实际攻击方面具有更高的精度。
• 使用贝叶斯网络进行特征选择显著降低了审计数据的维度，同时未损害检测准确性。
• 尽管马尔可夫毯发现方法有效，但在优化入侵检测的适应度函数方面效率较低。
• 两种方法均减轻了冗余特征的影响，但基于遗传算法的方法在评估中表现出更优越的整体性能。