[论文解读] LuNet: A Deep Neural Network for Network Intrusion Detection

Peilun Wu, Hui Guo|arXiv (Cornell University)|Sep 22, 2019

Network Security and Intrusion Detection参考文献 28被引用 13

一句话总结

LuNet 是一种分层的 CNN+LSTM 深度神经网络，通过联合建模网络流量中的空间与时间特征，实现了更优的网络入侵检测效果。通过在不同粒度下同步训练卷积层与循环层，LuNet 在 UNSW-NB15 数据集上实现了 97.43% 的检测率和 2.89% 的误报率，其在准确率与误报率降低方面均优于当前最先进方法。

ABSTRACT

Network attack is a significant security issue for modern society. From small mobile devices to large cloud platforms, almost all computing products, used in our daily life, are networked and potentially under the threat of network intrusion. With the fast-growing network users, network intrusions become more and more frequent, volatile and advanced. Being able to capture intrusions in time for such a large scale network is critical and very challenging. To this end, the machine learning (or AI) based network intrusion detection (NID), due to its intelligent capability, has drawn increasing attention in recent years. Compared to the traditional signature-based approaches, the AI-based solutions are more capable of detecting variants of advanced network attacks. However, the high detection rate achieved by the existing designs is usually accompanied by a high rate of false alarms, which may significantly discount the overall effectiveness of the intrusion detection system. In this paper, we consider the existence of spatial and temporal features in the network traffic data and propose a hierarchical CNN+RNN neural network, LuNet. In LuNet, the convolutional neural network (CNN) and the recurrent neural network (RNN) learn input traffic data in sync with a gradually increasing granularity such that both spatial and temporal features of the data can be effectively extracted. Our experiments on two network traffic datasets show that compared to the state-of-the-art network intrusion detection techniques, LuNet not only offers a high level of detection capability but also has a much low rate of false positive-alarm.

研究动机与目标

• 解决现有基于人工智能的网络入侵检测系统中误报率过高的问题。
• 利用网络流量数据中的空间与时间特征，以提升检测准确率。
• 设计一种深度学习架构，通过 CNN 同步学习空间模式，通过 RNN 同步学习时间依赖性。
• 在检测率与误报率方面，优于当前最先进机器学习与深度学习模型。
• 研究因数据稀缺导致在检测低频攻击类型（如后门攻击与蠕虫攻击）时的局限性。

提出的方法

• 提出一种由堆叠的 CNN 与 LSTM 子网络组成的分层深度神经网络（LuNet）。
• 在每一层同步 CNN 与 LSTM 的学习过程，以防止信息丢失并确保联合特征提取。
• 在每个卷积层与循环层后应用批量归一化，以稳定并加速训练过程。
• 采用多级架构，使特征粒度从输入到输出逐步细化。
• 使用带交叉验证的监督学习在标注数据集（NSL-KDD 与 UNSW-NB15）上训练模型。
• 采用分层学习策略：早期层捕捉粗粒度特征，后期层通过细粒度模式进行优化。

实验结果

研究问题

• RQ1 同步的 CNN-LSTM 架构能否有效从网络流量中提取空间与时间特征以实现入侵检测？
• RQ2 与独立的 CNN 或 LSTM 模型相比，LuNet 的分层设计是否能提升检测性能并降低误报率？
• RQ3 在训练样本有限的情况下，LuNet 在低频攻击类别（如后门攻击、蠕虫攻击）上的表现如何？
• RQ4 LuNet 在检测率与误报率方面，相较于最先进机器学习与深度学习模型，优势有多大？
• RQ5 批量归一化与多级特征学习对模型收敛性与泛化能力有何影响？

主要发现

• LuNet 在 UNSW-NB15 数据集上实现了 97.43% 的检测率与 85.35% 的准确率，误报率仅为 2.89%。
• 与传统机器学习模型相比，深度学习模型（包括 LuNet）表现出更优性能，平均检测率为 94.57%，误报率为 4.72%。
• 在 UNSW-NB15 的多分类任务中，LuNet 优于独立的 CNN（92.28% 检测率，3.84% 误报率）、LSTM（92.76% 检测率，3.63% 误报率）以及 HAST-IDS（93.65% 检测率，9.60% 误报率）。
• 该模型在正常流量、利用攻击、拒绝服务攻击、Shellcode 攻击与侦察攻击上表现尤为出色，检测率高且误报率低。
• 后门攻击与蠕虫攻击常被误分类为利用攻击，可能由于特征相似性及训练样本不足（分别仅占 1.4% 与 1.1%）。
• UNSW-NB15 上的混淆矩阵表明，LuNet 在 U2R 与 R2L 攻击上表现最弱，表明这些攻击存在特征重叠或数据集中代表性不足。