[论文解读] Nearly Optimal Change-Point Detection with an Application to Cybersecurity

Aleksey S. Polunchenko, Alexander G. Tartakovsky+1 more|arXiv (Cornell University)|Feb 13, 2012

Advanced Statistical Process Monitoring参考文献 16被引用 14

一句话总结

本文提出了一种针对方差与均值成比例（σ² = aμ）的高斯过程的近似最优顺序变化点检测方法，比较了CUSUM、Shiryaev–Roberts（SR）及其两种变体。基于真实网络流量数据，结果表明SR程序在检测低对比度网络异常（如ICMP反射器攻击）时比CUSUM更快，证明SR在实时网络安全监测中作为‘看门狗’具有更优性能，因其具备多周期最优性。

ABSTRACT

We address the sequential change-point detection problem for the Gaussian model where baseline distribution is Gaussian with variance σ^2 and mean μsuch that σ^2=aμ, where a>0 is a known constant; the change is in μfrom one known value to another. First, we carry out a comparative performance analysis of four detection procedures: the CUSUM procedure, the Shiryaev-Roberts (SR) procedure, and two its modifications - the Shiryaev-Roberts-Pollak and Shiryaev-Roberts-r procedures. The performance is benchmarked via Pollak's maximal average delay to detection and Shiryaev's stationary average delay to detection, each subject to a fixed average run length to false alarm. The analysis shows that in practically interesting cases the accuracy of asymptotic approximations is "reasonable" to "excellent". We also consider an application of change-point detection to cybersecurity - for rapid anomaly detection in computer networks. Using real network data we show that statistically traffic's intensity can be well-described by the proposed Gaussian model with σ^2=aμinstead of the traditional Poisson model, which requires σ^2=μ. By successively devising the SR and CUSUM procedures to "catch" a low-contrast network anomaly (caused by an ICMP reflector attack), we then show that the SR rule is quicker. We conclude that the SR procedure is a better cyber "watch dog" than the popular CUSUM procedure.

研究动机与目标

• 评估并比较四种顺序检测程序——CUSUM、SR、SRP和SR–r——在均值μ变化、方差σ² = aμ（a为已知常数）的高斯模型下的性能。
• 评估在实际场景中，关键运行特征（平均运行长度ARL至误报，检测延迟）的渐近近似值的准确性。
• 将变化点检测方法应用于真实世界网络安全数据，特别针对网络流量中低对比度异常的检测。
• 证明σ² = aμ的高斯模型比传统的泊松模型更能准确描述真实网络流量。

提出的方法

• 采用高斯模型，其中均值μ从一个已知值变化到另一个已知值，且方差满足σ² = aμ，a为已知常数。
• 以Pollak的最大平均延迟和Shiryaev的平稳平均延迟作为性能基准，约束条件为固定的平均运行长度（ARL）至误报。
• 通过求解弗雷德霍姆型积分方程的数值方法，计算精确的运行特征以供比较。
• 利用真实网络流量轨迹验证模型，并在实际攻击条件下测试检测程序。
• 使用渐近近似值设定检测阈值，并通过数值方法验证，以实现目标ARL（例如，γ = 1000）。
• 在全对比度和对比度降低的攻击场景下，比较各程序的检测延迟和误报率。

实验结果

研究问题

• RQ1 在γ的实际取值范围内，σ² = aμ高斯模型中检测延迟和ARL至误报的渐近近似值的准确性如何？
• RQ2 Shiryaev–Roberts程序在检测真实网络流量中低对比度异常时是否优于CUSUM？
• RQ3 σ² = aμ的高斯模型是否比传统泊松模型更能准确描述网络流量强度？
• RQ4 SR–r和SRP在检测延迟和误报控制方面与CUSUM和SR相比表现如何？
• RQ5 攻击强度降低对检测延迟和程序鲁棒性有何影响？

主要发现

• 在实际感兴趣的案例中，ARL至误报和检测延迟的渐近近似值具有‘合理’或‘极佳’的准确性。
• 当ARL = 1000时，CUSUM的阈值设定为76.32，SR的阈值设定为731.3，实际ARL分别为998.4和1000.1，确认了数值计算的准确性。
• 在检测减弱的ICMP反射器攻击时，SR程序的检测延迟约为15秒（30个样本），而CUSUM为18秒（36个样本）。
• SR程序引发的误报更少，且能更快检测到异常，表明其在低对比度场景下表现更优。
• σ² = aμ的高斯模型比假设σ² = μ的泊松模型更能准确拟合真实网络流量。
• SR程序的多周期最优性使其特别适用于检测在时间轴上远距离发生的变化，从而支持其在实时网络安全监控中的应用。