[论文解读] Pelican: A Deep Residual Network for Network Intrusion Detection

Peilun Wu, Hui Guo+1 more|arXiv (Cornell University)|Jan 19, 2020

Network Security and Intrusion Detection参考文献 35被引用 7

一句话总结

Pelican 是一种用于网络入侵检测的深度残差神经网络，通过在残差块内结合卷积神经网络（CNN）和循环神经网络（RNN），捕捉网络流量中的空间与时间特征。在 UNSW-NB15 数据集上，其检测率达到 97.75%，误报率仅为 1.30%，显著优于现有基于机器学习的方法，在保持高准确率的同时大幅降低误报率。

ABSTRACT

One challenge for building a secure network communication environment is how to effectively detect and prevent malicious network behaviours. The abnormal network activities threaten users' privacy and potentially damage the function and infrastructure of the whole network. To address this problem, the network intrusion detection system (NIDS) has been used. By continuously monitoring network activities, the system can timely identify attacks and prompt counter-attack actions. NIDS has been evolving over years. The current-generation NIDS incorporates machine learning (ML) as the core technology in order to improve the detection performance on novel attacks. However, the high detection rate achieved by a traditional ML-based detection method is often accompanied by large false-alarms, which greatly affects its overall performance. In this paper, we propose a deep neural network, Pelican, that is built upon specially-designed residual blocks. We evaluated Pelican on two network traffic datasets, NSL-KDD and UNSW-NB15. Our experiments show that Pelican can achieve a high attack detection performance while keeping a much low false alarm rate when compared with a set of up-to-date machine learning based designs.

研究动机与目标

• 为解决基于机器学习的网络入侵检测系统（NIDS）中误报率过高的问题，该问题会阻碍实时响应与运行效率。
• 研究并缓解深度神经网络（DNN）在训练过程中出现的性能退化问题，这是 DNN 中已知的限制学习能力的挑战。
• 设计一种深度残差网络架构，以有效捕捉网络流量数据中的空间与时间特征。
• 与现有最先进的基于机器学习的 NIDS 设计相比，提高检测准确率并降低误报率。
• 验证残差学习在网络安全领域中的有效性，将其成功从图像分类扩展至网络入侵检测。

提出的方法

• 提出一种名为 Pelican 的残差网络架构，基于专门设计的残差块，以缓解深度网络中的训练退化问题。
• 在残差块内集成卷积神经网络（CNN）与循环神经网络（RNN），以建模网络流量中的空间与时间模式。
• 通过学习残差映射实现残差学习，即网络学习输入与输出之间的差异而非完整映射，从而提升训练稳定性和性能。
• 采用深层残差块堆叠结构，使网络能够学习网络流量的复杂表征，同时在反向传播过程中保持梯度流动。
• 使用标准深度学习优化技术，在两个基准数据集 NSL-KDD 和 UNSW-NB15 上进行端到端训练。
• 应用批量归一化和 ReLU 激活函数，以增强训练收敛性与泛化能力。

实验结果

研究问题

• RQ1 残差学习能否有效缓解深度神经网络在入侵检测任务中的性能退化问题？
• RQ2 混合 CNN-RNN 残差架构是否能比传统模型更有效地捕捉网络流量中的空间与时间特征？
• RQ3 与最先进的基于机器学习的 NIDS 方法相比，所提出的 Pelican 模型是否实现了更高的检测准确率与更低的误报率？
• RQ4 在检测率与误报率方面，Pelican 与普通 DNN 及浅层残差网络相比表现如何？
• RQ5 残差学习在多大程度上提升了深度神经网络在入侵检测任务中的泛化能力与鲁棒性？

主要发现

• Pelican 在 UNSW-NB15 数据集上实现了 97.75% 的检测率与 86.64% 的准确率，检测性能全面优于所有对比方法。
• Pelican 的误报率仅为 1.30%，显著低于次优方法（LuNet 为 2.89%）及其他经典机器学习模型。
• Pelican 展现出卓越的泛化能力与鲁棒性，在网络深度增加时仍能保持高性能，而普通网络则出现性能退化。
• 在残差块内集成 CNN 与 RNN 有效实现了对特征模式（空间）与流量序列动态（时间）的建模。
• 实证验证了残差学习在降低训练不稳定性与提升收敛性方面的有效性。
• Pelican 在 NSL-KDD 与 UNSW-NB15 两个数据集上表现一致，证实其对不同网络流量特征的适应能力。