[论文解读] RNNSecureNet: Recurrent neural networks for Cyber security use-cases

Mohammed Harun Babu R, R. Vinayakumar+1 more|arXiv (Cornell University)|Jan 1, 2018

Network Security and Intrusion Detection参考文献 27被引用 11

一句话总结

本文提出了一种基于RNN的框架RNNSecureNet，用于网络安保用例，包括Android恶意软件分类、事件检测和欺诈检测。通过利用堆叠RNN层结合批量归一化和dropout进行序列数据建模，该模型在准确率方面表现优异——优于SVM，尤其在事件检测（99.7%准确率）和欺诈检测（91.8%准确率）方面表现突出，证明了RNN在学习安全数据中复杂序列模式方面的有效性。

ABSTRACT

Recurrent neural network (RNN) is an effective neural network in solving very complex supervised and unsupervised tasks. There has been a significant improvement in RNN field such as natural language processing, speech processing, computer vision and other multiple domains. This paper deals with RNN application on different use cases like Incident Detection, Fraud Detection, and Android Malware Classification. The best performing neural network architecture is chosen by conducting different chain of experiments for different network parameters and structures. The network is run up to 1000 epochs with learning rate set in the range of 0.01 to 0.5.Obviously, RNN performed very well when compared to classical machine learning algorithms. This is mainly possible because RNNs implicitly extracts the underlying features and also identifies the characteristics of the data. This helps to achieve better accuracy.

研究动机与目标

• 评估循环神经网络（RNN）在恶意软件检测、事件检测和欺诈检测等网络安全用例中的有效性。
• 对比RNN与SVM等经典机器学习模型在检测复杂、演化型网络威胁方面的性能表现。
• 识别适用于安全应用的最优RNN架构、超参数（学习率、网络深度、神经元数量）及正则化技术。
• 证明RNN能够比传统方法更有效地从原始安全数据中学习分层的、序列化的特征。

提出的方法

• 提出一种深层RNN架构，经超参数调优后，采用1至7层堆叠的循环层，每层使用768个神经元。
• 采用批量归一化和dropout（0.001）以防止过拟合并加速训练过程。
• 对二分类任务（恶意软件和事件检测）使用二元交叉熵损失，对多分类欺诈检测任务使用分类交叉熵损失。
• 采用随机梯度下降（SGD）作为优化器，以最小化分类损失。
• 通过10折交叉验证和700至1000轮次的训练，确定最优学习率（0.01）和网络深度（恶意软件检测使用6层，事件/欺诈检测使用3层）。
• 使用APK文件中的API调用序列以及UTM日志和合成金融数据中的事件/日志序列作为训练的输入序列。

实验结果

研究问题

• RQ1 基于API调用序列，RNN能否在Android恶意软件检测中优于SVM等经典机器学习模型？
• RQ2 RNN在统一威胁管理（UTM）日志中建模序列化模式用于事件检测的效率如何？
• RQ3 与传统分类器相比，RNN在金融交易欺诈检测中能将准确率提升多少？
• RQ4 针对不同网络安全用例，最优RNN架构（深度、宽度、学习率）是什么？

主要发现

• RNN在事件检测中达到99.7%的准确率，超过SVM的99.3%，表明其在学习序列化模式方面具有强大能力。
• 在欺诈检测中，RNN达到91.8%的准确率和F1分数，略高于SVM的91.7%准确率和91.7% F1分数。
• 在Android恶意软件分类中，RNN达到74.1%的准确率，超过SVM的72.3%，并能更好地检测复杂恶意软件行为。
• 6层RNN架构在恶意软件检测中表现最佳，而3层RNN在事件检测和欺诈检测中为最优配置。
• 最优学习率被确定为0.01，更高的值（如0.05）会导致准确率下降，表明对超参数调优具有高度敏感性。
• 批量归一化和dropout的使用显著减少了过拟合，尤其在大规模安全数据集上训练深层RNN时效果明显。