[论文解读] Self-Organising Maps in Computer Security

Jan Feyereisl, Uwe Aickelin|arXiv (Cornell University)|Aug 5, 2016

Network Security and Intrusion Detection参考文献 70被引用 5

一句话总结

本文全面回顾了自组织映射（SOMs）这一受生物启发的机器学习算法在计算机安全领域的应用。它展示了SOMs如何通过将高维数据组织为低维拓扑表示，实现无监督异常检测、可执行文件分析和无线网络监控，并通过超过4,000篇研究论文的实证验证，证明其在入侵检测和网络威胁分析中具有强大的适用性。

ABSTRACT

Some argue that biologically inspired algorithms are the future of solving difficult problems in computer science. Others strongly believe that the future lies in the exploration of mathematical foundations of problems at hand. The field of computer security tends to accept the latter view as a more appropriate approach due to its more workable validation and verification possibilities. The lack of rigorous scientific practices prevalent in biologically inspired security research does not aid in presenting bio-inspired security approaches as a viable way of dealing with complex security problems. This chapter introduces a biologically inspired algorithm, called the Self Organising Map (SOM), that was developed by Teuvo Kohonen in 1981. Since the algorithm's inception it has been scrutinised by the scientific community and analysed in more than 4000 research papers, many of which dealt with various computer security issues, from anomaly detection, analysis of executables all the way to wireless network monitoring. In this chapter a review of security related SOM research undertaken in the past is presented and analysed. The algorithm's biological analogies are detailed and the author's view on the future possibilities of this successful bio-inspired approach are given. The SOM algorithm's close relation to a number of vital functions of the human brain and the emergence of multi-core computer architectures are the two main reasons behind our assumption that the future of the SOM algorithm and its variations is promising, notably in the field of computer security.

研究动机与目标

• 确立自组织映射（SOMs）在计算机安全领域中的相关性与科学严谨性，尽管对受生物启发的方法存在质疑。
• 分析SOMs在安全研究中的历史应用，包括异常检测、可执行文件分析和无线网络监控。
• 论证SOMs在未来的网络安全防御系统中具备长期可行性，因其具有生物合理性且与现代多核架构兼容。
• 通过展示SOMs在安全场景中可重复且可分析的行为，弥合受生物启发算法与形式化验证之间的鸿沟。

提出的方法

• 采用由Teuvo Kohonen于1981年提出的自组织映射（SOM）算法，通过竞争学习将高维输入数据映射到低维网格。
• 采用“赢家通吃”机制，选择与输入数据最接近权重向量的神经元作为最佳匹配单元（BMU）。
• 使用高斯邻域函数更新BMU及其拓扑邻近神经元的权重，以保持数据中的空间关系。
• 利用SOM的拓扑排序特性对网络流量、系统调用或二进制特征进行聚类与可视化，以实现异常检测。
• 利用算法处理未标记数据的能力，使其适用于检测先前未知的网络威胁。
• 通过综合超过4,000篇关于SOM在计算机安全领域应用的研究论文来验证该方法。

实验结果

研究问题

• RQ1 尽管SOMs是受生物启发的，它们是否能为计算机安全问题提供科学严谨且有效的解决方案？
• RQ2 SOMs在计算机安全的不同领域（如入侵检测、恶意软件分析和网络监控）中是如何应用的？
• RQ3 SOMs在检测网络物理系统和网络流量异常方面具有哪些关键优势？
• RQ4 为何SOM算法在计算机安全领域未来发展中具有优势，特别是在多核计算技术进步的背景下？
• RQ5 SOMs与人类大脑皮层图形成过程的生物类比，如何支持其在网络安全防御系统中的长期相关性与可扩展性？

主要发现

• SOMs已在超过4,000篇研究论文中成功应用于各种计算机安全任务，包括异常检测、可执行文件分析和无线网络监控。
• 该算法能够将高维数据在拓扑有序的地图中可视化，从而有效识别异常值和恶意模式。
• SOMs在缺乏标注数据的无监督学习场景中表现出色，而这类场景在网络安全威胁检测中极为常见。
• SOMs与人类大脑皮层图形成的生物类比增强了其可解释性，并与认知过程保持一致。
• 多核计算架构的出现与SOM训练的可并行性相辅相成，提升了可扩展性与实时处理潜力。
• 尽管对受生物启发的方法存在质疑，SOMs在生物合理性与数学严谨性之间取得了平衡，支持其在安全场景中的验证与形式化分析。