[论文解读] Training a Bidirectional GAN-based One-Class Classifier for Network Intrusion Detection

Xu Wen, Julian Jang‐Jaccard+2 more|arXiv (Cornell University)|Feb 2, 2022

Network Security and Intrusion Detection被引用 5

一句话总结

该论文提出了一种基于双向生成对抗网络（Bi-GAN）的一类分类器，用于网络入侵检测，通过解耦生成器与判别器的训练过程，提升在类别不平衡的文本型数据集中的合成数据质量。通过使生成器和编码器比判别器更频繁地训练，模型增强了生成网络流量的语义保真度，在NSL-KDD数据集上实现了92.68%的F1分数，优于现有的GAN和自编码器方法。

ABSTRACT

The network intrusion detection task is challenging because of the imbalanced and unlabeled nature of the dataset it operates on. Existing generative adversarial networks (GANs), are primarily used for creating synthetic samples from reals. They also have been proved successful in anomaly detection tasks. In our proposed method, we construct the trained encoder-discriminator as a one-class classifier based on Bidirectional GAN (Bi-GAN) for detecting anomalous traffic from normal traffic other than calculating expensive and complex anomaly scores or thresholds. Our experimental result illustrates that our proposed method is highly effective to be used in network intrusion detection tasks and outperforms other similar generative methods on the NSL-KDD dataset.

研究动机与目标

• 为解决标准GAN在类别不平衡的文本型网络入侵检测中所面临的局限性，即由于语义表示差异导致生成器与判别器之间强同步训练失败的问题。
• 通过放松生成器与判别器之间的训练同步，提升合成网络流量数据的质量。
• 利用训练好的编码器与判别器构建一类二分类器，实现异常检测而无需复杂的异常评分计算。
• 在NSL-KDD数据集上，超越现有自编码器与基于GAN的模型，在网络入侵检测任务中的表现。

提出的方法

• 提出一种双向生成对抗网络（Bi-GAN）框架，解耦生成器与判别器的训练迭代，使生成器与编码器能够更频繁地训练。
• 采用基于交叉熵损失的停止条件控制生成器训练，确保其在判别器更新前达到高质量的合成数据生成状态。
• 利用编码器将真实网络流量样本映射到低维潜在空间，以保留语义关系。
• 在真实样本与生成器产生的合成样本上联合训练判别器，以区分真实与伪造流量。
• 基于训练好的编码器与判别器构建一类二分类器，通过二元输出判断流量为正常或异常。
• 将模型应用于NSL-KDD数据集，结合主成分分析（PCA）与潜在空间可视化，分析分布保真度。

实验结果

研究问题

• RQ1 在类别不平衡的文本型入侵检测数据集中，解耦生成器与判别器的训练是否能提升合成网络流量数据的质量？
• RQ2 放松生成器与判别器之间的训练同步，对生成样本的语义保真度有何影响？
• RQ3 基于训练好的编码器-判别器对的一类二分类器，是否能有效检测异常而无需计算复杂异常评分？
• RQ4 所提出方法在NSL-KDD数据集上的F1分数与检测准确率是否优于现有自编码器与基于GAN的模型？

主要发现

• 该模型在NSL-KDD测试集上达到91.12%的准确率、87.27%的精确率、98.81%的召回率以及92.68%的F1分数。
• 模型的AUC-ROC得分达到0.953，表明其在正常与异常流量之间具有出色的判别能力。
• 由于生成器训练迭代次数多于判别器，其生成的合成样本具有更高的语义保真度，潜在空间可视化结果证实了这一点。
• 一类二分类器成功实现异常检测，无需设定阈值或计算异常评分，简化了部署流程。
• 该模型在NSL-KDD数据集上优于所有基准方法，包括AE、DAE、AnoGAN、BiGAN及其他GAN变体。
• 该方法在类别不平衡数据上表现更优，尤其在检测稀有攻击类型时表现出色，召回率达到98.81%。