선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 본 연구에서는 [11]이 제시한 다목적 최적화 문제해결 방법에 특징들 사이의 상관관계를 추가로 고려하면 이상 징후 탐지 시스템의 정확성을 거의 낮추지 않으면서도 학습 및 탐지 시간을 줄일 수 있음을 보이고자 한다.
- 본 논문이 제안한 특징 선택 방법은 [11]이 이전에 제시한 특징 선택 알고리즘인 다목적 유전자 알고리즘에 특징 간의 Pearson 상관계수를 이용하는 방법을 추가한 것이다. 따라서 이 절에서 우선 간략하게 다목적유전자 알고리즘을 설명하겠다. 자세한 내용은 [11]을참조하기 바란다.
제안 방법
- 이러한 결가는 NSL_KDD 데이터의 한계에 기인한 측면도 있다고 생각된다. 따라서 제안한 특징 추출 알고리즘은 6가지 DoS 공격 이외에 훈련 집합의 레코드 수가 1000개 이상인 satan, ipsweep, portsweep, nmap 공격을 추가하여 총 10가지 공격을 대상으로 실험하였다. 표 1은 실험에 사용한 정상 레코드와 10가지 공격 유형의 레코드 수를 보여준다.
- 12]로 다른 특징들에 비해 여전히 높은 값을 갖는 것을 확인하였다. 따라서 두 특징이 [0, 1] 사의 값을 갖도록 추가로 최소-최대 정규화를 적용하여 모든 특징들이[0, 1]사이의 값을 갖도록 하였다.
- 본 논문이 제안한 특징 선택 방법은 [11]이 이전에 제시한 특징 선택 알고리즘인 다목적 유전자 알고리즘에 특징 간의 Pearson 상관계수를 이용하는 방법을 추가한 것이다. 따라서 이 절에서 우선 간략하게 다목적유전자 알고리즘을 설명하겠다.
- 따라서 본 논문에서는 Pearson 상관계수 리스트(Corr)만을 사용해 최종해 S’을 구하는 시간복잡도 O(n2)을 갖는 간단한 휴리스틱 알고리즘을 설계하였다.
- 특징선택을 위한 알고리즘은 크게 두 단계의 절차로 구성된다<표 5>. 우선 다목적 유전자 알고리즘을 이용한 최적 특징 집합 선택을 실행한다. 다음엔 첫 번째 절차를 거처 선택된 특징 집합을 대상으로 하여 특정 임계치 이상의 Pearson 상관계수를 갖는 특징들은 그 중 하나로 대표한다.
- 입력 계층의 노드 수는 사용하는 입력 벡터의 크기와 동일하고 출력 계층은 공격 10가지와 정상 1가지를 대표하기 위해 11개의 노드로 구성하였다. 중간에 위치한 은닉 계층의 노드 수는 다양한 노드 수를 사용해 실험한 후 가장 성능이 좋았던 노드 수, 여기서는 20을 사용하였다.
- 설계한 시스템의 성능 분석을 위해 우선 NSL_KDD 학습 데이터와 테스트 데이터를 대상으로 선택된 특징만을 사용해 데이터를 다시 가공하였다. 새로 생성한 학습 데이터를 이용해 인공신경망 기반의 이상 징후탐지 시스템을 학습시킨 다음 학습된 시스템을 대상으로 테스트 데이터를 이용해 정확도를 측정하였다.
- 설계한 시스템의 성능 분석을 위해 우선 NSL_KDD 학습 데이터와 테스트 데이터를 대상으로 선택된 특징만을 사용해 데이터를 다시 가공하였다. 새로 생성한 학습 데이터를 이용해 인공신경망 기반의 이상 징후탐지 시스템을 학습시킨 다음 학습된 시스템을 대상으로 테스트 데이터를 이용해 정확도를 측정하였다. 아래 표 6은 이와 같을 실험을 20회 한 후 평균을 구한 것이다.
- 다만, Pearson 상관계수를 사용해 주어진 특징 벡터 크기를 최소화하기 위해서는 최소 지배 집합 문제를 해결해야 한다. 본 논문에서는 최소 지배 집합 문제를 해결하는 방법을 직접 사용하지 않고 상관계수 리스트만을 이용해 O(n2) 시간에 근사해를 구하는 알고리즘을 설계하였다.
- NSL_KDD 데이터를 대상으로 10개의 공격과 정상트래픽을 판별하는 탐지 시스템을 인공신경망을 이용해 구현하였다. 제안한 특징 선택 알고리즘에 의해 추출된 특징을 사용한 경우 다목적 유전자 알고리즘만을 사용하여 얻은 특징 집합을 사용했을 때보다 약 30%의 특징 집합의 크기를 줄일 수 있었다.
대상 데이터
- 특히 기존에 알려지지 않은 공격패턴을 찾고자하는 이상 징후 탐지 방식에 인공지능기술을 도입하는 시도가 많이 이루어지고 있으며 상당히 높은 정확성을 보여주고 있다. 본 연구에서도 이상 징후 탐지 시스템을 대상으로 한다.
- 본 논문은 TCP 연결을 대상으로 네트워크 트래픽을 분석해 공격 여부를 탐지하는 네트워크 기반의 이상 징후 탐지 시스템을 대상으로 한다. 네트워크 기반의 이상 징후 침입 탐지 시스템은 호스트 기반의 탐지시스템과 달리 대용량의 네트워크 트래픽을 대상으로 컴퓨팅 자원의 제약 아래서 침입 여부를 탐지해야 하는 어려움이 있다.
- 입력 계층의 노드 수는 사용하는 입력 벡터의 크기와 동일하고 출력 계층은 공격 10가지와 정상 1가지를 대표하기 위해 11개의 노드로 구성하였다. 중간에 위치한 은닉 계층의 노드 수는 다양한 노드 수를 사용해 실험한 후 가장 성능이 좋았던 노드 수, 여기서는 20을 사용하였다. 계층 간 연결은 완전 연결 방식을 사용하였으며 Xavier[17]가 제안한 초기화 방법으로 초기화하였다.
이론/모형
- 전통적인 래퍼 방식이 가지고 있는 속도 문제를 해결하기 위해 특정 기계학습의 정확성 대신 k-평균 클러스터링을 특징 집합의 적합성 평가를 위해 사용한다. 주어진 특징 벡터 S를 이용해 k-평균 클러스터링을 실행한 후 데이터 x의 소속 클래스와 원 소속 클래스의 동일성을 확인해 0 혹은 1값을 ω(x)로 부여한다.
- 모든 네트워크 트래픽은 앞에서 제시한 특징 선택알고리즘에 의해 선택된 특징만을 사용해 입력 벡터로 변경된 후 기계학습 모델의 입력으로 사용된다. 본 논문에서는 기계학습 방법 중 대표적인 지도학습 방법의 하나인 인공 신경망을 사용하였다. 인공 신경망의 네트워크 구조는 입력층, 은닉층, 출력층으로 구성된 3계층 다층 퍼셉트론이며 아래 (그림 1)과 같다.
- 중간에 위치한 은닉 계층의 노드 수는 다양한 노드 수를 사용해 실험한 후 가장 성능이 좋았던 노드 수, 여기서는 20을 사용하였다. 계층 간 연결은 완전 연결 방식을 사용하였으며 Xavier[17]가 제안한 초기화 방법으로 초기화하였다.
- 은닉 계층과 출력 계층의 노드에서 사용한 활성 함수는 0과 1사의 값을 출력하는 시그모이드 함수 #를 사용하였다. 비용함수는 식(5)와 같은 교차 엔트로피를 사용하였으며, 경사 하강법 기반의 역전파 알고리즘을 사용하여 신경망을 훈련시켰다. 훈련에 미니 배치 방식을 적용했고 훈련에 의해 개선되는 에러율의 폭이 일정 수준 이하이면 훈련을 중단하였다.
성능/효과
- Pearson 상관계수를 사용하지 않고 다목적 유전자 알고리즘만을 사용한 경우(표 6에서 No PCC), 훈련데이터를 다시 사용해 정확도를 측정한 결과 87.7%의 정확도를 보여 주었고 테스트 데이터를 사용했을 때는 약 86.6%의 정확도를 보여 주었다. 한편 특징 집합의 크기는 평균 13.
- 다음으로 임계치를 0.7로 한 Pearson 상관계수 방법을 추가해서 실험한 결과, 훈련 정확도와 테스트 정확도가 87.5%와 86.1%로 첫 번째 방법 다목적 유전자 알고리즘만을 사용한 경우와 큰 차이가 없음을 확인하였다. 평균 길이는 10.
- 1%로 첫 번째 방법 다목적 유전자 알고리즘만을 사용한 경우와 큰 차이가 없음을 확인하였다. 평균 길이는 10.3으로 약 30% 이상의 개선이 있었고 훈련 시간과 테스트 시간에서도 개선이 있음을 확인 할 수 있다. 물론 훈련 데이터와 테스트 데이터의 규모가 작아 현저한 차이를 확인할 수는 없지만, 실제 현장에서 대규모의 네트워크 트래픽을 대상으로 데이터의 수집 및 전송, 전처리 절차를 비롯해 지속적인 학습 및 탐지 등에 걸리는 시간은 사용하는 특징 집합의 크기에 매우 큰 영향을 받는다.
- 본 논문은 실시간 이상 징후 탐지를 위해 기존에 제시된 다목적 유전자 알고리즘을 이용한 특징 집합 선택 방법에 특징 간의 Pearson 상관계수를 이용하는 방법을 추가하면 특징 집합의 크기를 크게 줄일 수 있음을 보였다. 다만, Pearson 상관계수를 사용해 주어진 특징 벡터 크기를 최소화하기 위해서는 최소 지배 집합 문제를 해결해야 한다.
- NSL_KDD 데이터를 대상으로 10개의 공격과 정상트래픽을 판별하는 탐지 시스템을 인공신경망을 이용해 구현하였다. 제안한 특징 선택 알고리즘에 의해 추출된 특징을 사용한 경우 다목적 유전자 알고리즘만을 사용하여 얻은 특징 집합을 사용했을 때보다 약 30%의 특징 집합의 크기를 줄일 수 있었다. 이는 정확성에서 거의 손실을 가져오지 않고 달성한 것으로 일일 평균 테라바이트 이상의 대량 트래픽이 발생하는 네트워크에서는 실시간으로 이상 징후를 탐지하기 위한 의미 있는 연구결과라 할 수 있다.
- 자세한 전처리 절차는 [11]을 참고하기 바란다. 다만, 본 논문에서는 위의 방법을 적용한 결과 특징들 중 src_bytes와 dst_bytes는 정규화 후의 값의 범위가 각각 [0, 9.14], [0, 9.12]로 다른 특징들에 비해 여전히 높은 값을 갖는 것을 확인하였다. 따라서 두 특징이 [0, 1] 사의 값을 갖도록 추가로 최소-최대 정규화를 적용하여 모든 특징들이[0, 1]사이의 값을 갖도록 하였다.
후속연구
- 앞으로 정확성을 해치지 않으면서도 특징 벡터의 크기를 더욱 줄이기 위한 효율적인 알고리즘을 개발하고자 한다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.