[논문]비지도학습 오토 엔코더를 활용한 네트워크 이상 검출 기술

강구홍

doi:10.13089/jkiisc.2020.30.4.617

비지도학습 오토 엔코더를 활용한 네트워크 이상 검출 기술
Network Anomaly Detection Technologies Using Unsupervised Learning AutoEncoders 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.30 no.4, 2020년, pp.617 - 629

초록
AI-Helper

인터넷 컴퓨팅 환경의 변화, 새로운 서비스 출현, 그리고 지능화되어 가는 해커들의 다양한 공격으로 인한 규칙 기반 침입탐지시스템의 한계점을 극복하기 위해 기계학습 및 딥러닝 기술을 활용한 네트워크 이상 검출(NAD: Network Anomaly Detection)에 대한 관심이 집중되고 있다. NAD를 위한 대부분의 기존 기계학습 및 딥러닝 기술은 '정상'과 '공격'으로 레이블링된 훈련용 데이터 셋을 학습하는 지도학습 방법을 사용한다. 본 논문에서는 공격의 징후가 없는 일상의 네트워크에서 수집할 수 있는 레이블링이 필요 없는 데이터 셋을 이용하는 비지도학습 오토 엔코더(AE: AutoEncoder)를 활용한 NAD 적용 가능성을 제시한다. AE 성능을 검증하기 위해 NSL-KDD 훈련 및 시험 데이터 셋을 사용해 정확도, 정밀도, 재현율, f1-점수, 그리고 ROC AUC (Receiver Operating Characteristic Area Under Curve) 값을 보인다. 특히 이들 성능지표를 대상으로 AE의 층수, 규제 강도, 그리고 디노이징 효과 등을 분석하여 레퍼런스 모델을 제시하였다. AE의 훈련 데이터 셋에 대한 재생오류 82-th 백분위수를 기준 값으로 KDDTest+와 KDDTest-21 시험 데이터 셋에 대해 90.4%와 89% f1-점수를 각각 보였다.

Abstract ▼ AI-Helper

In order to overcome the limitations of the rule-based intrusion detection system due to changes in Internet computing environments, the emergence of new services, and creativity of attackers, network anomaly detection (NAD) using machine learning and deep learning technologies has received much attention. Most of these existing machine learning and deep learning technologies for NAD use supervised learning methods to learn a set of training data set labeled 'normal' and 'attack'. This paper presents the feasibility of the unsupervised learning AutoEncoder(AE) to NAD from data sets collecting of secured network traffic without labeled responses. To verify the performance of the proposed AE mode, we present the experimental results in terms of accuracy, precision, recall, f1-score, and ROC AUC value on the NSL-KDD training and test data sets. In particular, we model a reference AE through the deep analysis of diverse AEs varying hyper-parameters such as the number of layers as well as considering the regularization and denoising effects. The reference model shows the f1-scores 90.4% and 89% of binary classification on the KDDTest+ and KDDTest-21 test data sets based on the threshold of the 82-th percentile of the AE reconstruction error of the training data set.

주제어

표/그림 (17)

그림 Fig. 1. Basic AutoEncoder
그림 Fig. 2. Denoising AutoEncoder
그림 Fig. 3. Fully Connected AutoEncoder
표 Table 1. Number of records of NSL-KDD data set
그림 Fig. 4. Keras AutoEncoder Modeling
그림 Fig. 5. Reconstruction error distribution of NSL-KDD Train+ data set (Left: Normal samples, Right: Attack samples)
그림 Fig. 6. Reconstruction error distribution of NSL-KDD Test+ (upper) and Test-21 (lower) data set (Left: Normal samples, Right: Attack samples)
그림 Fig. 7. Reconstruction error distribution of KDDTest-21 data set (Left: Normal samples, Right: Attack samples)
그림 Fig. 8. Precisions, recalls, accuracies, f1-scores, and ROC AUCs on KDDTest+ with the RE percentiles of the training dataset
그림 Fig. 9. Precisions, recalls, accuracies, f1-scores, and ROC AUCs on KDDTest-21 with the RE percentiles of the training dataset
표 Table 2. Performance of the reference AE model on KDDTest+ and KDDTest-21 data set
그림 Fig. 10. Precision versus recall on KDDTest+ and KDDTest-21 datasets
그림 Fig. 11. f1-scores on KDDTest+ dataset for the shallow(square), deep(round), and stacket(triangle) AEs with the RE percentiles of the training dataset
그림 Fig. 12. f1-scores on KDDTest+ dataset for the deep AEs (λ=0(square), 0.01(round), 0.1(diamond), and 0.2(triangle)) with the RE percentiles of the training dataset
그림 Fig. 13. f1-scores on KDDTest+ dataset for the deep AEs (λ=0, dropout=0(round points) and 0.1(square points)) with the RE percentiles of the training dataset
그림 Fig. 14. f1-scores on KDDTest+ dataset for the deep AEs (λ=0.1, dropout=0(square points) and 0.1(triangle points)) with the RE percentiles of the training dataset
표 Table 3. Performance of AE and the other deep learning models in the binary classification on KDDTest+ and KDDTest-21 dataset

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

뿐만 아니라, 수집된 네트워크 트래픽으로부터 ‘정상’과 ‘공격’을 정확하게 레이블링하는 작업은 매우 어렵고 복잡한 과정을 거쳐야 한다[7]. 따라서 본 논문에서는 평상시 제공되는 정상 네트워크 트래픽만을 이용하여 학습하는 비지도학습(unsupervised learning) 모델인 오토 엔코더(AE: AutoEncoder)를 이용한 NAD 기술에 대해 집중한다.
즉 이들 기존 연구들은 AE를 활용하지만 레이블링된 훈련용 데이터 셋을 필요로 한다. 따라서 앞에서 언급한 바와 같이 비지도학습 모델의 장점을 최대한 확보하기 위해, 본 논문에서는 레이블링된 훈련 데이터 셋이 필요 없는 가장 기본적인 AE 구조와 하이퍼 파라미터를 활용하여 NAD 성능을 확인한다.
하지만, 일부 기존 연구들은 KDDTrain+의 일부 셋을 교차검증용으로 사용하여 높은 성능 결과를 보이거나[12], KDDTest+만 사용하거나[14,15], 혹은 NSL-KDD 데이터 셋의 이전 버전을 사용하여[13] 높은 성능 결과를 제시하는 오류를 범하고 있다. 본 논문에서는 KDDTest+와 KDDTest-21 시험용 데이터 셋에 대한 특정 레코드의 선택이나 삭제 없이 그대로 사용함으로써, 이들 데이터 셋을 사용하여 성능결과를 보여주는 다른 연구결과들과 객관적인 비교분석이 될 수 있도록 하였다.
하지만, 이들은 AE의 RE 기준 값 결정을 위해 레일블링된 훈련 데이터 셋으로부터 ‘정상’과 ‘공격’ 트래픽 분포와 정확도 계산이 필요하다. 본 논문에서는 레이블링된 훈련 데이터 셋이 필요 없는 기본적인 AE를 활용하여 KDDTest+와 KDDTest-21에 대한 다양한 성능 지표 결과 값을 분석함으로써 실제 네트워크에 적용 가능 여부를 확인하고자 한다.
한편 본 논문에서는 KDDTest+와 KDDTest-21 데이터 셋 내 각 샘플을 정상(normal)과 공격(attack)으로 구분하는 2진 분류(binary classification)를 목표로 한다.

가설 설정

본 논문에서는 오토엔코더의 자기 학습(self learning)에 사용되는 특별한 보안 이벤트가 발생하지 않은 일상의 네트워크 트래픽을 모두 정상으로 가정하고 있다. 하지만 현실적으로는 이상 트래픽이 포함될 수 있기 때문에 이에 대한 추가적인 분석이 필요하다.

제안 방법

NSL-KDD KDDTrain+ 훈련 데이터 셋에서 정상인 샘플들을 추출하여 AE를 학습하게 된다. 학습 시 최대 에포크 수 1,000회를 기준으로 과대적합(over-fitting)을 방지하기 위한 조기 종료(케라스 EarlyStopping)를 위해 전체 훈련 셋 중 20%를 교차검증 데이터로 활용하고, 교차검증 손실이 10회 이상 개선되지 않으면 학습을 종료한다.
은 본 논문에서 제시된 비지도학습에 의한 AE 레퍼런스 모델과 Kwon et al.[5]이 제시한 지도학습에 의한 FCN(Fully Connected Network)과의 성능을 비교하였다. 표에서 보듯이 AE의 다양한 성능지표 값들은 FCN의 성능과 매우 유사한 수준에 있다.
디노이즈 AE의 이상 검출 성능을 확인하기 위해 두 가지 비교 모델을 제시한다. 먼저, 규제가 적용되지 않은 모델과 규제가 적용된 모델을 분리하여 디노이즈 AE의 효과를 검증한다.
디노이즈 AE의 이상 검출 성능을 확인하기 위해 두 가지 비교 모델을 제시한다. 먼저, 규제가 적용되지 않은 모델과 규제가 적용된 모델을 분리하여 디노이즈 AE의 효과를 검증한다. 이러한 연구 방향은 규제와 디노이즈의 효과는 모두 모델의 과대적합을 방지하는 효과를 가져 오기 때문이다.
따라서 이들 기준 값 설정은 제안한 딥러닝 모델의 성능을 결정하는 매우 중요한 파라미터가 된다. 본 논문에서는 AE 학습 시 사용된 정상 샘플 데이터 셋에 대한 RE 분포의 n-th 백분위수(percentile)를 기준 값으로 사용한다. 예를 들어, n=95는 훈련용 정상 샘플의 RE 분포의 95%를 포함하는 RE 값이 된다.
한편 학습된 AE 모델을 이용해 KDDTest+ 와 KDDTest-21 시험 데이터 셋을 활용하여 정상과 이상 샘플을 2진 분류한다. 본 논문에서는 AE의 RE(Eq 2)를 NAD를 검출하기 위한 측도로 사용한다. 즉 AE의 훈련 기간 중에 학습한 정상 트래픽과 유사한 샘플들은 RE가 매우 작을 것이고 학습된 트래픽과 유사하지 않은 샘플의 경우 정상적인 latent 벡터를 만들 수 없기 때문에 매우 큰 RE를 나타낼 것이다.
본 논문에서는 deep AE의 규제강도 λ가 0.1인 모델을 레퍼런스 모델로 선정하고 관련 하이퍼 파라미터의 변화에 따른 성능 변화를 비교 분석한다(λ = 0.1 선정에 대해서는 5.3절에서 설명).
본 논문에서는 모델 훈련을 위해 KDDTrain+에서 “정상”으로 레이블된 레코드를 추출해 80%는 훈련용으로 사용하고 나머지 20%는 모델을 검증(model fit을 위한 교차검증용)하기 위해 사용하였다.
결국 적절한 하이퍼 파라미터 선택을 위해 많은 실험 데이터를 구축하고 상호 비교하는 작업이 필요하다. 본 논문에서는 이러한 상호 비교분석을 통해 앞에서 나열한 하이퍼 파라미터를 선택하였다. 특히, AE 모델의 층 수(입력과 출력 층은 제외)는 1, 3, 그리고 5로 구성하여 성능 비교 자료를 제시하였다(이하, 층수1은 shallow, 층수 3은 deep, 그리고 층수 5는 stacked로 칭함).
딥 러닝 모델은 오차행렬(confusion matrix)를 통해 다양한 성능지표(metrics)를 제시할 수 있다[17]. 본 논문에서는 정확도, 정밀도, 재현율, 그리고 f1-점수를 주요 성능지표로 사용한다.
본 논문에서는 특별한 보안 이벤트가 발생되지 않은 일상의 네트워크 트래픽을 정상 트래픽으로 가정하고 이를 기준으로 네트워크 이상 탐지를 위해 비지도학습 오토엔코더를 활용하는 딥러닝 모델을 제시하고 NSL-KDD 데이터 셋을 사용하여 제안 모델의 네트워크 이상 검출 성능을 검증하였다. 한편, 본 논문에서는 네트워크 이상 여부를 판단하기 위해 오토엔코더의 재생 오류 값의 백분위 점수(percentile score)를 기준 값으로 사용하였다.
에서 보듯이, AE의 RE는 정상 샘플과 이상(공격) 샘플에 대해 뚜렷한 차이를 보여준다. 본 논문에서는 해당 샘플의 RE 값이 특정 기준 값(threshold value)을 넘어서면 이상 샘플로 분류하고, 그렇지 않으면 정상 샘플로 분류한다. 따라서 이들 기준 값 설정은 제안한 딥러닝 모델의 성능을 결정하는 매우 중요한 파라미터가 된다.
에서 설명한 바와 같이 AE는 인코더와 디코드 부분으로 구분되며 다양한 네트워크 구조를 사용해 구현될 수 있다. 본 연구에서는 다음 Fig.3.과 같이 가장 기본적인 완전연결(fully connected) 구조로 모델링한다.
[9]은 일부 손상된 입력에 대한 내구성(robustness)을 보장하기 위해 AE의 변화를 주었다. 즉 일부 손상된 입력에 대해서도 원 입력을 재생할 수 있도록 AE가 학습할 수 있도록 하였다. 이들은 입력 x에 손상(destruction) 파라미터 ν에 비례하도록 νd개를 임의로 선택해 입력 값을 ‘0’으로 강제함으로써 입력 패턴의 선택된 입력 값을 제거하게 된다.
본 논문에서는 이러한 상호 비교분석을 통해 앞에서 나열한 하이퍼 파라미터를 선택하였다. 특히, AE 모델의 층 수(입력과 출력 층은 제외)는 1, 3, 그리고 5로 구성하여 성능 비교 자료를 제시하였다(이하, 층수1은 shallow, 층수 3은 deep, 그리고 층수 5는 stacked로 칭함). 예를 들어, Fig.
또한 NVIDA GeForce RTX 2080 8GB GPU를 사용하여 훈련시간을 단축시켰다. 파이썬(Python) 개발 플랫폼은 아나콘다 주피터 노트북(Anaconda Jupyter Notebook) 버전 6.0.0)을 사용하고 연구에 필요한 다양한 AE 모델 개발을 위해 케라스(Keras) 버전 2.2.4-tf를 사용해 구현하였다. 한편 데이터 전처리 등 다양한 수치해석을 위해 싸이킷-런(scikit-learn) 버전 0.
학습 시 최대 에포크 수 1,000회를 기준으로 과대적합(over-fitting)을 방지하기 위한 조기 종료(케라스 EarlyStopping)를 위해 전체 훈련 셋 중 20%를 교차검증 데이터로 활용하고, 교차검증 손실이 10회 이상 개선되지 않으면 학습을 종료한다. 한편 학습된 AE 모델을 이용해 KDDTest+ 와 KDDTest-21 시험 데이터 셋을 활용하여 정상과 이상 샘플을 2진 분류한다. 본 논문에서는 AE의 RE(Eq 2)를 NAD를 검출하기 위한 측도로 사용한다.

대상 데이터

AE를 설계하고 시험하기 위해, 본 연구에서는 Intel core i7-9700K 32GB RAM 64비트 윈도우즈10 개인컴퓨터를 사용하였다. 또한 NVIDA GeForce RTX 2080 8GB GPU를 사용하여 훈련시간을 단축시켰다.
따라서 본 논문에서는 λ = 0.1인 모델을 레퍼런스 모델로 선정하였다.
ML/DL 기술을 적용하고 원하는 성능을 검증하기 위해서는 적절한 훈련 및 시험 데이터 셋을 사용해야 한다. 본 논문에서는 IDS 및 NAD를 위한 많은 기존 연구들이 사용하는 NSL-KDD 데이터 셋[3,4,17]을 활용한다. NSL-KDD 데이터 셋은 훈련을 위한 KDDTrain+와 시험을 위한 KDDTest+와 KDDTest-21을 제공한다.
NSL-KDD KDDTrain+ 훈련 데이터 셋에서 정상인 샘플들을 추출하여 AE를 학습하게 된다. 학습 시 최대 에포크 수 1,000회를 기준으로 과대적합(over-fitting)을 방지하기 위한 조기 종료(케라스 EarlyStopping)를 위해 전체 훈련 셋 중 20%를 교차검증 데이터로 활용하고, 교차검증 손실이 10회 이상 개선되지 않으면 학습을 종료한다. 한편 학습된 AE 모델을 이용해 KDDTest+ 와 KDDTest-21 시험 데이터 셋을 활용하여 정상과 이상 샘플을 2진 분류한다.
본 논문에서는 모델 훈련을 위해 KDDTrain+에서 “정상”으로 레이블된 레코드를 추출해 80%는 훈련용으로 사용하고 나머지 20%는 모델을 검증(model fit을 위한 교차검증용)하기 위해 사용하였다. 한편 학습된 모델의 성능을 검증하기 위해, KDDTest+와 이들 데이터 셋 내 검출이 용이한 레코드를 제외한 KDDTest-21 시험 데이터 셋을 활용한다. Table 1.

이론/모형

하지만 deep과 stacked AE의 최대 f1-점수를 비교(n=80%~90%)하면, 층수를 계속 추가한다고 해서 성능지표 향상이 효율적으로 이루어지는 것이 아님을 확인할 수 있다. 따라서 본 논문에서는 deep AE를 레퍼런스 모델로 선정하였다.
한편 규제 파라미터 λ는 규제 강도를 결정하게 된다. 본 논문에서는 각각의 벡터에 대해 항상 유일한(unique) 값을 가지는 t₂-규제 (가중치의 제곱에 비례하는 비용을 추가)를 사용한다[20].
이들은 입력 x에 손상(destruction) 파라미터 ν에 비례하도록 νd개를 임의로 선택해 입력 값을 ‘0’으로 강제함으로써 입력 패턴의 선택된 입력 값을 제거하게 된다. 이러한 노이즈를 추가하는 방법 이외에도 입력 x에 정규분포를 갖는 잡음(noise)을 원래의 벡터 값에 합하는 등 다양한 방법을 고려해 볼 수 있지만 본 논문에서는 참고문헌[9]에서 사용한 방법을 사용한다.
4-tf를 사용해 구현하였다. 한편 데이터 전처리 등 다양한 수치해석을 위해 싸이킷-런(scikit-learn) 버전 0.21.1을 사용하였다.
본 논문에서는 특별한 보안 이벤트가 발생되지 않은 일상의 네트워크 트래픽을 정상 트래픽으로 가정하고 이를 기준으로 네트워크 이상 탐지를 위해 비지도학습 오토엔코더를 활용하는 딥러닝 모델을 제시하고 NSL-KDD 데이터 셋을 사용하여 제안 모델의 네트워크 이상 검출 성능을 검증하였다. 한편, 본 논문에서는 네트워크 이상 여부를 판단하기 위해 오토엔코더의 재생 오류 값의 백분위 점수(percentile score)를 기준 값으로 사용하였다. 이때 백분위수(percentile rank)는 이상을 탐지하는 성능에 결정적인 역할을 하게 된다.

성능/효과

결국 ‘정상’과 ‘공격’에 대해 비교적 균형 잡힌 샘플 수를 보이는 KDDTest+ 결과를 반영하여 백분위 82%를 기준으로 관련 성능지표를 확인하는 것이 바람직하다(Table 2.).
규제를 전혀 반영하지 않은 (λ = 0) 모델과 비교해 규제가 반영된 모델이 훨씬 좋은 f1-점수(n=80%~90%)를 보임을 확인할 수 있다.
만약 우수한 보안 인프라를 보유하고 있다면, 정탐율(true positive)을 높이기 위해 낮은 백분위수를 선택하고 오탐을 포함한 더 많은 보안 경고 메시지를 분석해야만 할 것이다. 본 논문에서는 주요 하이퍼 파라미터 선정 과정을 통해 오토엔코더 레퍼런스 모델을 제안했으며, 백분위수 82th 백분위를 기준으로 KDDTest+와 KDDTest-21 시험 데이터 셋에 대해 각각 90.4% 그리고 89.0%의 f1-점수를 보였다. 따라서 본 논문에서 제시된 비지도학습에 의한 오토엔코더 모델은 네트워크 보안 분야에 실제적으로 적용 가능한 딥러닝 기술 사례가 될 수 있을 것이다.
일부 기존 연구들이 재생오류를 최댓값 혹은 가우시안 분포로 모델링하여 사용하는 경향이 있으나 이에 대한 근거가 절대적으로 부족한 상황이다. 본 연구진은 이들 재생오류가 파워-로(power-law) 분포 즉 heavy-tail 분포로 모델링되는 것을 확인하였으며 재생오류 기준 값 설정을 위한 수학적 접근을 진행하고 있다.
이들 결과 그림과 AE의 학습용 데이터 셋에 대한 결과(Fig.5.)와 비교하면 ‘정상’과 ‘공격’에 대한 RE 분포의 차이가 다소 줄어든 것을 볼 수 있지만, 여전히 두 샘플 집단에 대한 RE 분포의 차이가 존재하는 것을 재확인할 수 있다.

후속연구

0%의 f1-점수를 보였다. 따라서 본 논문에서 제시된 비지도학습에 의한 오토엔코더 모델은 네트워크 보안 분야에 실제적으로 적용 가능한 딥러닝 기술 사례가 될 수 있을 것이다.
따라서 이들 연구 결과를 실제 네트워크에 적용하기 위해서는 해당 네트워크에서 수집된 완벽하게(ground-truth) 레이블링된 적절한 개수의 균형잡힌 ‘정상’과 ‘공격’ 샘플수가 확보된 훈련용 데이터 셋이 반드시 필요하다.
은 층 수가 3인 deep AE 모델이 된다. 또한 규제 강도 역시 다양한 값에 따른 성능 변화를 보여줄 것이다. 본 논문에서는 deep AE의 규제강도 λ가 0.
따라서 본 기술을 실제 네트워크에 적용하기 위해서는 해당 도메인의 인적/물적 보안 인프라를 적절히 고려하여야 한다. 만약 우수한 보안 인프라를 보유하고 있다면, 정탐율(true positive)을 높이기 위해 낮은 백분위수를 선택하고 오탐을 포함한 더 많은 보안 경고 메시지를 분석해야만 할 것이다. 본 논문에서는 주요 하이퍼 파라미터 선정 과정을 통해 오토엔코더 레퍼런스 모델을 제안했으며, 백분위수 82th 백분위를 기준으로 KDDTest+와 KDDTest-21 시험 데이터 셋에 대해 각각 90.
본 논문에서는 오토엔코더의 자기 학습(self learning)에 사용되는 특별한 보안 이벤트가 발생하지 않은 일상의 네트워크 트래픽을 모두 정상으로 가정하고 있다. 하지만 현실적으로는 이상 트래픽이 포함될 수 있기 때문에 이에 대한 추가적인 분석이 필요하다. 즉 전체 트래픽 중에서 일부 이상 트래픽이 존재하는 환경을 구성하여 실험을 진행하고 있다.

질의응답

핵심어	질문	논문에서 추출한 답변
	AE는 훈련 데이터 셋 내에 존재하지 않아도 유사한 새로운 입력에 대해서 매우 높은 신뢰도로 입력을 재생하게 되는데 그 이유는 무엇인가?	예를 들어, 전력소모, 부하, 온도 등)를 학습하고 학습한 모델을 이용해 비정상적인 상태를 탐지하는 아이디어를 제안하였다. AE는 정상상태의 노드의 속성 값에 대해서는 RE를 최소화하도록 학습된다. 따라서 훈련 데이터 셋 내에는 존재하지 않지만 이들과 매우 유사한 새로운 입력에 대해서는 매우 높은 신뢰도로 이들 입력을 재생하게 될 것이다.
	기계학습 및 딥러닝 기술을 활용한 네트워크 이상 검출이 왜 관심을 받고 있는가?	인터넷 컴퓨팅 환경의 변화, 새로운 서비스 출현, 그리고 지능화되어 가는 해커들의 다양한 공격으로 인한 규칙 기반 침입탐지시스템의 한계점을 극복하기 위해 기계학습 및 딥러닝 기술을 활용한 네트워크 이상 검출(NAD: Network Anomaly Detection)에 대한 관심이 집중되고 있다. NAD를 위한 대부분의 기존 기계학습 및 딥러닝 기술은 '정상'과 '공격'으로 레이블링된 훈련용 데이터 셋을 학습하는 지도학습 방법을 사용한다.
	NAD를 위한 기존 기계학습 및 딥러닝 기술은 무엇을 사용하였는가?	인터넷 컴퓨팅 환경의 변화, 새로운 서비스 출현, 그리고 지능화되어 가는 해커들의 다양한 공격으로 인한 규칙 기반 침입탐지시스템의 한계점을 극복하기 위해 기계학습 및 딥러닝 기술을 활용한 네트워크 이상 검출(NAD: Network Anomaly Detection)에 대한 관심이 집중되고 있다. NAD를 위한 대부분의 기존 기계학습 및 딥러닝 기술은 '정상'과 '공격'으로 레이블링된 훈련용 데이터 셋을 학습하는 지도학습 방법을 사용한다. 본 논문에서는 공격의 징후가 없는 일상의 네트워크에서 수집할 수 있는 레이블링이 필요 없는 데이터 셋을 이용하는 비지도학습 오토 엔코더(AE: AutoEncoder)를 활용한 NAD 적용 가능성을 제시한다.

참고문헌 (20)

W. Liu, Z. Wang, X. Liu, N. Zeng, Y. Liu, and F.E. Alsaadi, "A Survey of Deep Neural Network Architectures and Their Applications," Neurocomputing, vol. 234, pp. 11-26, Apr. 2017.

상세보기
M. Ahmed, A.N. Mahmood, and J. Ju, "A survey of network anomaly detection techniques," Journal of Network and Computer Applications, vol. 60, pp. 19-31, Jan. 2016.

상세보기
M. Tavallaee, E. Bagheri, W. Lu, and A.A. Ghorbani, "A Detailed Analysis of the KDD CUP 99 Data Set," Proceedings of the 2009 IEEE Symposium on Computational Intelligence, pp. 1-6, Jul. 2009.
NSL-KDD dataset, Available on: https://www.unb.ca/cic/datasets/nsl.html, Mar. 2009.
D. Kwon, H. Kim, J. Kim, S.C. Suh, I. Kim, and K.J. Kim, "A survey of deep learning-based network anomaly detection," Cluster Computing, vol.27, pp. 949-961, Jan. 2019.
C. Yin, Y. Zhu, J. Fei, and X. He, "A deep learning approach for intrusion detection using recurrent neural networks," IEEE Access, pp. 21954-21961, Oct. 2017.
J.J. Davis and A.J. Clark, "Data preprocessing for anomaly based network intrusion detection: A review," Computers & Security, vol. 30, no. 6-7, pp. 353-375, Sep. 2011.

상세보기
H. Bourlard and Y. Kamp, "Auto-association by multilayer perceptron and singular value decomposition," Biological cybernetics, vol. 59, no. 4-5, pp. 291-294, Sep. 1988.

상세보기
P. Vincent, H. Larochelle, Y. Bengio, and P. Manzagol, "Extracting and Composing Robust Features with Denoising Autoencoders," Pro. of the 25th International Conference on Machine Learning, pp. 1096-1103, Jul. 2008.
A. Borghesi, A. Bartolini, M. Lombardi, M. Milano, and L. Benini, "Anomaly detection using autoencoders in high performance computing systems", In Proceedings of the AAAI Conference on Artificial Intelligence, vol. 33, pp. 9428-9433, Jul. 2019.
M. Sakurada and T. Yairi, "Anomaly Detection Using Autoencoders with Nonlinear Dimensionality Reduction," Proc. of MLSDA'14, pp. 4-11, Dec. 2014.
Z. Chen, C.K. Yeo, B.S Lee, and C.T. Lau, "Autoencoder-based Network Anomaly Detection," In 2018 Wireless Telecommunications Symposium, pp. 1-5, Apr. 2018.
F. Farahnakian and J. Heikkonen, "A deep auto-encoder based approach for intrusion detection system," Proceedings of the 20th International Conference on Advanced Communication Technology, pp. 178-183, Feb. 2018.
C. Ieracitano, A. Adeel, M. Gogate, K. Dashtipour, F.C. Morabito, H. Larijani, and A. Hussain, "Statistical analysis driven optimized deep learning system for intrusion detection," Proceedings of the International Conference on Brain Inspired Cognitive Systems, pp. 759-769, Jul. 2018.
R.C. Aygun and A.G. Yavuz, "Network Anomaly Detection with Stochastically Improved Autoencoder Based Models," Proc. of 2017 IEEE 4th International Conference on Cyber Security and Cloud Computing, pp. 193-198, Jun. 2017
A. Geron, Hands-On Machine Learning with Scikit-Learn, Keras & TensorFlow: Concepts, tools, and techniques to build intelligent systems, 2nd Edition, O'Reilly Media, 2019.
K. Kang, "Decision Tree Techniques with Feature Reduction for Network Anomaly Detection," Journal of the Korea Institute of Information Security and Cryptology, 29(4), pp. 795-805, Aug. 2019.
A. Ozgur and H. Erdem, "A review of KDD99 dataset usage in intrusion detection and machine learning between 2010 and 2015," PeerJ Preprints, vol. 4, Art. no. e1954, Apr. 2016.
D. Kwon, K. Natarajan, S.C. Suh, H. Kim, and J. Kim, "An Empirical Study on Network Anomaly Detection Using Convolutional Neural Networks," Proceedings of the IEEE 38th International Conference on Distributed Computing Systems, pp. 1595-1598, Jul. 2018.
C. Zhou and R.C. Paffenroth, "Anomaly Detection with Robust Deep Autoencoders," Proceedings of the 23rd ACM SIGKDD International Conference on Knowledge Discovery and Data Mining, pp. 665-674, Aug. 2017.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증