[논문]비지도 학습 기반의 임베딩과 오토인코더를 사용한 침입 탐지 방법

이준우; 김강석

doi:10.3745/ktsde.2023.12.8.355

비지도 학습 기반의 임베딩과 오토인코더를 사용한 침입 탐지 방법
Intrusion Detection Method Using Unsupervised Learning-Based Embedding and Autoencoder 원문보기

정보처리학회논문지. KIPS transactions on software and data engineering. 소프트웨어 및 데이터 공학, v.12 no.8, 2023년, pp.355 - 364

이준우 (아주대학교 지식정보공학과) , 김강석 (아주대학교 사이버보안학과)

초록
AI-Helper

최근 지능화된 사이버 위협이 지속적으로 증가함에 따라 기존의 패턴 혹은 시그니처 기반의 침입 탐지 방식은 새로운 유형의 사이버 공격을 탐지하는데 어려움이 있다. 따라서 데이터 학습 기반 인공지능 기술을 적용한 이상 징후 탐지 방법에 관한 연구가 증가하고 있다. 또한 지도학습 기반 이상 탐지 방식은 학습을 위해 레이블 된 이용 가능한 충분한 데이터를 필요로 하기 때문에 실제 환경에서 사용하기에는 어려움이 있다. 최근에는 정상 데이터로 학습하고 데이터 자체에서 패턴을 찾아 이상 징후를 탐지하는 비지도 학습 기반의 방법에 대한 연구가 활발히 진행되고 있다. 그러므로 본 연구는 시퀀스 로그 데이터로부터 유용한 시퀀스 정보를 보존하는 잠재 벡터(Latent Vector)를 추출하고, 추출된 잠재 벡터를 사용하여 이상 탐지 학습 모델을 개발하는데 있다. 각 시퀀스의 특성들에 대응하는 밀집 벡터 표현을 생성하기 위하여 Word2Vec을 사용하였으며, 밀집 벡터로 표현된 시퀀스 데이터로부터 잠재 벡터를 추출하기 위하여 비지도 방식의 오토인코더(Autoencoder)를 사용하였다. 개발된 오토인코더 모델은 시퀀스 데이터에 적합한 순환신경망 GRU(Gated Recurrent Unit) 기반의 잡음 제거 오토인코더, GRU 네트워크의 제한적인 단기 기억문제를 해결하기 위한 1차원 합성곱 신경망 기반의 오토인코더 및 GRU와 1차원 합성곱을 결합한 오토인코더를 사용하였다. 실험에 사용된 데이터는 시계열 기반의 NGIDS(Next Generation IDS Dataset) 데이터이며, 실험 결과 GRU 기반의 오토인코더나, 1차원 합성곱 기반의 오토인코더를 사용한 모델보다 GRU와 1차원 합성곱을 결합한 오토인코더가 훈련 데이터로부터 유용한 잠재 패턴을 추출하기 위한 학습 시간적 측면에서 효율적이었고 이상 탐지 성능 변동의 폭이 더 작은 안정된 성능을 보였다.

Abstract ▼ AI-Helper

As advanced cyber threats continue to increase in recent years, it is difficult to detect new types of cyber attacks with existing pattern or signature-based intrusion detection method. Therefore, research on anomaly detection methods using data learning-based artificial intelligence technology is increasing. In addition, supervised learning-based anomaly detection methods are difficult to use in real environments because they require sufficient labeled data for learning. Research on an unsupervised learning-based method that learns from normal data and detects an anomaly by finding a pattern in the data itself has been actively conducted. Therefore, this study aims to extract a latent vector that preserves useful sequence information from sequence log data and develop an anomaly detection learning model using the extracted latent vector. Word2Vec was used to create a dense vector representation corresponding to the characteristics of each sequence, and an unsupervised autoencoder was developed to extract latent vectors from sequence data expressed as dense vectors. The developed autoencoder model is a recurrent neural network GRU (Gated Recurrent Unit) based denoising autoencoder suitable for sequence data, a one-dimensional convolutional neural network-based autoencoder to solve the limited short-term memory problem that GRU can have, and an autoencoder combining GRU and one-dimensional convolution was used. The data used in the experiment is time-series-based NGIDS (Next Generation IDS Dataset) data, and as a result of the experiment, an autoencoder that combines GRU and one-dimensional convolution is better than a model using a GRU-based autoencoder or a one-dimensional convolution-based autoencoder. It was efficient in terms of learning time for extracting useful latent patterns from training data, and showed stable performance with smaller fluctuations in anomaly detection performance.

주제어

표/그림 (23)

그림 Fig. 1. Overall Workflow for the Unsupervised based Anomaly Detection Method Performed in This Study
표 Table 1. Number of Normal and Abnormal Samples According to Sequence Length
그림 Fig. 2. GRU-DAE Model
표 Table 2. Number of Training, Validation, and Test Samples According to Sequence Length Used in the Experiment
그림 Fig. 3. Conv1d-AE Model
그림 Fig. 4. Conv1d-GRU-AE Model
표 Table 3. Experimental Environment
표 Table 4. Hyperparameters Used in the Experiment
표 Table 5. Mean and Variance of F1-Scores of GRU-DAE and Conv1d-AE Models
표 Table 6. The highest F1-Score for GRU-DAE Model and Cvon1d-AE Model According to the Hyperparameters Used in the Experiment
표 Table 7. Mean and Variance of F1-Scores of GRU-DAE and Conv1d-AE Models
그림 Fig. 5. Average of Accuracy for GRU-DAE, Conv1d-AE, and Conv1d-GRU-AE Models According to Sequence Length
그림 Fig. 6. Average of F1-Scores for GRU-DAE, Conv1d-AE, and Conv1d-GRU-AE Models According to Sequence Length
그림 Fig. 7. Average of AUROC Scores for GRU-DAE, Conv1d-AE, and Conv1d-GRU-AE Models According to Sequence Length
그림 Fig. 8. Average of recalls for GRU-DAE, Conv1d-AE, and Conv1d-GRU-AE models according to sequence length
그림 Fig. 9. Average of Precisions for GRU-DAE, Conv1d-AE, and Conv1d-GRU-AE Models According to sequence length
그림 Fig. 10. Average Training Time for Each Model to Extract Latent Vectors from Training Data Samples According to Sequence Length
그림 Fig. 11. Highest F1-Score in GRU-DAE, Conv1d-AE, and Conv1d-GRU-AE Models
그림 Fig. 12. Highest AUROC Score in GRU-DAE, Conv1d-AE, and Conv1d-GRU-AE Models
그림 Fig. 13. Training Time of Models with the Highest F1-Score
표 Table 8. Hyperparameters of Each Model When F1-Score and AUROC are Highest (sequence length = 20)
표 Table 9. Hyperparameters of Each Model When F1-Score and AUROC are Highest (sequence length = 30)
표 Table 10. Hyperparameters of Each Model When F1-Score and AUROC are Highest (sequence length = 50)

참고문헌 (26)

J. Song, H. Takakura, and Y. Kwon, "A generalized feature？extraction scheme to detect 0-day attacks via IDS alerts,"？International Symposium on Applications and the Internet, 2008. https://doi.org/10.1109/SAINT.2008.85？
E. Eskin, A. Arnold, M. Prerau, L. Portnoy, and S. Stolfo,？"A geometric framework for unsupervised anomaly detection," Applications of Data Mining in Computer Security,？Vol.6, pp.77-101, 2002. Springer, Boston, MA, https://doi.org/10.1007/978-1-4615-0953-0_4？
S. Selva Birunda and R. Kanniga Devi, "A review on word？embedding techniques for text classification," Innovative？Data Communication Technologies and Application, Vol.？59, pp.267-281, Springer, Singapore, 2021. https://doi.org/10.1007/978-981-15-9651-3_23？
T. Mikolov, K. Chen, G. Corrado, and J. Dean, "Efficient？estimation of word representations in vector space," arXiv？preprint arXiv:1301.3781v3, 2013. https://doi.org/10.48550/arXiv.1301.3781？
M. A. Kramer, "Nonlinear principal component analysis？using autoassociative neural networks," AIChE Journal,？Vol.37, No.2, pp.233-243, 1991. https://doi.org/10.1002/aic.690370209？

상세보기
F. T. Liu, K. M. Ting, and Z. Zhou, "Isolation forest," Eighth？IEEE International Conference on Data Mining, pp.413-422, 2008. Pisa, https://doi.org/10.1109/ICDM.2008.17？
W. Haider, J. Hua, J. Slaya, B. P. Turnbull, and Y. Xieb,？"Generating realistic intrusion detection system dataset？based on fuzzy qualitative modeling," Journal of Network？and Computer Applications, Vol.87, No.1, pp.185-192,？2017. https://doi.org/10.1016/j.jnca.2017.03.018？

상세보기
M. M. Breunig et al., "LOF: Identifying density-based local？outliers," Proceedings of the 2000 ACM SIGMOD International Conference on Management of Data, Dallas Texas,？USA, 2000. https://doi.org/10.1145/342009.335388？
Y. Chen, X. S. Zhou, and T. S. Huang, "One-class SVM for？learning in image retrieval," Proceedings of International？Conference on Image Processing, Vol.1, pp.34-37, 2001.？https://doi.org/10.1109/ICIP.2001.958946？
L. Ruff et al., "Deep one-class classification," Proceedings？of the 35th International Conference on Machine Learning？(PMLR), Vol.80, pp.4393-4402, 2018. https://proceedings.mlr.press/v80/ruff18a.html？
C. Baur et al., "Deep autoencoding models for unsupervised anomaly segmentation in brain MR images," International MICCAI Brainlesion Workshop, pp.161-169,？Granada Spain, 2018. https://doi.org/10.1007/978-3-030-11723-8_16？
P. Bergmann et al., "Improving unsupervised defect segmentation by applying structural similarity to autoencoders," arXiv preprint arXiv:1807.02011v3, 2018.？https://doi.org/10.48550/arXiv.1807.02011？
S. Pidhorskyi, R. Almohsen, D. A. Adjeroh, and G. Doretto,？"Generative probabilistic novelty detection with adversarial autoencoders," Proceedings of the 32nd International？Conference on Neural Information Processing Systems？(NeurIPS 2018), pp.6823-6834, Montreal Canada, Dec.？2018. https://dl.acm.org/doi/10.5555/3327757.3327787？
T. Kieu, B. Yang, C. Guo, and C. S. Jensen, "Outlier detection for time series with recurrent autoencoder ensembles," Proceedings of the 28th International Joint Conference on Artificial Intelligence (IJCAI-19), pp.2725-2732,？Macao China, Aug. 2019. https://doi.org/10.24963/ijcai.2019/378？
K. Sadaf and J. Sultana, "Intrusion detection based on autoencoder and isolation forest in fog computing," IEEE？Access, Vol.8, pp.167059-167068, 2020. https://doi.org/10.1109/ACCESS.2020.3022855？

상세보기
G. Andresini, A. Appice, N. D. Mauro, C. Loglisci, and D.？Malerba, "Multi-channel deep feature learning for intrusion detection," IEEE Access, Vol.8, pp.53346-53359, 2020.？https://doi.org/10.1109/ACCESS.2020.2980937？

상세보기
C. Kim, M. Jang, S. Seo, K. Park, and P. Kang, "Intrusion？detection based on sequential information preserving log？embedding methods and anomaly detection algorithms,"？IEEE Access, Vol.9, pp.58088-58101, 2021. https://doi.org/10.1109/ACCESS.2021.3071763？

상세보기
S. Ranga and M. N. Guptha, "Log anomaly detection using？sequential convolution neural networks and Dual-LSTM？model," SN Computer Science, Vol.4, No.3, 2023. https://doi.org/10.1007/s42979-023-01676-6？

상세보기
W. Tang, C. M. Vian, Z. Tang, and B. Yang, "Anomaly detection of core failures in die casting X-ray inspection？images using a convolutional autoencoder," Machine Vision？and Application, Vol.32, No.4, pp.1-17, 2021. https://doi.org/10.1007/s00138-021-01226-1？

상세보기
M. S. Elsayed et al., "Network anomaly detection using？LSTM based autoencoder," Proceedings of the 16th ACM？Symposium on QoS and Security for Wireless and Mobile？Networks, pp.37-45, Alicante, Spain, Nov. 2020. https://doi.org/10.1145/3416013.3426457？
M. A. Kabir and X. Luo, "Unsupervised learning for network flow based anomaly detection in the era of deep？learning," IEEE Sixth International Conference on Big Data？Computing Service and Applications (BigDataService),？pp.165-168, Oxford, UK, 2020. https://doi.org/10.1109/BigDataService49289.2020.00032？
M. Aljanabi et al., "Intrusion detection systems, issues,？challenges, and needs," International Journal of Computational Intelligence Systems, Vol.14, No.1, pp.560-571,？2021. https://doi.org/10.2991/ijcis.d.210105.001？

상세보기
J. Chung, C. Gulcehre, K. Cho, and Y. Bengio, "Empirical？evaluation of gated recurrent neural networks on sequence？modeling," Presented in NIPS 2014 Deep Learning and？Representation Learning Workshop, arXiv preprint arXiv:？1412.3555, 2014. https://doi.org/10.48550/arXiv.1412.3555？
S. Hochreiter and J. Schmidhuber, "Long short-term memory," Neural Computation, Vol.9, No.8, pp.1735-1780,？1997. https://doi.org/10.1162/neco.1997.9.8.1735？

상세보기
R. Chalapathy, A. K. Menon, and S. Chawla, "Anomaly？detection using one-class neural networks," arXiv preprint？arXiv:1802.06360, 2019. https://doi.org/10.48550/arXiv.1802.0636？
A. Vaswani et al., "Attention is all you need," 31st Conference on Neural Information Processing Systems (NIPS？2017), Long Beach, CA, USA, 2017. https://doi.org/10.48550/arXiv.1706.03762

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증