비지도 학습 기반의 임베딩과 오토인코더를 사용한 침입 탐지 방법 (Intrusion Detection Method Using Unsupervised Learning-Based Embedding and Autoencoder)

서지정보

· 발행기관 : 한국정보처리학회
· 수록지 정보 : 정보처리학회 논문지 / 12권 / 8호 / 355 ~ 364페이지
· 저자명 : 이준우, 김강석

초록

최근 지능화된 사이버 위협이 지속적으로 증가함에 따라 기존의 패턴 혹은 시그니처 기반의 침입 탐지 방식은 새로운 유형의 사이버 공격을탐지하는데 어려움이 있다. 따라서 데이터 학습 기반 인공지능 기술을 적용한 이상 징후 탐지 방법에 관한 연구가 증가하고 있다. 또한 지도학습기반 이상 탐지 방식은 학습을 위해 레이블 된 이용 가능한 충분한 데이터를 필요로 하기 때문에 실제 환경에서 사용하기에는 어려움이 있다.
최근에는 정상 데이터로 학습하고 데이터 자체에서 패턴을 찾아 이상 징후를 탐지하는 비지도 학습 기반의 방법에 대한 연구가 활발히 진행되고있다. 그러므로 본 연구는 시퀀스 로그 데이터로부터 유용한 시퀀스 정보를 보존하는 잠재 벡터(Latent Vector)를 추출하고, 추출된 잠재 벡터를사용하여 이상 탐지 학습 모델을 개발하는데 있다. 각 시퀀스의 특성들에 대응하는 밀집 벡터 표현을 생성하기 위하여 Word2Vec을 사용하였으며,밀집 벡터로 표현된 시퀀스 데이터로부터 잠재 벡터를 추출하기 위하여 비지도 방식의 오토인코더(Autoencoder)를 사용하였다. 개발된 오토인코더모델은 시퀀스 데이터에 적합한 순환신경망 GRU(Gated Recurrent Unit) 기반의 잡음 제거 오토인코더, GRU 네트워크의 제한적인 단기 기억문제를해결하기 위한 1차원 합성곱 신경망 기반의 오토인코더 및 GRU와 1차원 합성곱을 결합한 오토인코더를 사용하였다. 실험에 사용된 데이터는시계열 기반의 NGIDS(Next Generation IDS Dataset) 데이터이며, 실험 결과 GRU 기반의 오토인코더나, 1차원 합성곱 기반의 오토인코더를 사용한모델보다 GRU와 1차원 합성곱을 결합한 오토인코더가 훈련 데이터로부터 유용한 잠재 패턴을 추출하기 위한 학습 시간적 측면에서 효율적이었고이상 탐지 성능 변동의 폭이 더 작은 안정된 성능을 보였다.

영어초록

As advanced cyber threats continue to increase in recent years, it is difficult to detect new types of cyber attacks with existing patternor signature-based intrusion detection method. Therefore, research on anomaly detection methods using data learning-based artificialintelligence technology is increasing. In addition, supervised learning-based anomaly detection methods are difficult to use in realenvironments because they require sufficient labeled data for learning. Research on an unsupervised learning-based method that learnsfrom normal data and detects an anomaly by finding a pattern in the data itself has been actively conducted. Therefore, this study aimsto extract a latent vector that preserves useful sequence information from sequence log data and develop an anomaly detection learningmodel using the extracted latent vector. Word2Vec was used to create a dense vector representation corresponding to the characteristicsof each sequence, and an unsupervised autoencoder was developed to extract latent vectors from sequence data expressed as dense vectors.
The developed autoencoder model is a recurrent neural network GRU (Gated Recurrent Unit) based denoising autoencoder suitable forsequence data, a one-dimensional convolutional neural network-based autoencoder to solve the limited short-term memory problem thatGRU can have, and an autoencoder combining GRU and one-dimensional convolution was used. The data used in the experiment istime-series-based NGIDS (Next Generation IDS Dataset) data, and as a result of the experiment, an autoencoder that combines GRUand one-dimensional convolution is better than a model using a GRU-based autoencoder or a one-dimensional convolution-basedautoencoder. It was efficient in terms of learning time for extracting useful latent patterns from training data, and showed stableperformance with smaller fluctuations in anomaly detection performance.

참고자료

· 없음