A Comparative Study on the Classification of the Imbalanced Intrusion Detection Dataset Based on Deep Learning
Jae-Hyun Seo · Journal of Korean institute of intelligent systems · 2018
침입탐지 시스템의 네트워크 트래픽 데이터를 사용하여 공격 유형을 분류하기 위한 다양한 시도가 있어왔다. 최근에 많은 연구자들은 새로운 공격 유형을 탐지하기 위하여 서명 (signatures) 기반의 탐지 방법과 인공지능 기반의 탐지 방법을 함께 사용한다. 침입탐지 데이터 셋을 사용한 공격 유형 분류에서 클래스 불균형 문제를 다루는 것은 쉽지 않다. 주요 클래스와 희소 클래스 간의 샘플 수의 차가 클수록 많은 샘플을 가진 클래스 쪽으로 분류되는 경향이 있다. 따라서 다수 클래스와 희소 클래스 간의 샘플 수를 적절히 조절하는 방법이 필요하다. 본 연구에서는 SMOTE (Synthetic Minority Over-sampling Technique) 기법을 사용하여 희소 클래스의 샘플 수를 증가시키는 방법을 사용한다. 실험 데이터 셋은 제3회 국제 지식 발견 및 데이터 마이닝 도구 경진 대회에 사용된 KDD CUP 1999 데이터 셋을 사용한다. 기계 학습을 사용한 실험 결과와 딥러닝을 사용한 실험 결과를 비교하여 제안 방법의 효율이 높음을 보이고자 한다. 기존 연구에서 k-NN (k-Nearest Neighbor), SVM (Support Vector Machine) 및 의사결정트리를 사용한 공격 유형 분류 실험을 하였고, 그 중 SVM 알고리즘을 사용한 실험이 가장 우수한 결과를 보였다. 의사결정 트리를 사용한 실험은 Probe 클래스 분류에 가장 효과적이었다. MLP (Multi-Layer Perceptron) 알고리즘을 사용한 실험 결과는 다른 알고리즘을 사용한 실험 결과보다 상대적으로 좋지 않은 결과를 보였다. 시계열 기반의 데이터 분류에 효과적인 RNN-LSTM (Recurrent Neural Network - Long Short-Term Memory) 알고리즘은 다른 알고리즘보다 우수하거나 유사한 수준의 결과를 보였다.