Towards understanding alerts raised by unsupervised network intrusion detection systems
Vers la compréhension des alertes levées par des systèmes de détection d'intrusion réseau non-supervisée
Résumé
The use of Machine Learning for anomaly detection in cyber security-critical applications, such as intrusion detection systems, has been hindered by the lack of explainability. Without understanding the reason behind anomaly alerts, it is too expensive or impossible for human analysts to verify and identify cyber-attacks. Our research addresses this challenge and focuses on unsupervised network intrusion detection, where only benign network traffic is available for training the detection model. We propose a novel post-hoc explanation method, called AE-pvalues, which is based on the p-values of the reconstruction errors produced by an Auto-Encoder-based anomaly detection method. Our work identifies the most informative network traffic features associated with an anomaly alert, providing interpretations for the generated alerts. We conduct an empirical study using a large-scale network intrusion dataset, CICIDS2017, to compare the proposed AE-pvalues method with two state-of-the-art baselines applied in the unsupervised anomaly detection task. Our experimental results show that the AE-pvalues method accurately identifies abnormal influential network traffic features. Furthermore, our study demonstrates that the explanation outputs can help identify different types of network attacks in the detected anomalies, enabling human security analysts to understand the root cause of the anomalies and take prompt action to strengthen security measures.
L'utilisation du Machine Learning pour la détection d'anomalie dans les applications en cybersécurité, comme les systèmes de détection d'intrusion, a été entravée par le manque d'explication. Sans comprendre la raison derrière les alertes, il est trop coûteux ou impossible pour les analystes humains de vérifier et d'identifier les cyberattaques associées. Notre travail répond à ce défi et se concentre sur la détection d'intrusion réseau non-supervisée, où seul le trafic réseau bénin est disponible pour l'apprentissage du modèle de détection. Nous proposons une nouvelle méthode d'explication post-hoc, appelée AE-pvalues, qui repose sur les valeur-p des erreurs de reconstruction produites par une méthode de détection d'anomalie utilisant un Auto-Encoder. Notre travail identifie les caractéristiques du trafic réseau les plus informatives associées à une anomalie ce qui permet de fournir des explications sur les alertes générées. Nous menons une étude empirique sur le jeu de données de détection d'intrusion réseau CICIDS2017 afin de comparer la méthode proposée AE-pvalues avec deux méthodes de références de l'état de l'art appliquées à la tâche de détection d'anomalie non-supervisée. Nos résultats expérimentaux montrent que la méthode AE-pvalues identifie avec précision les caractéristiques réseau anormales. De plus, notre étude démontre que les explications fournies peuvent aider à identifier les différents types d'attaques réseau parmi les anomalies détectées. Ensuite, cela peut permettre aux analystes de sécurité de comprendre plus rapidement la raison des anomalies et prendre des mesures pour renforcer la sécurité.
Domaines
Cryptographie et sécurité [cs.CR]
Fichier principal
2023-Lanvin_et_al-Towards_Understanding_Alerts_raised_by_Unsupervised_Network_Intrusion_Detection_Systems-preprint.pdf (3.04 Mo)
Télécharger le fichier
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|
