본문 바로가기
KERD
논문KCI 등재

마이터 어택과 머신러닝을 이용한 UNSW-NB15 데이터셋 기반 유해 트래픽 분류

Malicious Traffic Classification Using Mitre ATT&CK and Machine Learning Based on UNSW-NB15 Dataset

구자환|원동호|윤동현
한국정보처리학회|2023.02|정보처리학회 논문지 (The Transactions of the Korea Information Processing Society)|제12권 제2호|pp. 99-110

2

조회

0

다운로드

0

인용

0

참고문헌

키워드

머신러닝Machine Learning마이터 어택UNSW-NB15네트워크 트래픽 분류네트워크 보안 관제Mitre ATT&CKNetwork Traffic ClassificationNetwork Security Monitoring
주제분류컴퓨터학

초록

본 연구는 현 보안 관제 시스템이 직면한 실시간 트래픽 탐지 문제를 해결하기 위해 사이버 위협 프레임워크인 마이터 어택과 머신러닝을 이용하여유해 네트워크 트래픽을 분류하는 방안을 제안하였다. 마이터 어택 프레임워크에 네트워크 트래픽 데이터셋인 UNSW-NB15를 적용하여 라벨을변환 후 희소 클래스 처리를 통해 최종 데이터셋을 생성하였다. 생성된 최종 데이터셋을 사용하여 부스팅 기반의 앙상블 모델을 학습시킨 후 이러한앙상블 모델들이 다양한 성능 측정 지표로 어떻게 네트워크 트래픽을 분류하는지 평가하였다. 그 결과 F-1 스코어를 기준으로 평가하였을 때 희소클래스 미처리한 XGBoost가 멀티 클래스 트래픽 환경에서 가장 우수함을 보였다. 학습하기 어려운 소수의 공격클래스까지 포함하여 마이터 어택라벨 변환 및 오버샘플링처리를 통한 머신러닝은 기존 연구 대비 차별점을 가지고 있으나, 기존 데이터셋과 마이터 어택 라벨 간의 변환 시 완벽하게일치할 수 없는 점과 지나친 희소 클래스 존재로 인한 한계가 있음을 인지하였다. 그럼에도 불구하고 B-SMOTE를 적용한 Catboost는 0.9526의분류 정확도를 달성하였고 이는 정상/비정상 네트워크 트래픽을 자동으로 탐지할 수 있을 것으로 보인다.

Abstract

This study proposed a classification of malicious network traffic using the cyber threat framework(Mitre ATT&CK) and machine learningto solve the real-time traffic detection problems faced by current security monitoring systems. We applied a network traffic dataset calledUNSW-NB15 to the Mitre ATT&CK framework to transform the label and generate the final dataset through rare class processing. Afterlearning several boosting-based ensemble models using the generated final dataset, we demonstrated how these ensemble models classifynetwork traffic using various performance metrics. Based on the F-1 score, we showed that XGBoost with no rare class processing isthe best in the multi-class traffic environment. We recognized that machine learning ensemble models through Mitre ATT&CK labelconversion and oversampling processing have differences over existing studies, but have limitations due to (1) the inability to matchperfectly when converting between existing datasets and Mitre ATT&CK labels and (2) the presence of excessive sparse classes. Nevertheless,Catboost with B-SMOTE achieved the classification accuracy of 0.9526, which is expected to be able to automatically detectnormal/abnormal network traffic.

참고문헌 (29)

  1. "Visual Networking Index: Global Mobile Data Traffic Forecast Update 2017-2022"[URL]
  2. "Cyberwarfare in the Russo-Ukraine War: Evaluation and Implications"[URL]
  3. "Operational Rules for Cybersecurity (Goverment Rule)"[URL]
  4. H. Hwang, "Trend and issue dynamic analysis for malware", Proceedings of the Korea Information Processing Society Conference, pp.418~420 (2015), The KIPS
  5. J. W. Ji, "Problems of cyber security control system and the application of machine learning technology", Review of Korea Institue of Information Security and Cryptology, 31(3), pp.13~19 (2021)
  6. 김근혜, "정보보안 종사자의 조직갈등과 직무이탈 의도에 관한 연구", 정보보호학회논문지, 29(2), pp.451~463 (2019), 한국정보보호학회[DOI]
  7. "Mitre ATT&CK"[URL]
  8. T. Chen, "Xgboost: A scalable tree boosting system", Proceedings of the 22nd ACM SIGKDD International Conference on Knowledge Discovery and Data Mining, pp.785~794 (2016), ACM SIGKDD
  9. G. Ke, "Lightgbm : A highly efficient gradient boosting decision tree", Advances in Neural Information Processing Systems, 30 (2017), NIPS
  10. A. V. Dorogush, "CatBoost:gradient boosting with categorical features support", arXiv preprint arXiv:1810.11363, ~
  11. M. Nour, "UNSW-NB15: A comprehensive data set for network intrusion detection systems (UNSW-NB15network data set)", 2015 Military Communications and Information Systems Conference (MilCIS), pp.1~6 (2015), IEEE
  12. 서인혁, "CNN 기반의 실시간 DNS DDoS 공격 탐지 시스템", 정보처리학회논문지. 컴퓨터 및 통신시스템, 6(3), pp.135~142 (2017), 한국정보처리학회[DOI]
  13. M. Hammad, "Intrusion detection system using feature selection with clustering and classification machine learning algorithms on the unswnb15 dataset", 2020 International Conference on Innovation and Intelligence for Informatics, Computing and Technologies (3ICT), pp.1~6 (2020), IEEE
  14. S. S. Kim, "Intrusion prediction using long short-term memory deep learning with UNSWNB15", 2021 IEEE, 2021, ~[DOI]
  15. P. Singh, "Edge-detect : Edge-centric network intrusion detection using deep neural network", 2021 IEEE 18th Annual Consumer Communications & Networking Conference (CCNC) (2021), IEEE
  16. Y. H. Lee, "A study of cyber attacks and recent defense system : DDoS detection and applying deep learning", Proceedings of the Korea Information Processing Society Conference, pp.302~305 (2017), The KIPS
  17. P. D. Yoon, "Malicious traffic detection using ensemble learning based on UNSW-NB15 dataset", 2021 KICS Winter Conference (2021), KICS
  18. 이대범, "특징선택 기법에 기반한 UNSW-NB15 데이터셋의 분류 성능 개선", 한국융합학회논문지, 10(5), pp.35~42 (2019), 한국융합학회[DOI]
  19. R. Malhotra, "An empirical study to investigate oversampling methods for improving software defect prediction using imbalanced data", Neurocomputing, 343, pp.120~140 (2019)
  20. R. Mohammed, "Machine learning with oversampling and undersampling techniques: Overview study and experimental results", 202011th International Conference on Information and Communication Systems (ICICS), pp.243~248 (2020), IEEE
  21. N. V. Chawla, "SMOTE : Synthetic minority over-sampling technique", Journal of Artificial Intelligence Research, 16, pp.321~357 (2002)
  22. H. He, "ADASYN : Adaptive synthetic sampling approach for imbalanced learning", 2008 IEEE International Joint Conference on Neural Networks (IEEE World Congress on Computational Intelligence), pp.1322~1328 (2008), IEEE
  23. H. Han, "Borderline-SMOTE : A new over-sampling method in imbalanced data sets learning", International Conference on Intelligent Computing (2005), Springer
  24. "Cyber Kill Chain"[URL]
  25. 윤영인, "APT 공격 사례 분석을 통한 사이버 킬체인과 TTP에 대한 연구", 융합보안 논문지, 20(4), pp.91~101 (2020), 한국융합보안학회
  26. J. Wang, "GTC forest : An ensemble method for network structured data classification", 2018 14th International Conference on Mobile Ad-Hoc and Sensor Networks (MSN), pp.81~85 (2018), IEEE
  27. T. Akiba, "Optuna : A next-generation hyperparameter optimization framework", Proceedings of the 25th ACM SIGKDD International Conference on Knowledge Discovery & Data Mining, pp.2623~2631 (2019), ACM SIGKDD
  28. E. Al Daoud, "Comparison between XGBoost, LightGBM and CatBoost using a home credit dataset", International Journal of Computer and Information Engineering, 13(1), pp.6~10 (2019)
  29. 홍준혁, "인공지능기반 보안관제 구축 및 대응 방안", 한국콘텐츠학회 논문지, 21(1), pp.531~540 (2021), 한국콘텐츠학회[DOI]

관련 논문AI추천

LightGBM을 활용한 패킷 페이로드 분석 기반의 침입탐지시스템김건남, 김한석, 이수진한국컴퓨터정보학회 · 한국컴퓨터정보학회논문지2023 · 제28권 제6호클래스 불균형 데이터에 적합한 기계 학습 기반 침입 탐지 시스템김종현, 김현주, 박기남, 정윤경, 현상원한국정보보호학회 · 정보보호학회논문지2017 · 제27권 제6호네트워크 트래픽 데이터의 희소 클래스 분류 문제 해결을 위한 전처리 연구김진국, 류경준, 박정찬, 신동규, 신동일한국정보처리학회 · 정보처리학회 논문지2020 · 제9권 제12호암호화 공격 트래픽 분석을 위한 딥러닝 모델의 성능 비교 연구김태훈, 김환국한국정보보호학회 · 정보보호학회논문지2025 · 제35권 제6호네트워크 침입탐지에서 데이터 불균형을 고려한 균형 랜덤포레스트의 효과 : NSL-KDD 데이터셋을 중심으로윤한성(사)디지털산업정보학회 · (사)디지털산업정보학회 논문지2024 · 제20권 제4호기계학습 기반 IDS 보안이벤트 분류 모델의 정확도 및 신속도 향상을 위한 실용적 feature 추출 연구권태웅, 송중석, 신익수, 최장원한국정보보호학회 · 정보보호학회논문지2018 · 제28권 제2호

이 간행물의 다른 논문 (4건)

딥러닝과 머신러닝을 이용한 아파트 실거래가 예측김학현, 유환규, 오하영pp. 59-76딥러닝을 이용한 농경지 팜맵 판독 적용 방안정남수, 위성승, 신용태, 이원석pp. 77-82Stack-Attention을 이용한 흐릿한 영상 강화 기법조석제, 이광일, 박채림pp. 83-90이미지 이어붙이기를 이용한 인간-객체 상호작용 탐지 데이터 증강이상백, 이규철pp. 91-98
원문 보기