A Novel Byte-Level Flow-to-Image Encoding Method for Network Intrusion Detection Systems

あなたが混雑した部屋で泥棒を見つけようとしているコンピュータを教える場面を想像してみてください。通常、セキュリティシステムは入室するすべての人に関する事実のリストを見ています。「身長：183cm、靴のサイズ：28cm、バッグを持っている」などです。これが現在、ほとんどのネットワーク侵入検知システム（IDS）が機能する方法です。彼らはネットワークトラフィックを、数字の長い平らなリスト（1 次元テーブル）として見ています。

この論文によると、問題点は、平らなリストを見ることは、ビーズの列からパターンを見つけようとして、それらを一つずつ見ることに似ているということです。ビーズが互いの関係を示すように配置されていないため、ビーズ同士がどのように結びついているかを見逃してしまう可能性があります。

以下に、研究者たちが何を行い、何を発見したかを簡単にまとめます。

大きなアイデア：リストを画像に変える

研究者たちは問いかけました。「もしリストを見るのをやめて、代わりに画像を見るようになったらどうなるでしょうか？」

彼らは、退屈なネットワークデータのリストを32x32 ピクセルの画像（小さく色とりどりの正方形）に変える新しい方法を考案しました。彼らはこれを「フロー・トゥ・イメージ・エンコーディング」と呼んでいます。

次のように考えてみてください。

• 古い方法（1 次元リスト）： 1 本の長い行に書かれたレシピを読むことを想像してください。材料同士がどのように関係しているかを見出すのは困難です。
• 新しい方法（2 次元画像）： その材料をキッチンのカウンター上に特定の模様で配置することを想像してください。すると、小麦粉が卵のすぐ隣にあり、砂糖がバターに近いことがわかります。この空間的な配置が、リストでは伝えられなかった物語を語ります。

彼らが画像をどのように作成したか

研究者たちは、単に数字をランダムに画像に押し込んだわけではありません。同じデータが常に同じ画像を作るように、非常に厳格で規則ベースの方法（決定論的）を使用しました。

1. 「逆 L 字型」のパス： 彼らは、温度や速度などの連続する数値を、画像上の逆さまの「L」字型に沿って、バイト単位で書き込みました。

   • 比喩： 秘密のメッセージを右下隅から書き始め、一直線に上まで行き、その後左に折れて上端を横切ることを想像してください。
   • トリック： 1 つの数値は 4 バイトのスペースを占有しますが、1 つのピクセルは 3 つの「色」（赤、緑、青）しか保持できないため、数値は 1 つのピクセルから次のピクセルへと溢れ出します。これにより、コンピュータは数値を理解するために、あるピクセルの「色」とその隣接するピクセルの「色」がどのように結びついているかを見ることを余儀なくされます。

2. カテゴリ用の「中央行」： 「はい/いいえ」や「タイプ」のデータ（例：「これは Windows システムか、それとも Linux システムか？」）については、それらを画像の真ん中に直線状に配置しました。

   • 比喩： これは、地図の中央にラベルを置いて、「カテゴリ」セクションが「数値」セクションとは別に常にどこにあるかを知ることができるようにすることと同じです。

3. 結果： すべてのネットワーク接続が、小さく固有の 32x32 画像になります。接続が正常であれば、画像はあるように見え、サイバー攻撃であれば、画像は異なるように見えます。

これがなぜ役立つのか

研究者たちは、2 つの有名なデータセット（NSL-KDD と UNSW-NB15）で、4 種類の異なる AI モデルを用いてこれをテストしました。彼らは、従来の「リスト」方式と、彼らの新しい「画像」方式を比較しました。

結果：

• 優れた視覚： 「リスト」を見ていた AI モデルよりも、「画像」を見ていた AI モデルの方が、攻撃を特定する能力がはるかに優れていました。
• 「珍しい泥棒」の問題： 古いシステムでは、AI は一般的な攻撃を特定するのは得意でしたが、特定の「ユーザーからルートへの」攻撃のような、稀で奇妙な攻撃を特定するのは非常に苦手でした。画像方式は、AI がこれらの稀なパターンをはるかに良く見るのを助けました。
  • あるデータセット（UNSW-NB15）では、二値検出の精度が最大 15.6%、特定の攻撃タイプの検出では 12.8% 向上しました。
  • もう一方のデータセット（NSL-KDD）では、約 3% から 3.5% 向上しました。
• 安定性： 画像方式はより一貫性がありました。AI は学習中に混乱したり、「揺らぎ」たりすることが少なくなりました。

注意点（限界）

この論文は、これがすべてに対する魔法の杖ではないことを認めています。

• 空白の空間： 一部のデータセットは画像を埋めるための数値が少なく、画像の一部が黒（空）のままになります。これにより、画像の情報密度が低下します。
• 固定された規則： 彼らは、その場所が最善であると確信しているからではなく、推測と規則に基づいてデータを特定の場所に配置しました。そのため、関連するデータの一部が画像の中で遠く離れてしまうことがあります。
• オフラインのみ： 彼らは、犯罪のビデオ録画のような記録されたデータでこれをテストしましたが、ライブのリアルタイムのセキュリティカメラ映像ではテストしていません。

結論

この論文は、ネットワークデータを小さく構造化された画像に変えることで、AI モデルに以前は平らなリストに隠れていたパターンを「見る」新しい方法を与えたと主張しています。これにより、セキュリティシステムは賢くなり、特に通常は隙間からすり抜けてしまう、こっそりとした稀な攻撃を捕捉する能力が向上します。彼らは、これがすべてのセキュリティ問題を解決するものでも、すべての現実世界のシナリオで機能するものでもないとは主張していませんが、ネットワークの安全性のために AI を訓練するための非常に有望な新しい方法を示しています。