From Detection to Response: A Deep Learning and Retrieval-Augmented Generation Framework for Network Intrusion Mitigation

技術的概要：検出から対応まで

問題定義
機械学習に基づく侵入検知システム（IDS）は、ネットワーク攻撃の分類において高い精度を達成していますが、セキュリティアナリストの重要な運用上のニーズである「適切な対応の決定」に対処することに頻繁に失敗しています。現在の深層学習モデルは多くの場合「ブラックボックス」として機能し、決定ロジックを説明することなく予測ラベルを提供します。さらに、SHAP や LIME などの既存の説明可能 AI（XAI）技術は、影響を与える特徴を特定しますが、実行可能な緩和ガイダンスを提供するものではありません。加えて、NIST ガイドラインや MITRE ATT&CK などの権威あるサイバーセキュリティ知識源は、リアルタイムのインシデント中に手動で参照するには広範すぎます。本論文は、高精度な脅威検出と、構造化され、証拠に基づき、実行可能な対応戦略の生成との間のギャップに対処します。

手法
著者は、深層学習ベースの侵入検知と、検索拡張生成（RAG）パイプラインを統合した、統一されたエンドツーエンドのフレームワークを提案します。このシステムは、5 つのモジュール式ステージを通じて動作します。

1. データ取得と前処理: フレームワークは、2 つのベンチマークデータセット、CICIDS2018 と UNSW-NB15 を利用します。データセット間評価を可能にするため、統一された 66 次元の特徴空間が構築されます。カテゴリカル特徴はワンホットエンコーディングされ、次元のギャップを埋めるためにゼロパディングが適用されます。特徴解釈辞書は、技術的な特徴名を人間が読める説明とセキュリティ上の意味付けにマッピングします。
2. 信頼性較正 DNN 分類: 単一の多クラスモデルの代わりに、システムは「1 対他」戦略（良性対その他、DoS 対その他、DDoS 対その他）を使用して、3 つの独立して訓練されたバイナリ深層ニューラルネットワーク（DNN）のアンサンブルを採用します。
   • アーキテクチャ: モデルは ReLU 活性化関数を持つ全結合層を利用します。CICIDS2018 モデルは 3 つの隠れ層を使用し、UNSW-NB15 モデルは 4 つの隠れ層を使用し、バッチ正規化とドロップアウト正則化を組み込んでいます。
   • クラス不均衡の処理: 深刻なクラス不均衡（例：DoS トラフィックが UNSW-NB15 のわずか 0.64% を占める）に対処するため、システムはクラス重み付きバイナリ交差エントロピー損失、ランダムオーバーサンプリング、制御されたアンダーサンプリング、および F1 スコアに基づくモデル選択を採用します。
   • 出力: アンサンブルは、予測クラスとスカラーの信頼スコアを生成し、これはアナリストの優先順位付けを導く離散的な「SOC トリアージティア」（非常に高い、高い、中程度、低い）にマッピングされます。
3. 説明意識型プロンプト構築: 分類後、システムは勾配ベースのアトリビューションを使用して、最も影響力のある上位 5 つの特徴を抽出します。これらの特徴は、解釈辞書を通じて自然言語の説明にマッピングされます。その後、以下の要素を含む構造化されたプロンプトが組み立てられます。
   • 検出コンテキスト（攻撃クラス、信頼度、ティア）。
   • ネットワークフローメタデータ（IP アドレス、ポート、タイムスタンプ）。
   • 異常インジケーター（上位 5 つの特徴とその解釈）。
   • 明示的な引用要件を定義し、LLM をシニアサイバーセキュリティアナリストとして定義するシステム役割指示。
4. ハイブリッド RAG 検索: プロンプトは、NIST 特別出版物や MITRE ATT&CK を含む 14 の権威あるドキュメントから構築された知識ベースから関連ガイダンスを検索することで拡張されます。検索パイプラインはハイブリッドアプローチを使用します。
   • 語彙的検索: BM25 ランキング。
   • 意味的検索: FAISS とセンテンストランスフォーマーを使用した密ベクトル検索。
   • クエリ拡張: サイバーセキュリティ固有の類義語辞書が用語を拡張します（例：「DoS」を「リソース枯渇」に）。
   • 再ランク付け: クロスエンコーダーが上位候補を再ランク付けし、プロンプト用の最終的な上位 5 つのチャンクを選択します。
5. LLM ベースのレポート生成: ローカルに展開された LLaMA 3:8B モデル（Ollama を通じて）が、構造化されたインシデント対応レポートを生成します。レポートには、根拠、主要インジケーター、信頼性評価、脅威評価、推奨事項のセクションが含まれ、すべて検索された引用に基づいています。

主な貢献

1. 構造化プロンプト戦略: 一般的なクエリではなく、具体的な検出証拠（予測クラス、信頼度、上位 5 つの異常特徴）に LLM の推論を結合する新しい手法。
2. ハイブリッド検索パイプライン: BM25 キーワード検索、FAISS ベースの密ベクトル検索、クロスエンコーダーによる再ランク付けを組み合わせ、権威あるソースから関連する緩和戦略を抽出する検索システム。
3. エンドツーエンドの緩和フレームワーク: 攻撃を検知するだけでなく、構造化され、引用に基づいた緩和レポートを生成し、検出と対応の間のギャップを埋めるシステム。
4. 厳密な評価: BERTScore、ROUGE、BLEU 指標を使用して、RAG 強化出力を専門家によって書かれたグランドトゥルースおよびバニラ LLM ベースラインと比較する評価フレームワーク。

結果

• 検出性能: アンサンブル DNN は、CICIDS2018 データセットで 99.84% の精度、UNSW-NB15 データセットで 95.30% の精度を達成しました。特に、不均衡の激しい UNSW-NB15 データセットにおける DoS のリコールは、バランス調整介入の適用後、ベースラインの 0.30% から 97.6% に向上しました。
• 検索性能: ハイブリッド検索パイプラインは、平均逆順位（MRR）0.87、平均遅延 1.8 秒で 97% の成功率を達成しました。
• レポート品質: RAG 強化レポートは、すべての指標においてバニラ LLM 出力を大幅に上回りました。ベースラインと比較して、RAG システムは BERTScore F1 で 4.4% の改善、ROUGE-1 で 32.5% の増加、ROUGE-2 で 126.4% の増加、BLEU で 244.1% の増加を示しました。生成されたレポートは、一貫して NIST および MITRE ソースへの引用を含んでいました（それぞれ 93.3% および 86.7% の引用率）。

重要性
本論文は、そのフレームワークが、検出と実行可能な対応が切り離されている IDS 研究における永続的な制限を成功裡に克服したと主張しています。信頼できるサイバーセキュリティ知識に基づいた RAG パイプラインと深層学習検出を統合することで、このシステムは、正確であるだけでなく、説明可能で、文脈を認識し、セキュリティ運用センター（SOC）アナリストにとって運用上有用な緩和レポートを生成します。著者は、このアプローチが攻撃検出から効果的な対応までの時間を短縮し、それによってシステムが長期間中断するリスクを軽減すると強調しています。ローカルに展開された LLM の使用は、機密性の高いネットワークトラフィックデータを外部 API にルーティングすることに関連するプライバシーおよび規制上の懸念にも対処します。