PLAA: Packet-level Adversarial Attacks in Network Traffic Detection

技術要約：PLAA: ネットワークトラフィック検出におけるパケットレベルの敵対的攻撃

問題提起
深層ニューラルネットワーク（DNN）は、その高い分類精度により、ネットワーク型侵入検知システム（NIDS）への導入が進んでいます。しかし、これらのシステムは、検知を回避するように設計された悪意のあるトラフィックを生成する敵対的攻撃に対して脆弱です。既存の敵対的攻撃手法の多くは、コンピュータビジョン（CV）の技術をNIDSドメインに適応させようとしますが、画像データとネットワークトラフィック間の根本的な違いを見落としています。この適応は、以下の2つの決定的な問題を引き起こします。

1. 存在性の問題： ネットワークトラフィックの特徴量（例：平均パケット長、総パケット数）は相互に依存しています。フローレベルの統計的特徴を直接修正したり、これらの依存関係を考慮せずに摂動を加えたりすると、統計的に無効であったり、実際のネットワーク環境では生成不可能なトラフィックとなることがよくあります。
2. 攻撃セマンティクスの問題： 従来の敵対的修正は、検知を回避することには成功するかもしれませんが、元の攻撃のセマンティクス（意味論）を破壊してしまいます。例えば、DoS攻撃は高いトラフィックレートに依存しています。もし、検知を回避するために敵対的な修正によってこのレートを減少させた場合、そのトラフィックはもはやDoS攻撃としての機能を果たさなくなります。

特徴量のロック、生成後のプロトコル調整、あるいはプロトコルベースのリンケージ変換といった現在の緩和策は、攻撃性能の制限、有効性の低下、あるいは専門知識やシステム固有のカスタマイズへの強い依存といった課題を抱えています。

手法：PLAA
本論文では、生成プロセスをフローレベルの統計量からパケットレベルの特徴量へとシフトさせることで、存在性とセマンティクスの問題に対処する新しいフレームワークであるPLAA（Packet-level Adversarial Attacks）を提案します。コアとなる手法は、強化学習（RL）フレームワーク、具体的にはアクター・クリティック（Actor-Critic）アーキテクチャを用いて、敵対的トラフィックを逐次的に構築することです。

• パケットレベルの生成： フローレベルの統計的特徴を直接生成するのではなく、エージェントはパケットを一つずつ生成します。各パケットは、4つの基本特徴量（ヘッダー長 $h_i$、ペイロード長 $p_i$、パケット間間隔 $t_i$、フラグ $f_i$）によって定義されます。これらは（正規化またはワンホットエンコーディングを通じて）エンコードされ、NIDSで使用されるフローレベルの統計的特徴を形成します。このアプローチにより、生成されるトラフィックが本質的に妥当であり、実現可能であることを保証します。
• 状態、行動、および報酬：
  • 状態 ($S_i$): これまでに生成されたパケットのシーケンスから導出された、現在のフローレベルの統計的特徴。
  • 行動 ($A_i$): 次のパケットを生成するために必要なパラメータ（$h_i, p_i, t_i, f_i$）。行動空間は、妥当性を確保するためにネットワークプロトコルの知識によって制約されています。
  • 報酬関数 ($R_i$): エージェントを導く複合報酬関数：
    • 回避報酬 ($r^e_i$): ターゲットとなる良性クラスとNIDSの出力との間のクロスエントロピー損失を最小化することにより、トラフィックが良性と誤分類されるよう促します。
    • セマンティクス保持報酬 ($r^s_i$): 元の攻撃のセマンティクスからの逸脱にペナルティを課します。これには、トラフィックレートの維持（DoSやブルートフォースにおいて重要）や、ヘッダー・ペイロード特性の保持が含まれます。
• 脅威モデル： 本研究は、攻撃者がNIDSモデルの内部構造や入力特徴量を把握していないが、分類フィードバックを得るためにシステムにアクセスできる、グレーボックス（GB）シナリオを想定しています。

主な貢献

1. 限界の分析： 著者らは、CV適応型の既存の敵対的攻撃がなぜNIDSの文脈で失敗するのかについて、特に「存在性」と「攻撃セマンティクス」の欠陥を強調しながら、詳細な分析を提供しています。
2. 新しいパケットレベルのアプローチ： PLAAは、逐次的なパケットレベルの特徴量生成手法を導入しています。パケット単位でトラフィックを構築することにより、無効なトラフィックを生成するという問題を根本的に解決し、プロトコルを考慮した制約を通じて、元の攻撃のセマンティクスを保持します。
3. 実証的検証： 本手法は、複数のデータセット（CIC-UNSW-NB15, CIC-DDoS2019, CIC-IDS-2017）および様々なNIDSモデル（DNN, CNN-LSTM, SVM, LR, KNN, RF）に対して評価されています。

実験結果
提案手法は、6つの異なるNIDSモデルに対し、5つの特定の攻撃タイプ（Slow DoS, Brute Force, Probe, Generic, Fuzzers）を用いてテストされました。

• 回避成功率： PLAAは平均回避成功率（Evasion Rate）**92.78%**を達成しました。テストされたすべてのモデルにおいて、元々は検知可能であった悪意のあるトラフィックを、NIDSが良性と分類する敵対的トラフィックへと正常に変換することに成功しました。
• セマンティクス保持： 生成されたトラフィックは、要求される攻撃セマンティクスを維持しました。例えば、Slow DoS攻撃は低いレート特性を維持し、ブルートフォース攻撃は必要な箇所で高いレートを維持しました。
• リアリズム： 長さ、時間、レートの観点から、敵対的トラフィックが元の悪意のあるトラフィックからどの程度逸脱しているかを測定するために「アノマリースコア」が定義されました。結果として、（パケット長を増やす必要性によるSlow DoSのレートの変化など）一部の逸脱は見られたものの、全体的なトラフィックは現実的であり、攻撃タイプと一貫していることが示されました。
• 収束： RLエージェントは約4,000のエピソード後に収束し、累積報酬は安定しました。

意義と主張
本論文は、PLAAがNIDSに対する既存の敵対的攻撃の限界に対する根本的な解決策を提供すると主張しています。フローレベルの直接操作から離れ、パケットレベルの強化学習ベースのアプローチを採用することで、この手法は、敵対的トラフィックが現実的に生成可能であり、かつ元の攻撃の意図とセマンティクスとして一貫していることを保証します。著者らは、彼らの研究がこのようなトラフィックを生成するための理論的な手法に焦点を当てており、広範なデータセットベースの実験を通じて検証されていることを強調しています。また、実用的な適用可能性をさらに検証するためには、今後の研究において、データセットベースの評価から現実世界の悪意のあるネットワークトラフィックのシナリオへと移行する必要があることを認めています。