Robust Unsupervised Network Intrusion Detection via Federated Learning with Selective Aggregation under Anomalous Sample Contamination

インターネットを、数十億もの小さなデバイス（スマート冷蔵庫、セキュリティカメラ、工場のセンサーなど）が毎秒互いにチャットしている、巨大で賑やかな都市だと想像してみてください。これが「モノのインターネット（IoT）」です。この接続性は生活を便利にする一方で、あらゆるデバイスをデジタルな泥棒にとっての潜在的な「玄関口」に変えてしまいます。この都市の安全を守るため、「ネットワーク侵入検知システム（NIDS）」と呼ばれる警備員が、不審な動きがないか常にトラフィックをスキャンしています。従来、これらの警備員は、既知の犯罪者に関するファイルが揃った警察学校のように、ラベル付けされた例を学習することで「正常」とは何かを学びます。しかし、現実の世界では、新しい種類のマルウェアは誰かがラベルを付けるよりも速いスピードで出現します。また、「正常な」トラフィックの完璧でクリーンなリストを求めることは、誤字が一つもない図書館を求めるようなものです。

ここで「教師なし学習」の登場です。教師が「悪い奴」を指し示す必要はなく、これらのシステムは自律的に「正常な振る舞い」の形を学び、違和感のあるものをフラグ立てしようとします。しかし、一つ問題があります。もし、その図書館自体がすでに汚染されていたらどうなるでしょうか？ もし、システムが学習している「正常な」トラフィックの中に、密かに感染したデバイスが紛れ込んでいたら？ もしシステムがこの「汚れた」データから学習してしまったら、システムはマルウェアを「正常である」と認識し始めてしまい、都市の門戸を広く開け放ってしまうことになります。これからあなたが読む論文は、まさにこの問題に取り組んでいます。つまり、数学的な探偵術とチームワークを駆使して、訓練データが少数の悪意あるアクターによって密かに毒されている場合でも、鋭い洞察力を維持できるセキュリティ・ガードをどのように構築するかという問題です。

---

毒された井戸とチームワークによる解決策

サイバーセキュリティの世界において、ロボットに偽物のコインを見分ける方法を教えようとしていると考えてみてください。あなたはロボットに、すべてが本物であることを願いながら、一箱のコインを与えます。しかし、あなたの知らないうちに、数枚の不良品が紛れ込んでいました。もしロボットがこれらの偽物を学習しすぎると、「おや、この奇妙な形も実は正常なんだ！」と思い込み、後で本当の偽物を見逃してしまうかもしれません。これが「異常サンプル汚染」の問題です。現実の世界では、数千のIoTデバイスからネットワークトラフィックを収集してセキュリティAIを訓練する際、それらのデバイスのいくつかはすでに感染している可能性があります。どれが感染しているかを簡単に判断することはできないため、私たちが「クリーン」だと思っている訓練データは、実際には良質なものと悪質なものが混ざり合ったものなのです。

この論文の著者である上口昇平氏と西尾隆行氏は、FLANDRE（Federated Learning-assisted Anomalous Node Detection & REmoval：連合学習を用いた異常ノードの検出と除去）と呼ばれる解決策を提案しています。彼らの大きなアイデアは、すべてのデータを一つの巨大なバケツに混ぜ合わせるのではなく、各デバイスに独自の小さなモデルをローカルで訓練させ、その上で「学んだ教訓」（数学的な更新情報）のみを中央サーバーと共有させることです。このアプローチは「連合学習（Federated Learning）」と呼ばれます。

通常、人々は連合学習を単なるプライバシー保護（データを中央サーバーに送らないためのもの）と考えています。しかし、著者らはそこに「隠れた超能力」があることを見出しました。彼らは、100台のデバイスのチームにおいて、もし数台（例えば10%）だけが感染していたとしても、「悪い」データはごく少数派であることに気づきました。標準的な連合学習では、中央サーバーは全員の更新情報を平均化します。感染したデバイスが非常に少ないため、彼らの奇妙で「毒された」教訓は、何百もの「善良な」デバイスによってかき消されてしまいます。これは、巨大な鍋に入ったスープに、たった一滴のホットソースを加えて味を変えようとするようなものです。スープの味はほとんど変わらず、マイルドなままです。著者らは、この「少数派が無視される」という弱点を、強みに変えることにしたのです。

探偵ゲーム：悪いリンゴを見つける

しかし、悪いデバイスの声が非常に大きかったり、汚染率が高かったりする場合、単に更新情報を平均化するだけでは不十分です。そこで、FLANDREは第二の防御層として「選択的集約（Selective Aggregation）」メカニズムを追加します。中央サーバーを、全員がどこに立っているかを示す地図を持つ探偵だと考えてください。

探偵の仕組みは以下の通りです：

1. ウォームアップ： まず、サーバーは全員にしばらくの間、訓練を行います。
2. 距離チェック： サーバーは、各デバイスの新しいモデルが、グループの「平均的な」モデルと比較してどれだけ変化したかを調べます。
3. クラスタリング： 数学的ツールである期待値最大化（EM）アルゴリズムを使用して、サーバーはモデルが中心からどれだけ離れているかに基づいて、デバイスを2つのクラスターにグループ分けします。
   • クラスターA：「善良な人々」。 彼らのモデルは、全員が正常なトラフィックから学習しているため、平均に近い状態にあります。
   • クラスターB：「悪い奴ら」。 彼らのモデルは、感染した奇妙なデータから学習しようとしているため、中心から遠くへ逸れています。
4. 切り捨て： サーバーは単純に「悪い奴ら」（クラスターB）を無視し、「善良な人々」（クラスターA）からの更新情報のみを使用して、メインのグローバルモデルを更新します。

これは、教師が、数人の生徒が全く異なる（そして間違った）方法で数学の問題を解こうとしていることに気づくようなものです。その数人の生徒がクラス全体を混乱させるのを防ぐために、教師は彼らを静かにグループ討論から外し、最終的な答えが正しい論理に基づいていることを保証するのです。

ラボでの発見

著者らは、3つの有名なサイバーセキュリティ・データセット（ToN IoT、CSE-CIC-IDS2018、NF-UQ-NIDS-v2）を用いてこのアイデアをテストしました。彼らは、総訓練データの10%から40%が、感染したデバイスの中に隠された悪意のあるデータであるというシナリオをシミュレートしました。

結果は目覚ましいものでした。FLANDREを他の手法と比較したところ：

• 標準的な集中型訓練： すべてのデータ（悪い部分も含めて）を混ぜ合わせて一つの大きなモデルを訓練した場合、性能は著しく低下しました。例えば、IDS2018データセットでは、F1スコア（精度の指標）は0.590まで低下しました。
• 最先端の競合手法： 彼らは、良質なデータと悪質なデータを数学的に分離しようとするトップティアの手法であるLOE-Sとも比較を行いました。LOE-Sは同じデータセットにおいて0.586を記録し、標準的なアプローチとほとんど変わりませんでした。
• FLANDRE： 彼らの新しい手法は、IDS2018で0.823、ToN IoTで0.969、NF-UQ-NIDSで0.838を記録しました。

決定的なことに、FLANDREのスコアは、「理想的な」シナリオ（訓練データが最初から100%クリーンである完璧な世界）とほぼ同等でした。ToN IoTデータセットにおいて、FLANDREは理想的なスコアからわずか0.004ポイントの差しかありませんでしたが、他の手法は大きく遅れをとっていました。これは、疑わしいクライアントをフィルタリングすることで、FLANDREが実質的に訓練プロセスを「浄化（アン・ポイズン）」できることを示唆しています。

彼らはまた、システムが異なるレベルの感染をどのように扱うかもテストしました。ネットワーク内の悪いデータの割合が増えても、FLANDREは安定していました。興味深いことに、感染したデバイス内の悪いデータの割合が非常に高い場合（例えば、ローカルファイルの80%がマルウェアである場合）でも、システムはうまく機能しましたが、感染が非常に巧妙であった場合、別の測定法を用いる特定のバリアント（FLANDRE-R）は少し苦戦しました。しかし、メインのFLANDRE手法は全体を通して堅牢でした。

結論

この論文は、あらゆるサイバーセキュリティの問題を解決したと主張しているわけではありませんが、非常に現実的な問題、すなわち「密かに汚染されている可能性のあるデータでAIを訓練すること」に対する、巧妙で実践的な方法を提示しています。プライバシーのためだけでなく、少数の悪意あるアクターの影響を自然に抑制するために連合学習を利用し、さらに「探偵」のステップを追加して外れ値を排除することで、著者らは、たとえ教室にペテン師が溢れていても、「正常」が真にどのようなものであるかを学習できるシステムを作り上げました。

シミュレーションにおいて、FLANDREは、ネットワークを保護するためにどのデバイスが感染しているかを正確に知る必要はないことを証明しました。ただ、多数決を行い、そして、ノイズとなる少数派を無視する勇気を持てばよいのです。これは、真実を見つけるための最善の方法は、時として、あなたを混乱させようとしている人々の声を聞くのを止めることである、ということを思い出させてくれます。