TOPIC: Deep Learning Approach for Network Intrusion Detection and Multi-Class Attack Classification Using UNSW-NB15 Dataset

あなたは、巨大で賑やかな空港（インターネット）のセキュリティガードだと想像してください。あなたの仕事は、誰かが武器を忍び込ませようとしたり、スーツケースを盗もうとしたり、パニックを引き起こそうとしたり（サイバー攻撃）していないかを察知することです。

長い間、セキュリティガードは「指名手配ポスター」方式を使用してきました。彼らには既知の犯罪者の顔写真のリストがありました。もし誰かがそのポスターに似ていれば、呼び止められました。これが、従来のコンピュータセキュリティシステムが行っていたことです。つまり、既知の「シグネチャ（特徴）」を探していたのです。しかし、犯罪者が捕まらないように髪型や服装を変えるのと同様に、ハッカーもその手法を変えてきます。古い「指名手配ポスター」方式では、新しい巧妙な変装を見抜くことはできませんでした。

この論文は、**ディープラーニング（深層学習）**を用いて、新しいタイプのセキュリティガードを教育する方法について書かれています。これは、単にルールのリストを読み込むのではなく、何百万もの事例を見ることで学習する、超スマートなコンピュータの脳のようなものです。

トレーニングの場：UNSW-NB125 データセット

これらのコンピュータの脳を訓練するために、研究者たちは巨大な練習場を必要としました。彼らは UNSW-NB15 と呼ばれるデータセットを使用しました。これは、シミュレーションされた空港からの「トラフィックログ」が100GB格納された、巨大な図書室のようなものです。

• 善玉（Good Guys）: 平穏に過ごしている普通の旅行者。
• 悪党（Bad Guys）: 「ファザー（Fuzzer）」（ドアを壊そうとランダムな試行を繰り返す人々）から「ワーム（Worm）」（急速に広がるウイルス）まで、9種類の異なるトラブルメーカー。
• 問題点: 現実の世界では、善良な旅行者の数は悪党よりも圧倒的に多いものです。この図書室でも、「悪党の本」は「善玉の本」に比べて非常に少なくなっていました。もしこの図書室をそのまま読み込んだら、あなたの脳は怠けてしまい、高いスコアを得るために毎回「善玉」と答えてしまうでしょう。これでは、珍しい悪党を見逃してしまいます。

解決策：SMOTE（「コピー機」のトリック）

この不均衡を修正するために、研究者は SMOTE と呼ばれる手法を使用しました。特定の種類の泥棒の写真が5枚しかないけれど、よく勉強するために50枚必要な状況を想像してみてください。単に同じ5枚の写真をコピー（これは退屈で、あまり役に立ちません）する代わりに、SMSTEは既存のものの特徴を混ぜ合わせることで、新しい、偽の写真を作り出します。それは、赤い帽子を被った泥棒の写真と青いコートを着た泥棒の写真を組み合わせて、新しい「紫色の帽子を被った泥棒」の写真を生成するようなものです。これにより、コンピュータの脳は、ズルをすることなく、これらの珍しい泥棒がどのような姿をしているかを十分に学習できるのです。

3人の対戦相手

研究者たちは、どのセキュリティガードが最高であるかを確かめるために、3種類の異なる「コンピュータの脳（ディープラーニング・モデル）」を構築しました。公平な戦いにするため、すべて同じデータを用い、同じ訓練ルールを使用してテストを行いました。

1. ANN（人工ニューラルネットワーク）：ジェネラリスト

   • 比喩: これは、全体像を一度に捉える非常に賢いインターンだと考えてください。彼らは乗客の身長、体重、荷物をすべてまとめて見て、推測を下します。
   • パフォーマンス: 彼らはまずまずの仕事をこなし、脅威の約**91.6%**を正しく特定しました。訓練は速いですが、より巧妙な変装を見逃してしまうこともありました。

2. CNN（畳み込みニューラルネットワーク）：パターン発見者

   • 比喩: このガードは、特定の「パターン」を探す探偵のようなものです。人物全体を見るのではなく、靴の模様やバッグの持ち方といった、小さな詳細にズームインします。彼らは局所的な手がかりを見つけるのが得意です。
   • パフォーマンス: 彼らはより優れた結果を出し、約**94.6%**を正解しました。彼らは特定の「シグネチャ（攻撃の特徴）」を見つけることに長けていました。

3. RNN-LSTM（長短期記憶を用いた回帰型ニューラルネットワーク）：ストーリーテラー

   • 比喩: これは最も高度なガードです。単一の写真を見るだけでなく、乗客の旅の「物語全体」を記憶する探偵を想像してください。彼らは5分前に何が起きたのか、そしてそれが今起きていることとどのように繋がっているのかを覚えています。彼らは、複雑なシーケンスや異なる手がかり間の関係性を理解するための「記憶」を持っています。
   • パフォーマンス: これが勝者でした。彼らは**97.4%**の精度を達成しました。彼らはネットワークトラフィックの異なる部分間の複雑な関係性を解明することにおいて、最も優れていました。

結果：誰が勝ったのか？

研究者たちは、誰が最も頻繁に悪党を正しく特定できるかを競うレースを行いました。

• 勝者: RNN-LSTM（ストーリーテラー）。最も多くの悪党を捕まえ、ミスが最も少なかったです。非常に優秀で、非常によく似た攻撃同士をほぼ完璧に見分けることができました。
• 準優勝: CNN（パターン発見者）。強力な2位でした。
• 3位: ANN（ジェネラリスト）。悪くはありませんでしたが、他のモデルほど鋭くはありませんでした。

注意点:
そこにはトレードオフがありました。RNN-LSTM は仕事において最高でしたが、訓練に最も時間がかかりました。学習に約1,700秒（約30分）かかったのに対し、ANN はわずか220秒（約3分）でした。

• 比喩: ANNは、学習は早いがミスも多い、早口のインターンのようです。一方、RNN-LSTMは、事件ファイルを読み込むのに時間はかかるものの、驚異的な正確さで謎を解くシニア探偵のようです。

結論

本論文は、もし複雑なネットワークに対して絶対的な最高峰のセキュリティガードを求めるなら、たとえ訓練に時間がかかったとしても、RNN-LSTM が最適であると結論付けています。コンピュータに、異なるデータの断片がどのように繋がっているかを理解するための「記憶」を与えることが、現代の巧妙なサイバー攻撃を見抜く鍵であることを証明しました。

また、彼らは、システムは優れていたものの、「中間者攻撃（Man-in-the-Middle）」や「DDoS攻撃」といった特定の種類の攻撃については、まだ互いに区別するのが少し難しい場合があることも指摘しており、これは、最も賢い脳であっても、まだ成長の余地があることを示唆しています。

要約すると： データのバランスを取るためのスマートな「コピー機」のトリックを使い、3種類の異なるコンピュータの脳を戦わせることで、研究者たちは、「記憶」を持つもの（RNN-LSTM）が、現在、サイバー侵入者を特定するチャンピオンであることを突き止めました。