Few-Shot Network Intrusion Detection Using Online Triplet Mining

Technische Samenvatting: Few-Shot Netwerkintrusiedetectie met Online Triplet Mining

Probleemstelling
Netwerkintrusiedetectiesystemen (NIDS) lopen een kritieke kwetsbaarheid wanneer ze worden ingezet in nieuw opgezette netwerken of wanneer zero-day-aanvallen optreden. Traditionele toezicht opgeleide machinelearningbenaderingen vereisen grote hoeveelheden gelabeld kwaadaardig verkeer om effectieve classifiers te trainen, wat een "kwetsbaarheidsvenster" creëert waarbij systemen blootgesteld blijven totdat voldoende data is verzameld. Omgekeerd lijden onzorgvuldig opgeleide anomaliedetectiemethoden, die de verdeling van onschuldig verkeer leren, vaak aan onaanvaardbaar hoge rates van vals-positieven, waardoor ze onpraktisch zijn voor operationeel gebruik in de echte wereld. De kernuitdaging die in dit werk wordt aangepakt, is het bereiken van effectieve intrusiedetectie met een beperkt aantal kwaadaardige voorbeelden (few-shot learning) terwijl lage rates van vals-positieven worden gehandhaafd en overfitting wordt weerstaan in sterk onbalans datasets waar onschuldig verkeer domineert.

Methodologie
De auteurs stellen een systeem voor dat een Triplet Network combineert, getraind via online triplet mining, met een K-Nearest Neighbours (KNN)-classificator voor inferentie.

1. Triplet Network Architectuur: In tegenstelling tot Siamese netwerken die leren van paren, gebruikt het voorgestelde model een triplet network bestaande uit drie parallelle neurale netwerken met gedeelde gewichten. Het verwerkt een ankerstalen ($x_a$), een positief voorbeeld ($x_p$) uit dezelfde klasse, en een negatief voorbeeld ($x_n$) uit een andere klasse. Het netwerk leert een embedding-ruimte waarin de afstand tussen het anker en het positieve voorbeeld kleiner is dan de afstand tussen het anker en het negatieve voorbeeld, met een marge $m$.
2. Online Triplet Mining: Om de inefficiëntie van vooraf gesamplede paren te overwinnen, maken de auteurs gebruik van batch-all triplet mining. In plaats van triplets vooraf te selecteren voor training, wordt een klasse-gewogen batch door de encoder gevoerd om embeddings te genereren. Alle geldige triplets binnen de batch worden vervolgens geïdentificeerd, en de loss wordt berekend over alle geldige combinaties. Dit maximaliseert de relationele supervisie die per batch wordt geëxtraheerd, wat bijzonder voordelig is wanneer het totale aantal gelabelde kwaadaardige voorbeelden klein is.
3. Gebalanceerde Batch Sampling: Gezien de extreme klasse-onbalans in NIDS-datasets, wordt tijdens training een gewogen willekeurige samplingstrategie gebruikt. Voorbeelden worden gewogen omgekeerd evenredig aan hun klassenfrequentie om te waarborgen dat elke trainingsbatch een gelijk aantal voorbeelden uit elke klasse bevat, wat de vorming van geldige triplets faciliteert.
4. Inferentiestrategie: Tijdens inferentie hertraint het model niet en gebruikt het geen geleerde beslissingsgrens. In plaats daarvan worden testvoorbeelden afgebeeld op de embedding-ruimte, en wordt een KNN-classificator toegepast op de ongebalanceerde trainingsreferentie-set. De auteurs betogen dat hoewel gebalanceerde batches noodzakelijk zijn voor het leren van discriminerende kenmerken, het behoud van de natuurlijke klassenscheefheid (dominantie van onschuldig verkeer) tijdens inferentie cruciaal is voor het handhaven van lage rates van vals-positieven.

Belangrijkste Bijdragen

1. Voorgesteld Systeem: Een nieuwe NIDS-architectuur die online triplet mining combineert met een KNN-classificator, capable van few-shot classificatie met slechts 10 kwaadaardige voorbeelden per klasse.
2. Evaluatiekader: Een nieuwe evaluatieprocedure die het voorgestelde model vergelijkt met state-of-the-art toezicht opgeleide en op anomalie gebaseerde baselines in zowel few-shot binaire als meerklasse-classificatiescenario's.
3. Ablatiestudies: Uitgebreide analyse die de optimale ontwerpkeuzes aantoont, waaronder de superioriteit van batch-all mining ten opzichte van batch-hard of semi-hard mining, de effectiviteit van Euclidische afstand ten opzichte van Manhattan- of Cosine-afstand, en de robuustheid van het KNN-inferentie-algoritme in vergelijking met lineaire probing of fine-tuning.
4. Overfitting-analyse: Bewijs dat de voorgestelde methode intrinsiek minder overfitting vertoont dan baselines, vooral in meerklasse-scenario's met beperkte data.

Experimentele Resultaten
Het model werd geëvalueerd op twee benchmarkdatasets: CICIDS2017 (28 kenmerken, 5 klassen) en Lycos2017 (72 kenmerken, 12 klassen).

• Binaire Classificatie: Op beide datasets behaalde het triplet network concurrerende of superieure macro F1-scores in vergelijking met baselines (Autoencoders, DAE-LR, One-Class SVM en RENOIR). Opmerkelijk is dat, hoewel RENOIR in sommige scenario's met weinig data marginaal hogere recall liet zien, het rates van vals-positieven genereerde die ordes van grootte hoger waren dan de voorgestelde methode. Het triplet network behield de beste precisie en de laagste rates van vals-positieven over alle trainingsgroottes heen.
• Meerklass Classificatie: Het voorgestelde model presteerde beter dan Siamese netwerken, Multi-Layer Perceptrons (MLP's) en standaard KNN-classificators op de complexere Lycos2017-dataset over alle trainingsgroottes heen. Op CICIDS2017 presteerde het beter dan baselines wanneer getraind op ten minste 40 voorbeelden per klasse.
• Robuustheid: Het model toonde veerkracht tegen variaties in het aantal onschuldige trainingsvoorbeelden en behield hoge prestaties zelfs met slechts 10 kwaadaardige voorbeelden per klasse.

Betekenis en Claims
Het artikel claimt dat dit werk een belangrijke stap voorwaarts is naar praktische, op machine learning gebaseerde NIDS. Door effectieve classificatie mogelijk te maken met minimale gelabelde data, beoogt de aanpak het kwetsbaarheidsvenster te verminderen dat geassocieerd wordt met nieuwe netwerkinstellingen en zero-day-aanvallen. De auteurs stellen dat hun methode succesvol de kloof overbrugt tussen de lage rates van vals-positieven die nodig zijn voor praktische implementatie en het vermogen om te leren uit beperkte data, en dat het de bestaande few-shot- en anomaliedetectiebenaderingen overtreft in de meeste geëvalueerde metrieken. Het gebruik van KNN-inferentie op geleerde embeddings stelt het systeem in staat om gebruik te maken van de ware klassenverdeling (dominantie van onschuldig verkeer) zonder de discriminerende kracht op te offeren die tijdens de gebalanceerde trainingsfase is geleerd.

Beperkingen en Toekomstige Richtingen
De auteurs erkennen dat de evaluatie beperkt was tot twee specifieke benchmarkdatasets en geen vergelijkingen omvatte met bredere meta-learningbenaderingen (bijvoorbeeld prototypische netwerken) vanwege verschillende trainingsaannames. Zij suggereren dat toekomstig werk de aanpak moet valideren op diverse datasets (bijvoorbeeld IoT, versleuteld verkeer) en de rekenkundige overhead van KNN-inferentie in real-time scenario's met hoge doorvoer moet aanpakken, mogelijk via benaderde nearest neighbour-zoekmethoden.