博士論文審査結果報告書

全文

(1)早稲田大学大学院情報生産システム研究科. 博士論文審査結果報告書. 論. 文. 題. 目. Study on Intrusion Detection using Average Matching Degree Space based on Class Association Rule Mining. 申請者 Nannan LU. 情報生産システム工学専攻ニューロコンピューティング研究. 2013 年 1 月. 1.

(2) 本論文は、Genetic Network Programming-based Class Association Rule Mining(GNP-CARM)の Intrusion Detection(ID)への展開に関するものである。具体的には、インターネットコネクションデータと GNP-CARM を使用してインターネットのアクセスに関するクラス相関ルール群を抽出し、これらのルール群からコネクションデータが正常であるか、既知の Intrusion であるか、未知の Intrusion であるかを識別する方式を検討している。GNP-CARM の ID への展開では、まず、 GNP-CARM を使用して抽出された 2 種類のルール群(正常ルール群、既知 Intrusion ルール群)とコネクションデータとの平均マッチング度（正常平均マッチング度、既知 Intrusion 平均マッチング度）を計算する。次に、多くの属性から構成される多次元のコネクションデータを上記平均マッチング度から構成される 2 次元空間に写像する。これにより、複雑な多次元コネクションデータの識別を 2 次元空間上で実現している。 ID の分野では、既知の Intrusion の検知を Misuse Detection(MD)、未知の Intrusion の検知を Anomaly Detection(AD)と呼んでいる。本論文では、上記 2 次元平均マッチング度空間への写像を前提に、クラス相関ルールの抽出、抽出したルールのプルーニングおよび 2 次元平均マッチング度空間上でのコネクションデータの識別の各課題について、新しいアルゴリズムを提案し評価している。具体的には、①GNP の判定ノードに Fuzzy 論理を使用する Fuzzy GNP-based Class Association Rule Mining(Fuzzy GNP-CARM)、②平均マッチング度と Genetic Algorithm(GA)を利用する 2 段階ルールプルーニング、③2 次元平均マッチング度空間上で MD と AD を同時に行う Hybrid Classification、④K 最近傍計算と正常、MD および AD の各クラスタの重心までの距離によりコネクションデータの識別を行う Distance-based Classification、⑤正常および既知の Intrusion コネクションデータを複数のサブクラスタに分け、これらにガウス関数を設置することによりコネクションデータの識別を行う Gaussian Function-based Classification の各方式を提案しこれらの有効性を検証している。第 1 章では、コネクションデータの ID を解説し、GNP-CARM によるルールの抽出と平均マッチング度空間上でのコネクションデータの識別が ID にとって有効であるという着想に至った経緯および期待できる効果を従来方式と比較しながら述べ、本論文の内容を要約している。第 2 章では、コネクションデータの正常平均マッチング度と既知 Intrusion 平均マッチング度を計算し、この 2 次元空間上で正常、MD さらには AD までも同時に識別を行う第 3 章以降の識別の基本となる Hybrid Classification を提案し評価している。ルールの抽出に当たっては、正常と既知の Intrusion を含む訓練時のコネクションデータの属性から GNP の遷移によりルールの特性を計算する GNP-CARM を使用して、正常および既知の Intrusion に関するルール群を抽出している。Hybrid Classification では、平均マッチング度の平均と標準偏差を計算し、コネクションデータの平均マッチング度のばらつきを考慮して 2 次元空間 2.

(3) を正常、既知 Intrusion および未知 Intrusion 領域に分割する方式を提案している。シミュレーションでは、冗長なデータを含む KDD Cup 1999 インターネットコネクションデータを使用し、MD と AD を同時に行う Hybrid Classification と MD と AD を個別に行う従来方式を比較した結果、Hybrid Classification の Detection Rate(DR), Accuracy(ACC), Positive False Rate(PFR), Negative False Rate(NFR)が、それぞれ、約 95.8%, 90.2%, 4.4% , 3.8%であるのに対して、従来方式の DR, PFR, NFR は、それぞれ、約 90.7%, 11.2%, 5.2%であり、Hybrid Classification が優れていることを明らかにしている。第 3 章では、更なる識別性能の向上を図るため、冗長なルールをプルーニングする方式を提案し評価している。プルーニングの効率を上げるため、初めに、訓練データ群との平均マッチング度が低いルールを大まかにプルーニングし、次に、 DR, ACC, PFR および NFR から構成される適合度を持つ GA を使用して、残りのルールのプルーニングを行う 2 段階ルールプルーニングを採用している。シミュレーションでは、KDD Cup 1999 のインターネットコネクションデータを利用して GNP-CARM により抽出したルールのプルーニングを行い、Hybrid Classification を使用してプルーニングの効果を検討している。その結果、2 段階ルールプルーニングにより DR, ACC, PFR, NFR が、それぞれ、約 2.0%, 5.3%, 54.4%, 45.3%向上することを明らかにしている。従って、第 4 章以降のシミュレーションでは 2 段階ルールプルーニングを採用している。第 4 章では, GNP の判定ノードに Fuzzy 論理を使用する Fuzzy GNP-CARM を利用して、連続値を持つ属性を閾値で処理する従来方式の Sharp Boundary Problem を解決し、より多くのルールを抽出することにより識別性能の向上を図っている。シミュレーションでは、KDD Cup 1999 のインターネットコネクションデータを利用して Fuzzy GNP-CARM により抽出したルールのプルーニングを行い、 Hybrid Classification を使用して Fuzzy 判定ノードの効果を検討している。その結果、Fuzzy GNP-CARM の DR, ACC, PFR, NFR は GNP-CARM より、それぞれ、約 1.5%, 2.5%, 87.2%, 37.0%向上することを明らかにしている。従って、第 5 章以降のシミュレーションでは Fuzzy GNP-CARM を採用している。第 5 章と第６章では、正常、MD および AD を同時に識別する Hybrid Classification を基に新しい識別方式を提案し評価している。第 5 章では、識別性能の向上を図るため、初めに、2 次元平均マッチング度空間上で K 最近傍計算を行いコネクションデータが正常か、あるいは、Intrusion かの大まかな識別を行う。次に、正常および MD コネクションデータのクラスタの重心, さらには、これらの重心から計算した AD の重心を利用して、コネクションデータの厳密な識別を行う 2 段階 Distance-based Classification を提案し評価している。シミュレーションでは、冗長なデータを除いた NSL-KDD インターネットコネ 3.

(4) クションデータを使用し、 Distance-based Classification と Hybrid Classification の比較を行っている。その結果、Distance-based Classification の DR, ACC, PFR, NFR は、それぞれ、約 84.3%, 79.7%, 16.8%, 14.9%であり、 Hybrid Classification の約 83.0%, 72.0%, 20.0%, 14.5%と比較して NFR では若干劣るものの、全体的には Distance-based Classification が優れていることを明らかにしている。第 6 章では、Fuzzy GNP-CARM を利用した ID に特有な、正常、MD および AD コネクションデータのクラスタのオーバラップ問題を解決し識別性能の向上を図るため、2 次元平均マッチング度空間上の正常および MD コネクションデータを複数のサブクラスタに分けている。その後、これらに GA で最適化されたガウス関数を設置しコネクションデータの識別を行う Gaussian Function-based Classification を提案し評価している。識別では、正常サブクラスタのガウス関数の値が既知 Intrusion サブクラスタのガウス関数の値より大きければ正常、そうでなければ、Intrusion と大まかな識別を行い、その後、ガウス関数の値を閾値と比較しコネクションデータの厳密な識別を行っている。シミュレーションでは、NSL-KDD インターネットコネクションデータを使用し、Gaussian Function-based Classification、Distance-based Classification, Hybrid Classification の比較を行っている。 Gaussian Function-based Classification の DR, ACC, PFR, NFR が、それぞれ、約 87.2%, 84.2%, 11.3%, 14.0%であり、第５章の結果と比較することにより Gaussian Function-based Classification が最も優れた識別方式であることを明らかにしている。第 7 章では、本論文で提案し評価を行った GNP-CARM を ID に展開する新しいアルゴリズムの研究成果を総括している。以上、本論文では、Genetic Network Programming-based Class Association Rule Mining をインターネットコネクションデータの Intrusion Detection に展開するためのクラス相関ルールの抽出、抽出したルールのプルーニングおよび 2 次元平均マッチング度空間上でのコネクションデータの識別に関する各種のアルゴリズムの提案と評価を行ったものであり、インターネットの Intrusion Detection の発展に寄与するところが大である。よって、本論文は博士（工学）の学位論文として価値あるものと認める。 2012 年 12 月 21 日主査早稲田大学教授. 博士(情報工学）（九州工業大学）古月敬之. 早稲田大学教授. 工学博士. （早稲田大学）. 吉江修. 早稲田大学教授. 博士(工学). （早稲田大学）. 藤村茂. 早稲田大学名誉教授. 工学博士. 4. （九州大学）. 平澤宏太郎.

(5)