12 김명섭 B-RN (2).hwp

Transcription

1 논문 합성곱신경망기반웹응용트래픽분류모델설계 지세현, 백의준 *, 신무곤 *, 채병민 **, 문호원 **, 김명섭 Design of Web Application Traffic Classification Model Based on Convolution Neural Network Se-Hyun Ji, Ui-Jun Baek *, Mu-Gon Shin *, Byeong-Min Chae **, Ho-Won Moon **, Myung-Sup Kim 요 약 네트워크관리의기본역할은사용자에게적합한 QoS(Quality of Service) 를제공하는것이다. 적합한 QoS를제공하고안전한네트워크환경을만들기위해정확한응용트래픽분류는필수적이다. 기존의트래픽분류기법으로는포트기반의분류기법, 페이로드기반의분류기법, 통계정보기반의분류기법이있다. 그러나동적인포트혹은암호화된페이로드를갖는패킷을발생시키는응용의등장으로인해기존의트래픽분류기법의한계점이발생하고있다. 기존의트래픽분류기법에대한한계점을해결하기위해본논문은 10종류의웹응용트래픽 (Baidu, Bing, Daum, Google, Kakaotalk, Nate, Naver, Yahoo, Youtube, Zum) 에대해머신러닝알고리즘중하나인합성곱신경망 (Convolution Neural Network) 알고리즘을적용한응용트래픽분류모델설계방법을제안한다. 제안한모델의학습분류정확도는 100%, 검증분류정확도는 99.6% 의성능을달성하였다. 키워드 : 트래픽분류, 머신러닝, 합성곱신경망, 응용트래픽 Key Words : Traffic Classification, Machine Learning, Convolution Neural Network, Application Traffic ABSTRACT The basic role of network management is to provide quality of service suitable for users. Accurate application traffic classification is essential to provide adequate quality of service and to ensure a secure network environment. The existing traffic classification methods are port-based classification methods, payload-based classification methods and statistic information-based classification methods. However, due to the emergence of applications that generate packets with dynamic ports or encrypted payloads, the limitations of existing traffic classification techniques are occurred. In this paper, in order to address these limitations, we propose an application traffic classification model applying the convolution neural network algorithm which is one of the machine learning algorithms for 10 kinds of web application traffic(baidu, Bing, Daum, Google, Kakaotalk, Nate, Naver, Yahoo, Youtube, Zum). The proposed model achieves 100% train classification accuracy and 99.4% validation classification accuracy. 이논문은 2016 년도국방과학연구소와한화시스템 ( 주 ) 의재원을받아수행된연구임 (UE161105ED) First Author : Department of Computer and Information Science, Korea University, sxzer@korea.ac.kr, 학생회원 Corresponding Author : Department of Computer and Information Science, Korea University, tmskim@korea.ac.kr, 종신회원 * Department of Computer and Information Science, Korea University, {pb1069, tm0309}@gmail.com, 학생회원 ** Hanwha Systems, {byeonmin.chae, moon1000}@hanwha.com 논문번호 : B-RN, Received January 22, 2019; Revised March 13, 2019; Accepted April 11,

2 Ⅰ. 서론오늘날의네트워크는고속화와더불어다양한서비스와응용이개발됨에따라트래픽이다양해지고있으며이러한상황에발맞춰효율적으로네트워크를운용하기위한방안이연구되고있다. 네트워크사용자는고품질의서비스를제공받고, 네트워크운영자는서비스제공의신뢰성확보및서비스의안정적인제공을위해네트워크를관리하는것이필요하다 [1][2]. 네트워크관리의기본역할은사용자에게적합한 QoS(Quality of Service) 를제공하는것이다. 적합한 QoS를제공하기위해정확한응용트래픽분류를하는것은필수적이다 [3]. 다양한트래픽분류기법들이연구되고있는가운데아직까지트래픽을응용단위로완벽하게분류해내는방법론은개발되지않았다. 응용트래픽을분류하기위한보편적인기법으로는표1과같다. 포트시그니처, 페이로드시그니처, 통계정보시그니처기반트래픽분류기법이있다. 시그니처기반분류기법은특정응용프로그램에서발생시킨트래픽을분석하여다른응용프로그램과구분지을수있는시그니처라고하는특정응용만의특징을추출하고, 이를통해트래픽을분류하는방법이다. 포트시그니처기반의분류기법은두개이상의포트또는임의의포토를설정할수있는기능을제공하는응용등복잡한구조를갖는응용이등장함에따라정확한분류를어렵게하고있다. 페이로드시그니처기반의분류기법은분석률과정확도측면에서가장높은분석성능을보이지만수작업으로시그니처를추출하는어려움이있고, 응용프로그램의변화에신속하게대처할수없으며, 암호화된페이로드를갖는응용에대해서는분류를수행할수없다. 통계정보시그니처기반의분류기법은암호화된트래픽을분류할수있지만, 통계정보를사용할경우특정응용프로그램에서사용한프로토콜에의존적인시그니처가생성될가능성이높다. 앞서언급한세가지분류방법은모두시그니처가 매칭되는트래픽만을분류한다. 분류되지않는트래픽을줄이기위해많은시그니처를사용하여야하며, 이는처리시간의증가를야기한다 [4]. 본논문에서는기존의분류기법의한계점을극복하기위한머신러닝알고리즘중하나인합성곱신경망 (Convolution Neural Network) 기반웹응용트래픽분류모델설계방법을제안한다. 설계방법을통해완성된모델은페이로드시그니처분류기법과는대조적으로자동으로특징을추출하는것이수월하고, 웹응용을분류하기위해학습을통해웹응용의고유성을반영하는고차원의패턴을추출한다 [5]. 본논문은 10개의웹응용트래픽을대상으로머신러닝알고리즘중하나인합성곱신경망알고리즘을적용한모델을설계하고, 10개의응용에대한분류실험의결과를통해제안하는방법의적합성을검증한다. 본논문은서론에이어 2장에서는합성곱신경망에대해기술하고, 3장에서는제안하는방법론에대해기술한다. 4장에서는실험을통해제안하는방법론의적합성을검증하고, 마지막으로 5장에서는결론및향후연구를기술한다. Ⅱ. 합성곱신경망본장에서는제안하는모델의기반인합성곱신경망의구조와, 합성곱신경망에서수행하는연산에대하여설명한다. 2.1 합성곱신경망구조합성곱신경망이란기존의 Neural Network에 Convolution연산이합쳐진기술로이미지처리에강력 표 1. 시그니처기반트래픽분류 Table 1. Traffic classification based on signature 1114 Signature Example Properties Port Payload 80:HTTP 21:FTP GET host 고정된포트번호사용페이로드내의특정한패턴사용 Statistic Packet Size 통계정보사용 그림 Fig 1. 합성곱신경망구조 1. Structure of Convolution Neural Network

3 논문 / 합성곱신경망기반웹응용트래픽분류모델설계 한성능을보이는알고리즘이다. 합성곱신경망의구조는그림 1과같다. Convolution연산, Activation Function, Pooling연산을통해 Feature Map을추출하는 Convolution Layer와 Neural Network, Activation Function으로이루어진 Fully Connected Layer로구성된다. 2.2 Convolution연산합성곱신경망에서수행하는첫번째로수행되는 Convolution연산은입력데이터로부터특징추출을수행한다. 그림 2와같이입력받은데이터로부터임의의 Convolution Filter와의 Convolution연산을통해 Convolved Map을생성한다. 그림 4. Padding기법 Fig. 4. Padding Method 2.5 Activation Function Activation Function은 Convolution연산을통해추출된 Convolved Map의정략적인값을비선형값으로바꿔주는과정에서적용되는함수이고, 함수를적용시켜나온결과는 Feature Map이다. 그림 2. Convolution 연산과정 Fig. 2. Convolution Operation Process 2.6 Fully Connected Layer Fully Connected Layer는그림 5와같이 Convolution Layer의연산을통해나온 Feature Map 의값에대해 N개의모든 Neural Network와의연산을한다. Neural Network와의연산을통해나온값에대해 Activation Function을적용한최종값을통해최종적인분류를수행한다. 2.3 Pooling연산 Pooling연산은데이터의크기를인위적으로줄이는기법으로, Convolution연산을통해나온 Convolved Map에대해그림 3과같이 Pooling Kernel안의영역에서하나의값을뽑아내는연산을수행한다. 그림 5. Fully Connected Layer 연산과정 Fig. 5. Fully Connected Layer Operation Process Ⅲ. 웹응용트래픽분류모델설계 그림 3. Pooling연산과정 Fig. 3. Pooling Operation Process 2.4 Padding기법 Padding기법은합성곱신경망내의연산을수행하기전, 그림 4와같이입력데이터주변을특정값으로채워늘리는것이다. 이는데이터의크기가줄어드는것을방지하기위함이다. 본장에서는합성곱신경망알고리즘을적용한웹응용트래픽분류모델설계방법에대하여설명한다. 3.1 Design Overview 본논문에서제안하는웹응용트래픽분류모델의설계과정은그림 6과같다. Pre-Processing, Model Training, Model Validation과정을통해분류모델을완성한다. 1115

4 그림 6. 웹응용트래픽분류모델설계 Fig. 6. Design of Web Application Traffic Classification 3.2 Pre-Processing 본절에서는합성곱신경망의학습데이터를생성하기위한 Pre-Processing과정에대해단계별로기술한다 Traffic Capture Microsoft에서제공하는 MS Network Monitor프로그램의 Traffic Capture기능을통해웹응용트래픽수집을한다. 그림 7과같이정교한트래픽수집을위해대상웹서버의 IP정보를기반으로패킷들을필터링하여수집한다. 수집된트래픽은패킷단위로구성된 cap파일의형태로저장이된다. 그림 8. Flow with Packet 개념 Fig. 8. Concept of Flow with Packet Extract Payload Flow with Packet의구조에서헤더를제외한데이터부분만추출하기위한단계이다. Flow with Packet 의페이로드의형태는그림 9와같다. 각각의 Flow with Packet의페이로드의크기는일정하지않기때문에본연구에서는합성곱신경망의대표적인모델중하나인 Mnist 숫자분류모델의입력이미지의크기와일치시키기위해페이로드의 784bytes의크기만추출을하고 [6], 페이로드의크기가 784bytes보다작은경우다시처음의페이로드값부터채워나가는방법을취하였다. 그림 9. Flow with Packet 의 Payload Fig. 9. Payload in Flow with Packet s Format 그림 7. 트래픽수집 Fig. 7. Traffic Capture Cap to Flow with Packet Traffic Capture과정을통해패킷단위로구성된 cap 파일을 Flow with Packet형태로구성하기위한단계이다. 그림 8에서의 Flow with Packet은 Client PC와 Application Server간의하나의세션에서발생하는패킷들의집합이다 Payload to Image Extract Payload과정을통해추출된페이로드의각 byte는 0~255사이의값을갖는다. 0~255 사이의값을흑백의음영이미지를만드는단계이다. Payload to Image과정을통해그림 10과같이합성곱신경망에쓰이는학습데이터가완성이된다. 페이로드의값을이미지로표현한학습데이터는고차원의패턴을추출하기위한이미지이므로, 단순하게육안으로식별하기에는어려움이있다. 1116

5 논문 / 합성곱신경망기반웹응용트래픽분류모델설계 표 2. Hyper-parameter 구성 Table 2. Hyper-parameter Set Activation Function Convolution Filter Size Sigmoid, Tanh, ReLU, Leaky_ReLU, Softmax 3x3, 5x5, 7x7 그림 10. 웹응용트래픽의 Payload 이미지 Fig. 10. Web Application Traffic s Payload Image 3.3 Model Training 본절에서는합성곱신경망모델의학습과정에대해기술한다. 합성곱신경망은 Pre-Processing과정을통해완성된웹응용트래픽의페이로드이미지를입력받아학습한다 Hyper-parameter Properties Hyper-parameter는학습모델을구성하는데임의로설정할수있는모든요소이다. 본연구에서합성곱신경망의학습에쓰이는 Hyper-parameter는그림 11 과같으며이는 Convolution Filter의크기, Activation Function의선정, Pooling연산선정, Padding기법선정, Neural Network의수이다. Pooling Methods Max Pooling, Average Pooling Padding Options Zero Padding, No Padding Number of Neural Network 256, 512, Model Validation Model Training과정으로부터완성된최종모델에대해학습에쓰이지않은데이터를통해나온분류정확도를바탕으로검증을하는단계이다. Ⅳ. 실험 본장에서는제안하는방법론을적용하기위해 Google에서제공하는 Tensorflow를이용하여모델을구성한다. 구성된합성곱신경망기반웹응용트래픽분류모델에대해 10개의웹응용트래픽을대상으로분류실험을진행하여방법론의적합성을검증한다. 그림 11. 합성곱신경망의 Hyper-parameter Fig. 11. Hyper-parameter for Convolution Neural Network Hyper-parameter Optimization Hyper-parameter Optimization은합성곱신경망을구성하는 Hyper-parameter를임의로선정한후, 각 Hyper-parameter의모든조합을구성하여모델들을구성, 각모델의학습결과로나온분류정확도를바탕으로최적의 Hyper-parameter조합을찾는과정이다. 본연구에서쓰이는 Hyper-parameter구성은표 2와같이구성하였으며. 모든경우의 Hyper-parameter조합중에서학습분류정확도를바탕으로가장성능이좋은 1개의모델을선정하였다. 4.1 Data Set MS Network Monitor를통해수집한 10개의웹응용트래픽의정보는표 3과같다. 443번포트와 80번포트를사용하는웹응용트래픽을대상으로수집을하였고수집된실험트래픽의 443번포트와 80번포트 표 3. 웹응용트래픽데이터 Table 3. Web Application Data Set Web Application Traffic 443 port (%) 80 port (%) Baidu Bing Daum Google Kakaotalk Nate Naver Yahoo Youtube Zum Number of Train Set Number of Validation Set

6 표 4. 합성곱신경망모델학습실험결과 Table 4. Convolution Neural Network Model Train Experiment Result Model No. Convolution Filter Size & Number Convolution Activation Function Pooling Option Padding Option Neural Network Activation Function Number of Neural Network Train Accuracy 1 5x5x32 Leaky_ReLU No Padding Max Pooling Leaky_ReLU % 2 5x5x32 Leaky_ReLU Padding Max Pooling Leaky_ReLU % 3 7x7x32 Leaky_ReLU Only Pooling Max Pooling Leaky_ReLU % 4 7x7x32 ReLU Padding Max Pooling Leaky_ReLU % 5 7x7x32 ReLU Only Conv. Max Pooling Leaky_ReLU % 에대한비율을나타내었다. 각웹응용별 1300개의페이로드이미지중 1000개의이미지를모델의학습에사용하였고, 300개의페이로드이미지를검증에사용하였다. 4.2 학습실험 Hyper-parameter Optimization과정을거친후나온 1440가지의조합중에서높은분류정확도를나타낸상위 5개의합성곱신경망분류모델의학습결과는표 4와같다. Filter의크기는 5x5크기의필터보다 7x7 크기의필터가높은성능을나타내었고, 필터의개수는모든 Model에동일하게 32개씩사용하였다. Pooling Option에서 Padding의경우데이터의주변을 0으로채워놓는 Zero-Padding기법을적용하였고, Only Pooling 은 Convolution 과정혹은 Pooling 과정에만 Padding 을적용한것이다. Pooling기법의경우최댓값을추출하는 Max Pooling기법이우수한성능을나타내었다. Convolution Activation Function은 ReLU와 Leaky_ReLU가좋은성능을보였고, Neural Network Activation Function의경우 Leaky_ReLU가최적의함수이다. 마지막으로 Neural Network의수가많은모델이더좋은성능을나타내었고, 그중에서도 Model 5의 Hyper-parameter조합이 100% 의학습분류정확도를나타내었다. 4.3 모델검증실험학습과정을거친상위 5개의모델의성능을검증하기위한실험이다. 학습에사용되지않은각웹응용별 300개의이미지를학습을마친모델의검증데이터로사용한결과는표 5와같다. 학습결과가좋은모델일수록좋은검증분류정확도를나타내었으며, Model 5 가 99.57% 로가장높은정확도를나타내었다. 표 5. 합성곱신경망모델검증실험결과 Table 5. Experimental Results for Convolution Neural Network Model Validation Model No. Validation Accuracy % % % % % Ⅴ. 결론및향후연구 본논문에서는기존의트래픽분류기법의한계점을극복하고자 Pre-Processing, Model Training, Model Validation과정을통한합성곱신경망기반응용트래픽분류모델설계방법을제안하였다. 기존의분류기법중가장높은분석률과정확도를나타내는페이로드시그니처기반분류기법은 443번포트를사용하는암호화된페이로드를갖는응용에대해서시그니처추출의어려움이있어분류를할수없으나, 본논문에서는 443번포트를사용하는 10개의웹응용에대해육안으로는구분하기힘든페이로드이미지를학습시켜분류하는실험을통해기존페이로드시그니처분류기법의한계점을극복하였다. 본연구에서제시한 Hyper-parameter의모든조합에대해학습실험을진행하였고, 검증실험결과를통해 Model 5의 Hyper-parameter조합을통해합성곱신경망을설계하는것이 10개의웹응용트래픽을분류하는데있어적절하다는것을검증하였다. 향후연구로는더많은종류의웹응용트래픽을대상으로분류하는실험을진행하여, 그에맞는모델을설계하는것에대해연구할계획이다. 1118

7 논문 / 합성곱신경망기반웹응용트래픽분류모델설계 References [1] J. Park, S. Yoon, J. Park, S. Lee, and M. Kim, Statistic signature based application traffic classification, J. KICS, vol. 34, no. 11, pp , Nov [2] K.-S. Shim, Y.-H. Goo, J. T. Park, and M.-S. Kim, A study on the automatic payload signature generation based on clustering for service-specific traffic classification, in Proc. Symp. KICS, pp , Jun [3] Y.-H. Goo, K.-S. Shim, S. Lee, B. D. Sija, and M.-S. Kim, A traffic-classification method using the correlation of the network flow, J. KIISE, vol. 44, no. 4, pp , Apr [4] S.-H. Ji, J.-T. Park, E.-J. Baek, and M.-S. Kim, Malicious traffic detection based on convolution neural network, for secure network construction, in Proc. Symp. KICS, pp , Jun [5] J.-B. Kim, H.-K. Lim, J.-S. Heo, and Y.-H. Han, Packet payload-based network traffic classification using convolutional neural network, KIPS 2018 Spring Conf., May [6] W. Wang, X. Zeng, X. Ye, Y. Sheng, and M. Zhu, Malware traffic classification using convolutional neural networks for representation learning, in 31st ICOIN, Accepted, 지세현 (Se-Hyun JI) 2018년 : 고려대학교컴퓨터정보 학과학사 2018년 ~ 현재 : 고려대학교컴퓨 터정보학과석사과정 < 관심분야 > 네트워크관리및보 안, 트래픽모니터링및분석 [ORCID: ] 백의준 (Ui-Jun Baek) 2018년고려대학교컴퓨터정보학과학사 2018년 ~ 현재 : 고려대학교컴퓨터정보학과석사과정 < 관심분야 > 네트워크관리및보안, 트래픽모니터링및분석 [ORCID: ] 신무곤 (Mu-Gon Shin) 2019년 : 고려대학교컴퓨터정보학과학사 2019년 ~ 현재 : 고려대학교컴퓨터정보학과석사과정 < 관심분야 > 네트워크관리및보안, 트래픽모니터링및분석 [ORCID: ] 채병민 (Byeong-Min Chae) 2007년 : 충남대학교물리학과학사 2012년 : 충남대학교컴퓨터공학과석사 2007년 ~2008년 : 삼성전자연구원 2008년 ~ 현재 : 한화시스템연구원 < 관심분야 > 네트워크관리및보안, 트래픽모니터링및분석 [ORCID: ] 문호원 (Ho-Won Moon) 2000년 : 한양대학교수학과학사 2000년 ~2011년 : 삼성전자연구원 2011년 ~ 현재 : 한화시스템연구원 < 관심분야 > 네트워크관리및보안, 트래픽모니터링및분석, 라우팅 [ORCID: ] 1119

8 김명섭 (Myung-Sup Kim) 1998년 : 포항공과대학교전자계산학과학사 2000년 : 포항공과대학교전자계산학과석사 2004년 : 포항공과대학교전자계산학과박사 2006년 :Dept. of ECS, Univ of Toronto Canada 2006년 ~ 현재 : 고려대학교컴퓨터정보학과교수 < 관심분야 > 네트워크관리및보안, 트래픽모니터링및분석, 멀티미디어네트워크 [ORCID: ] 1120