重组与预测：一种基于自编码器的离散事件异常检测新方法
机器学习
2021-06-04 v1
摘要
入侵检测领域最具挑战性的问题之一是离散事件日志的异常检测。虽然早期工作大多集中于在人工设计特征上应用无监督学习，但近期工作已开始通过深度学习方法对离散事件条目进行抽象来解决这一挑战。受自然语言处理启发，基于LSTM的异常检测模型被提出。它们试图预测后续事件，并在预测未满足特定准则时发出异常警报。然而，这种预测下一事件的方法存在一个根本局限：事件预测可能无法充分利用序列的显著特征。这一局限导致了高假阳性（FPs）和高假阴性（FNs）。考察序列结构以及单个事件间的双向因果性也至关重要。为此，我们提出了一种新方法：将事件序列重组作为异常检测。我们提出DabLog，一种基于深度自编码器的离散事件日志异常检测方法。根本区别在于，我们的方法不是预测后续事件，而是通过分析与重构（编码与解码）给定序列来判断该序列正常还是异常。我们的评估结果表明，这一新方法能显著减少FPs和FNs的数量，从而取得更高的分数。
引用
@article{arxiv.2012.13972,
title = {Recomposition vs. Prediction: A Novel Anomaly Detection for Discrete Events Based On Autoencoder},
author = {Lun-Pin Yuan and Peng Liu and Sencun Zhu},
journal= {arXiv preprint arXiv:2012.13972},
year = {2021}
}