UNAD+: An Explainable Hybrid Framework for Unknown Network Attack Detection

Technischer Zusammenfassung von UNAD+: Ein erklärbarer hybrider Rahmen für die Erkennung unbekannter Netzwerkangriffe

Problemstellung
Die zuverlässige Erkennung bisher unbekannter (Zero-Day-)Netzwerkangriffe bleibt eine kritische Herausforderung für Intrusion-Detection-Systeme (IDS). Während überwachte Lernmethoden bei bekannten Angriffsarten gut abschneiden, versagen sie bei der Generalisierung auf neue Bedrohungen, die nicht in den Trainingsdaten vorhanden sind. Umgekehrt sind unüberwachte Anomalie-Erkennungsmethoden, die die Merkmale von normalem Datenverkehr erlernen, um Abweichungen zu identifizieren, besser für die Zero-Day-Erkennung geeignet, leiden jedoch häufig unter hohen Fehlalarmraten (False Positive Rates, FPR). Dies schränkt ihre praktische Einsatzfähigkeit ein, da sie übermäßige Warnungen generieren, die Sicherheitsanalysten belasten. Darüber hinaus fehlt bestehenden hybriden Systemen häufig Transparenz; die interne Logik komplexer Ensemble-Modelle ist oft undurchsichtig, was das Vertrauen der Analysten, die Ursachenanalyse und die Compliance in regulierten Sektoren behindert.

Methodik
Der Artikel schlägt UNAD+ vor, einen erweiterten hybriden Rahmen, der den ursprünglichen Unknown Network Attack Detector (UNAD) erweitert. UNAD+ integriert drei Kernkomponenten in eine modulare Pipeline:

1. Unüberwachtes Ensemble nur mit normalem Datenverkehr mit gewichteter Mehrheitsabstimmung (Weighted Majority Voting, WMV):

   • Die erste Stufe nutzt ein heterogenes Ensemble aus 100 Basislernern (50 Local Outlier Factor- und 50 Isolation Forest-Modelle), die ausschließlich auf bootstrapteten Teilmengen von normalem Datenverkehr trainiert wurden.
   • Im Gegensatz zum ursprünglichen UNAD, das eine einfache Mehrheitsabstimmung verwendete, setzt UNAD+ eine gewichtete Mehrheitsabstimmung ein. Während der Validierung wird jedem Basislerner ein Gewicht proportional zu seinem F1-Score zugewiesen. Während der Inferenz werden die Vorhersagen mit diesen Scores gewichtet, um die endgültige Ensemble-Ausgabe zu bestimmen. Dieser Ansatz reduziert den Einfluss schwächerer Detektoren und eliminiert Szenarien mit Stimmengleichheit, die das ursprüngliche System zuvor zu Vorhersagen für normalen Datenverkehr verzerrten.

2. Überwachter Verfeinerungsschritt:

   • Um die hohe FPR der unüberwachten Stufe zu adressieren, wird ein zweistufiger überwachter Klassifikator eingeführt.
   • Die initialen Erkennungen des Ensembles (sowohl korrekt identifizierte Angriffe als auch normale Datenflüsse) werden in Pseudo-Labels umgewandelt. Diese bilden in Kombination mit den ursprünglichen Daten für normalen Verkehr einen erweiterten Trainingsdatensatz.
   • Ein Random Forest-Klassifikator, ausgewählt aufgrund seiner Robustheit und Interpretierbarkeit, wird auf diesen pseudo-labelierten Daten trainiert. Diese Stufe lernt präzisere Entscheidungsgrenzen aus Datenverkehrsmustern, die näher an der operativen Erkennungsumgebung liegen, und korrigiert effektiv verbleibende Fehler der ersten Stufe.
   • Zwischen den Stufen wird ein „Human-in-the-Loop"-Checkpoint vorgeschlagen, um es Domänenexperten zu ermöglichen, eine Teilmenge der Pseudo-Labels zu validieren, bevor sie für das überwachte Training verwendet werden, wodurch die Fehlerfortpflanzung gemindert wird.

3. Post-Hoc-Erklärungsschicht:

   • Um die Transparenz zu erhöhen, integriert der Rahmen sowohl lokale als auch globale Erklärungsmechanismen.
   • Lokale Erklärbarkeit: LIME (Local Interpretable Model-Agnostic Explanations) wird auf den Random Forest-Klassifikator angewendet, um instanzspezifische Erklärungen zu generieren, die hervorheben, welche Datenverkehrsfunktionen (z. B. Paketlängen, Flow-Bytes) zu bestimmten Vorhersagen beigetragen haben.
   • Globale Erklärbarkeit: Ein Decision Tree-Surrogatmodell wird trainiert, um das Verhalten des Random Forest zu approximieren. Dies bietet eine vereinfachte, interpretierbare Ansicht der globalen Entscheidungslogik, einschließlich dominanter Regeln und Feature-Interaktionen.

Hauptbeiträge

• Hybride Architektur: Der Artikel zeigt eine kohärente Integration von unüberwachter Erkennung nur mit normalem Datenverkehr, überwachter Verfeinerung unter Verwendung von Pseudo-Labels und Erklärbarkeit innerhalb eines einzigen Rahmens.
• Gewichteter Abstimmungsmechanismus: Die Einführung von WMV verbessert die Entscheidungsfindung des Ensembles, indem Basislerner basierend auf ihrer Leistung gewichtet werden, wodurch mehrdeutige Stimmengleichheiten und Verzerrungen zugunsten der Klasse für normalen Datenverkehr reduziert werden.
• Reduktion von Fehlalarmen: Der überwachter Verfeinerungsschritt erweist sich als kritischer Mechanismus zur drastischen Reduzierung der Fehlalarmraten, die der unüberwachten Anomalieerkennung inhärent sind.
• Integrierte Erklärbarkeit: Der Rahmen geht über die Behandlung von Erklärbarkeit als Add-on hinaus und integriert sie als strukturelle Komponente, um das Vertrauen der Analysten und die Prüfung zu unterstützen.

Experimentelle Ergebnisse
Der Rahmen wurde auf zwei Benchmark-Datensätzen evaluiert: CICIDS2017 und NSL-KDD.

• Leistungsmetriken:
  • Auf CICIDS2017 erreichte das vollständige UNAD+-Framework einen F1-Score von 98,31 %, eine signifikante Verbesserung gegenüber dem ursprünglichen UNAD (75,19 %) und dem eigenständigen überwachten Klassifikator (90,59 %). Die Fehlalarmrate (FPR) wurde von 11,34 % (gewichtetes Ensemble) auf 0,18 % nach der Verfeinerung reduziert.
  • Auf NSL-KDD erreichte der Rahmen einen F1-Score von 98,25 % und verbesserte sich gegenüber dem ursprünglichen UNAD (93,38 %). Die FPR sank von 6,37 % auf 2,77 %.
• Klassenbezogene Analyse: Die Verfeinerungsstufe verbesserte die Erkennung für schwierige oder seltene Angriffsarten (z. B. SSH-Patator, DoS Slowhttptest, R2L und U2R) erheblich. Die Leistungsgewinne waren jedoch bei extrem seltenen Klassen begrenzt, bei denen die erste Stufe nicht genügend pseudo-labelierte Instanzen generierte, um die zweite Stufe zu trainieren.
• Evaluation der Erklärbarkeit: Die lokalen Erklärungen (LIME) erwiesen sich als plausibel, hoben sinnvolle Netzwerkmerkmale hervor und waren bei wiederholten Inspektionen stabil. Die globalen Surrogatmodelle zeigten eine hohe Fidelity (>99 %) zum Random Forest-Klassifikator und erfassten erfolgreich seine Entscheidungslogik in einem interpretierbaren Format.

Bedeutung und Behauptungen
Die Autoren behaupten, dass UNAD+ eine erhebliche Verbesserung gegenüber der ursprünglichen UNAD-Basislinie bietet, nicht nur durch prädiktive Leistung, sondern durch die Adressierung der operationellen Grenzen unüberwachter IDS. Der Artikel stellt fest, dass die Kombination aus gewichteter Ensemble-Erkennung und überwachter Verfeinerung die Notwendigkeit der Zero-Day-Erkennung effektiv mit der Anforderung niedriger Fehlalarmraten in Einklang bringt. Darüber hinaus wird die Integration der Erklärbarkeit als essenziell für den Einsatz in der realen Welt dargestellt, die es Analysten ermöglicht, Entscheidungen zu interpretieren, das Systemverhalten zu prüfen und Klassifikatorfehler zu debuggen. Die Arbeit schließt, dass der Rahmen zwar hochwirksam ist, seine Leistung bei extrem seltenen Angriffsarten jedoch von der Fähigkeit der ersten Stufe abhängt, informative Pseudo-Labels zu generieren, und dass zukünftige Arbeiten die Herausforderungen verschlüsselten Datenverkehrs adressieren sollten.