🔢 mathematics

Hybrid Topological Data Analysis and LSTM Networks for Enhanced Network Intrusion Detection Using CIC-IDS2017 Dataset

Dieses Paper schlägt ein hybrides Netzwerk-Intrusionserkennungssystem vor, das die Topologische Datenanalyse mit Long Short-Term Memory-Netzwerken integriert, um durch die effektive Erfassung sowohl topologischer als auch zeitlicher Merkmale des Netzwerkverkehrs eine nahezu perfekte Erkennungsgenauigkeit (AUC und F1-Score von 1,000) auf dem CIC-IDS2017-Datensatz zu erreichen.

Ursprüngliche Autoren: Amar Jeet, Bhaskar Ranjan Karn, Dinesh Kumar

Veröffentlicht 2026-07-01

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Amar Jeet, Bhaskar Ranjan Karn, Dinesh Kumar

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind ein Sicherheitsbeamter, der versucht, einen Dieb in einem riesigen, belebten Bahnhof aufzuspüren. Die meisten Sicherheitssysteme funktionieren wie ein Fahndungsplakat: Sie haben ein Foto eines bekannten Kriminellen (eines bekannten Virus oder eines Angriffsmusters). Wenn die Person, die vorbeiläuft, dem Foto entspricht, wird sie gestoppt. Aber was ist, wenn der Dieb eine Verkleidung trägt oder es sich um eine völlig neue Art von Kriminellem handelt, den die Polizei noch nie gesehen hat? Das „Fahndungsplakat“-System versagt.

Dieses Paper schlägt eine neue Art von Sicherheitsbeamtem vor, der zwei verschiedene Superkräfte nutzt, um diese trickreichen Diebe zu fangen: Gestaltwandeln (Topologie) und Zeitreisen (LSTM).

So funktioniert ihr neues System, aufgeschlüsselt in einfache Konzepte:

1. Die zwei Superkräfte

Superkraft A: Der „Form“-Detektiv (Topologische Datenanalyse)
Stellen Sie sich vor, Sie betrachten eine Menschenmenge nicht als einzelne Personen, sondern als eine Wolke aus Punkten.

Normaler Verkehr: Die Punkte bilden vielleicht eine glatte, solide Wolke.
Ein DDoS-Angriff (Überlastung des Systems): Die Punkte könnten sich zu einer dichten, engen Kugel zusammenballen.
Ein Port-Scan (Suche nach offenen Türen): Die Punkte könnten sich in einem spärlichen, systematischen Gitter verteilen, wie jemand, der jede Tür in einer Straße überprüft.

Die Autoren verwenden ein mathematisches Werkzeug namens Topologische Datenanalyse (TDA), um die „Form“ dieser Wolken zu betrachten. Es geht ihnen nicht um die spezifischen Details jedes einzelnen Menschen; es geht ihnen um die Schleifen, Löcher und Verbindungen in der Menge.

Die Analogie: Denken Sie an einen Kaffeebecher und einen Donut. Für ein normales Auge sehen sie unterschiedlich aus. Aber für einen Topologen sind sie dieselbe Form, weil beide genau ein Loch haben. Ähnlich betrachtet dieses System die „Löcher“ und „Schleifen“ im Netzwerkverkehr. Selbst wenn ein Hacker versucht, seinen Angriff zu tarnen (die „Farbe“ der Punkte zu ändern), bleibt die grundlegende „Form“ des Angriffs oft gleich. Das macht es für Hacker sehr schwer, sich zu verstecken.

Superkraft B: Der „Zeit“-Detektiv (LSTM-Netzwerke)
Netzwerkverkehr ist nicht nur eine Momentaufnahme; er ist ein Film. Ein Hacker klopft nicht nur an eine Tür; er klopft in einer bestimmten Reihenfolge innerhalb weniger Sekunden an 100 Türen.

LSTM (Long Short-Term Memory) ist eine Art von KI, die besonders gut darin ist, Filme zu schauen. Sie erinnert sich daran, was vor einem Moment passiert ist, um zu verstehen, was gerade jetzt passiert.
Die Analogie: Wenn Sie jemanden sehen, der normal geht, ist das in Ordnung. Aber wenn Sie sehen, wie jemand normal geht, dann plötzlich sprintet, dann stoppt, dann wieder sprintet, in einem seltsamen Muster, dann erinnert sich die LSTM an diese Sequenz und sagt: „Das sieht nicht nach einem normalen Pendelweg aus.“

2. Das hybride Teamwork

Das Paper schlägt vor, dass es gut ist, nur den „Form“-Detektiv oder nur den „Zeit“-Detektiv zu verwenden, aber die Nutzung von beidem zusammen ist perfekt.

Sie haben ein System gebaut, bei dem:

Der Form-Detektiv einen Block von Datenverkehr betrachtet und sagt: „Das sieht aus wie eine dichte Kugel aus Verbindungen (ein DDoS-Angriff)!“
Der Zeit-Detektiv die Sequenz beobachtet und sagt: „Und sie haben es in einem schnellen, sich wiederholenden Muster gemacht!“
Sie kombinieren ihre Notizen zu einem einzigen Bericht.

3. Die Testfahrt (Das Experiment)

Das Team hat dieses neue System mit einem berühmten Datensatz namens CIC-IDS2017 getestet. Denken Sie an diesen Datensatz als eine massive, realistische Simulation eines Bahnhofs, die Folgendes enthält:

Über 2,8 Millionen „Passagiere“ (Netzwerkverbindungen).
14 verschiedene Arten von „Dieben“ (Angriffe wie DDoS, Brute Force, Botnets usw.).
Eine Mischung aus normalen Menschen und Kriminellen.

Die Ergebnisse:
Die Ergebnisse waren unglaublich hoch. Das Paper behauptet, dass ihr hybrides System in ihren Tests eine:

Genauigkeit von 100 % bei der Unterscheidung zwischen normalem Verkehr und Angriffen erreichte.
Andere Standardmethoden (wie Random Forests oder Isolation Forests), die etwas niedrigere Werte hatten, übertraf.
Selbst als sie es auf spezifische, seltene Arten von Angriffen (wie „Botnets“ oder „Infiltration“) testeten, konnten sie diese immer noch entdecken.

4. Warum das wichtig ist (laut dem Paper)

Es ist schwer zu täuschen: Da das System die „Form“ der Daten betrachtet, können Hacker sich nicht leicht verstecken, indem sie nur kleine Details ändern. Die allgemeine Struktur ihres Angriffs verrät sie.
Es versteht die Zeit: Es betrachtet nicht nur einen Moment; es versteht die Geschichte des Angriffs, während er sich entfaltet.
Es ist eine neue Art des Denkens: Anstatt nur bekannte schlechte Muster auswendig zu lernen, lernt dieses System, die Geometrie und den Rhythmus eines Angriffs zu erkennen.

5. Der Haken (Erwähnte Einschränkungen)

Die Autoren sind ehrlich bezüglich der Nachteile:

Es ist schwerfällig: Das Berechnen dieser „Formen“ erfordert viel Rechenleistung. Es ist, als würde man versuchen, die Form einer Wolke zu analysieren, während es regnet; es ist rechenintensiv.
Es braucht Feinabstimmung: Man muss die Regeln sorgfältig festlegen (wie zum Beispiel die Größe der „Zeitfenster“), damit es am besten funktioniert.
Es ist neu: Sie haben es nur mit einem spezifischen Datensatz (CIC-IDS2017) getestet. Sie geben zu, dass sie es auf anderen modernen Datensätzen testen müssen, um sicher zu sein, dass es überall funktioniert.

Zusammenfassung

Kurz gesagt sagt dieses Paper: „Wenn Sie Netzwerk-Hacker fangen wollen, schauen Sie nicht nur auf deren Gesichter (bekannte Muster). Schauen Sie auf die Form ihrer Menge und den Rhythmus ihrer Schritte. Durch die Kombination eines mathematischen Werkzeugs, das Formen sieht, mit einer KI, die die Zeit erinnert, können wir Eindringlinge mit nahezu perfekter Genauigkeit aufspüren.“

Technisches Resümee: Hybride Topologische Datenanalyse und LSTM-Netzwerke zur verbesserten Erkennung von Netzwerkintrusionen

1. Problemstellung

Netzwerk-Intrusionserkennungssysteme (NIDS) stehen in modernen Cybersicherheitsumgebungen vor erheblichen Herausforderungen, einschließlich hochdimensionaler Merkmalsräume, zeitlicher Abhängigkeiten im Netzwerkverkehr, Klassenungleichgewichten zwischen normalen und bösartigen Operationen sowie der Notwendigkeit der Echtzeitverarbeitung. Traditionelle signaturbasierte Systeme haben Schwierigkeiten mit Zero-Day-Exploits und dynamischen Bedrohungslagen. Während Deep Learning, insbesondere Long Short-Term Memory (LSTM)-Netzwerke, vielversprechende Ergebnisse bei der Modellierung sequenzieller Daten gezeigt hat, scheitern statische Klassifikatoren oft daran, die zugrunde liegenden geometrischen Strukturen des Netzwerkverkehrs zu erfassen. Zudem setzen Angreifer häufig Obfuskations- und Evasionsstrategien ein, die Standard-Statistikansätze umgehen können. Diese Forschung adresst das Bedürfnis nach einem System, das gleichzeitig sowohl die strukturellen (topologischen) als auch die temporalen Charakteristika des Netzwerkverkehrs erfassen kann, um die Anomalieerkennung zu verbessern.

2. Methodik

Die Arbeit schlägt eine neuartige hybride Architektur vor, die Topologische Datenanalyse (TDA) mit LSTM-Netzwerken über ein Multi-Layer-Perceptron (MLP) Fusionsnetzwerk integriert. Die Methodik ist wie folgt strukturiert:

A. Datenvorverarbeitung

Die Studie nutzt den CIC-IDS2017-Datensatz, der über 2,8 Millionen gelabelte bidirektionale Netzwerkflüsse mit 77 Merkmalen (nach der Vorverarbeitung) und 14 Angriffskategorien (einschließlich DDoS, Brute Force, Webangriffe, Infiltration und Botnets) enthält. Die Vorverarbeitungspipeline umfasst:

Datenbereinigung (Entfernen von Duplikaten, unendlichen Werten und NaN-Werten).
Min-Max-Normalisierung numerischer Merkmale.
Stratifizierte Subsampling-Verfahren, um Klassenverhältnisse beizubehalten und gleichzeitig die Rechenkosten für die TDA zu bewältigen.
Konstruktion überlappender Zeitfenster (Fenstergröße $w=50$ , Schrittweite $s=25$ ), um temporale Sequenzen zu erfassen.

B. Komponente der Topologischen Datenanalyse (TDA)

Das TDA-Modul extrahiert strukturelle Merkmale aus den Zeitfenstern der Netzwerkdaten:

Punktwolken-Konstruktion: Jedes Zeitfenster wird als Punktwolke in einem hochdimensionalen Raum behandelt.
Persistente Homologie: Eine Vietoris-Rips-Filtration wird unter Verwendung der euklidischen Distanz konstruiert. Dies erfasst topologische Merkmale (verbundene Komponenten und Schleifen), die über mehrere Skalen hinweg persistieren.
Betti-Kurven: Die Persistenzdiagramme werden in funktionale Repräsentationen namens Betti-Kurven ( $\beta_0$ und $\beta_1$ ) umgewandelt, welche die Konnektivität und Schleifenmuster beschreiben. Diese Kurven werden in festlängen-Vektoren (200 Punkte) diskretisiert.
Merkmalsextraktion: Die resultierenden Vektoren ( $z_{TDA}$ ) repräsentieren topologische Invarianten, die robust gegenüber Rauschen und kontinuierlicher Deformation sind.

C. LSTM-Komponente

Das LSTM-Modul verarbeitet die sequenziellen Netzwerkdaten, um temporale Abhängigkeiten zu erfassen:

Architektur: Zwei gestapelte LSTM-Schichten (64 und 32 Hidden Units) mit Dropout (0,2) und Batch-Normalisierung.
Funktion: Der Gating-Mechanismus der LSTMs erfasst weitreichende temporale Abhängigkeiten und löst das Problem verschwindender Gradienten, das bei Standard-RNNs auftritt.
Ausgabe: Das Modul erzeugt eine temporale Merkmalsrepräsentation ( $z_{LSTM}$ ).

D. Hybride Fusion

Die zentrale Innovation liegt in der Merkmalsfusion:

Die topologischen Merkmale ( $z_{TDA}$ ) und die temporalen Merkmale ( $z_{LSTM}$ ) werden konkateniert.
Ein gelerntes MLP-Fusionsnetzwerk verarbeitet diese kombinierte Repräsentation.
Die finale Ausgabeschicht verwendet eine Softmax-Aktivierung für die binäre Klassifikation (Normal vs. Angriff).

3. Zentrale Beiträge

Die Arbeit skizziert vier primäre Beiträge:

Neuartige Architektur: Ein hybrides TDA+LSTM-Framework, das die topologische Merkmalsextraktion mit tiefem temporalem Modeling zur Netzwerk-Intrusionserkennung integriert.
Mathematische Formulierung: Eine rigorose Definition der Betti-Kurven-Extraktion und deren Fusion mit Deep-Learning-Modellen, speziell unter Nutzung persistenter Homologie zur Generierung rauschresistenter Merkmale.
Umfassende Evaluierung: Eine gründliche experimentelle Bewertung auf dem CIC-IDS2017-Benchmark, einschließlich Ablationsstudien, 5-facher Kreuzvalidierung und statistischer Signifikanztests.
Merkmalsanalyse: Eine eingehende Untersuchung darüber, wie topologische Merkmale (speziell Betti-Kurven) die temporalen Repräsentationen über verschiedene Angriffskategorien hinweg ergänzen.

4. Experimentelle Ergebnisse

Das vorgeschlagene Modell wurde gegen Baselines evaluiert, darunter Isolation Forest, TDA+Random Forest, traditionelles SVM und ein eigenständiges LSTM.

Leistungsmetriken: Das hybride TDA+LSTM-Modell erreichte einen AUC-Wert von 1,000 und einen F1-Score von 1,000 auf dem CIC-IDS2017-Datensatz.
Kreuzvalidierung: Eine 5-fache Kreuzvalidierung ergab einen mittleren AUC von $1,000 \pm 0,000$ und einen mittleren F1-Score von $0,999 \pm 0,001$ .
Vergleichende Analyse:
- TDA+LSTM Hybrid: F1 = 1,000
- TDA + Random Forest: F1 = 0,994
- Isolation Forest: F1 = 0,835
- Eigenständiges LSTM: F1 = 1,000 (Hinweis: Die Arbeit stellt fest, dass das hybride Modell eine wettbewerbsfähige Leistung mit dem eigenständigen LSTM erzielt, betont jedoch den Mehrwert der topologischen Interpretierbarkeit).
Ablationsstudie:
- Nur TDA (MLP): F1 = 0,990
- Nur LSTM: F1 = 1,000
- Hybrid: F1 = 1,000
- Die Studie zeigt, dass das LSTM allein zwar außergewöhnlich gut abschneidet, die topologischen Merkmale jedoch komplementäre Informationen liefern, insbesondere beim Umgang mit Klassenungleichgewichten und der Bereitstellung geometrischer Erkenntnisse.
Rechenaufwand: Das hybride Modell erfordert eine längere Trainingszeit (1,4 Minuten) und mehr Speicher (469 MB) im Vergleich zu traditionellem SVM (<0,1 Min, 89 MB) oder TDA+RF (0,3 Min, 145 MB), was auf einen Trade-off zwischen Rechenaufwand und Merkmalsreichhalt hindeutet.

5. Bedeutung und Behauptungen

Die Arbeit behauptet, dass der hybride Ansatz durch die Verschmelzung der Lernfähigkeit tiefer neuronaler Netze mit der mathematischen Strenge der topologischen Datenanalyse ein neues Paradigma für die Netzwerk-Intrusionserkennung bietet.

Synergieeffekte: Die Kombination von TDA und LSTM bietet eine robuste Leistung, wobei die topologischen Merkmale Stabilität gegenüber Rauschen und Perturbationen bieten, die statistische Methoden oft behindern.
Interpretierbarkeit: Im Gegensatz zu "Black-Box"-Deep-Learning-Modellen liefert die TDA-Komponente geometrische Einblicke in Angriffsmuster (z. B. dichte Konnektivität bei DoS-Angriffen vs. spärliche Exploration bei PortScans).
Robustheit: Das Modell demonstriert Effektivität über verschiedene Angriffskategorien hinweg, einschließlich Brute Force, Botnets und Webangriffe, mit perfekter Klassifikation innerhalb der getesteten Fenster.
Einschränkungen: Die Autoren räumen bescheiden Einschränkungen ein, einschließlich des erhöhten Rechenaufwands für groß angelegte Installationen, der Sensitivität gegenüber Parametereinstellungen (Fenstergröße, Filtrationsradius) und der Notwendigkeit einer weiteren Validierung auf anderen modernen Datensätzen (z. B. CICIoT2023, UNSW-NB15), bevor die Behauptungen generalisiert werden können.

Zusammenfassend validiert die Forschung, dass die Integration topologischer Invarianten mit temporaler Sequenzmodellierung die Erkennung komplexer Netzwerkintrusionen verbessert und eine Methode bietet, die sowohl hochgradig präzise als auch strukturell interpretierbar ist.