A Multi Method Importance and Performance Efficiency Analysis of Topological Metrics for Natural Visibility Graph Based Cyber Attack Detection
Diese Studie zeigt, dass die Anwendung einer konsensbasierten Wichtigkeitsanalyse auf Metriken der Natural Visibility Graph ermöglicht, eine kompakte Teilmenge von drei topologischen Merkmalen auszuwählen, welche die Genauigkeit der Erkennung von Cyberangriffen signifikant verbessert und die Rechenlaufzeit im Vergleich zur Verwendung des vollständigen Satzes von 21 Metriken um über 96 % reduziert.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der digitalen Welt fließt der Netzwerkverkehr wie ein ständiger Strom von Daten, der alles von harmlosem Surfen im Web bis hin zu ausgeklügelten Cyberangriffen transportiert. Um Systeme zu schützen, nutzen Sicherheitsexperten Computerprogramme, um diesen Fluss zu überwachen und nach Mustern zu suchen, die auf Gefahr hindeuten. Jahrelang verließen sich diese Programme auf das Zählen einfacher Dinge, wie etwa, wie viele Datenpakete durch eine Tür fließen oder wie lange eine Verbindung dauert. Forscher haben jedoch begonnen zu erkennen, dass die Form der Daten selbst mehr Hinweise enthalten könnte als nur die bloßen Zahlen. Stellen Sie sich vor, Sie nehmen eine Zahlenreihe, die einen Datenstrom repräsentiert, und verwandeln sie in eine Karte, bei der jeder Punkt ein Tupfen ist und Linien Punkte verbinden, die einander „sehen“ können, ohne durch etwas dazwischen blockiert zu werden. Dies erzeugt ein einzigartiges Netz oder einen Graphen, der den Rhythmus und die Struktur der ursprünglichen Daten bewahrt. Indem Wissenschaftler die Form dieser Netze untersuchen – wie eng die Punkte zusammenclustern, wie viele Pfade zwischen ihnen existieren und wie zentral bestimmte Punkte sind –, können sie verborgene Signaturen bösartiger Aktivitäten aufdecken, die das Standard-Zählen übersehen könnte.
Ein Forschungsteam der Karabuk-Universität in der Türkei machte sich daran zu testen, wie nützlich diese formbasierten Hinweise für das Erraten von Cyberangriffen tatsächlich sind. Sie begannen mit einer massiven Sammlung von Netzwerkprotokollen, die sowohl normalen Datenverkehr als auch verschiedene Arten von Angriffen enthielten. Anstatt die Rohdaten direkt in ein Computerprogramm einzuspeisen, verwandelten sie zuerst kleine Stücke der Daten in diese visuellen Netze. Aus jedem Netz extrahierten sie einundzwanzig verschiedene Messwerte, oder topologische Metriken, um dessen Struktur zu beschreiben. Einige dieser Messwerte betrachteten, wie stark die Punkte miteinander verbunden waren, andere untersuchten den durchschnittlichen Abstand zwischen den Punkten, und wieder andere analysierten, wie die Punkte in Gemeinschaften gruppiert waren. Die Forscher nutzten dann eine leistungsstarke Art von künstlicher Intelligenz, ein faltendes neuronales Netzwerk (Convolutional Neural Network), um zu lernen, wie man zwischen den durch normalen Verkehr erzeugten Netzen und den durch Angriffe erzeugten Netzen unterscheidet.
Die zentrale Frage, die das Team beantworten wollte, war, ob alle einundzwanzig dieser Formmesswerte tatsächlich notwendig waren. In vielen wissenschaftlichen Bereichen gehen Forscher oft davon aus, dass das Sammeln von mehr Daten zu besseren Ergebnissen führt, aber in diesem Fall nimmt die Extraktion jedes einzelnen Messwerts eine beträchtliche Zeit und Rechenleistung in Anspruch. Das Team vermutete, dass einige dieser Messwerte redundant oder weniger hilfreich als andere sein könnten. Um dies herauszufinden, wandten sie vier verschiedene Methoden an, um die Wichtigkeit jedes Messwerts zu bewerten. Eine Methode untersuchte, wie stark das Vertrauen des Computers sank, wenn ein spezifischer Messwert manipuliert wurde; eine andere verglich die realen Messwerte mit zufälligem Rauschen, um zu sehen, welche hervorstachen; eine dritte Methode entfernte systematisch die am wenigsten nützlichen Werte, um zu sehen, was übrig blieb; und eine vierte Methode nutzte einen mathematischen Ansatz, um genau zu erklären, wie viel jeder Messwert zum endgültigen Entscheidungsprozess beitrug. Durch die Kombination der Ergebnisse dieser vier unterschiedlichen Ansätze erstellten sie ein einziges, abgestimmtes Ranking der einundzwanzig Metriken.
Die Ergebnisse dieser Analyse zeigten eine klare Hierarchie auf. Die Messwerte, die beschrieben, wie dicht die Punkte im Netz zusammenclustern, erwiesen sich als am wertvollsten. Insbesondere der Median, die Standardabweichung und der Mittelwert dieser Clustering-Werte wurden als die drei wichtigsten Indikatoren eingestuft. Im Gegensatz dazu wurden andere Messwerte, wie etwa jene, die die längsten Pfade oder die Gesamtgröße des Netzes beschrieben, deutlich niedriger eingestuft. Die Forscher testeten diesen Befund, indem sie ihr Computerprogramm mit nur den am höchsten bewerteten Messwerten trainierten, wobei sie die Anzahl der Eingaben schrittweise von allen einundzwanzig auf nur noch die obersten drei reduzierten. Sie verglichen die Leistung dieser kleineren Datensätze mit dem vollständigen Satz von einundzwanzig Werten.
Das Ergebnis war überraschend. Als das Computerprogramm mit nur den drei wichtigsten Clustering-Messwerten trainiert wurde, schnitt es besser ab, als wenn es mit dem vollständigen Satz von einundzwanzig Werten trainiert worden wäre. Das vereinfachte Modell identifizierte Angriffe mit einer Genauigkeit von 97,148 Prozent, verglichen mit 95,999 Prozent für das vollständige Modell. Es erreichte zudem eine höhere Punktzahl bei der Balance der Erkennung verschiedener Angriffsarten. Noch wichtiger war, dass diese Verbesserung mit einem massiven Gewinn an Geschwindigkeit einherging. Der vollständige Satz an Messwerten benötigte fast fünfzehntausend Sekunden, um den gesamten Versuch zu durchlaufen, während die obersten drei Messwerte nur etwa fünfhundertachtundachtzig Sekunden benötigten. Dies entspricht einer Reduzierung der Rechenzeit um über sechsundneunzig Prozent. Die Studie legt nahe, dass Sicherheitssysteme durch die Konzentration auf die informativsten strukturellen Hinweise und das Verwerfen des Rests sowohl schneller als auch genauer werden können.
Die Forscher merkten an, dass dieses Ergebnis nicht bedeutet, dass alle anderen Messwerte nutzlos sind, sondern vielmehr, dass sie für diesen spezifischen Datentyp und dieses spezifische Computermodell die zusätzlichen Informationen nicht halfen und sie sogar ablenken konnten. Die drei wichtigsten Messwerte, die das lokale Clustering der Datenpunkte beschreiben, schienen die wesentliche Signatur der Angriffe zu enthalten. Die Studie kommt zu dem Schluss, dass ein kompakter, sorgfältig ausgewählter Satz von Merkmalen einen größeren, ungefilterten Datensatz übertreffen kann. Obwohl die Ergebnisse spezifisch für den in diesem Experiment verwendeten Datensatz und die Methoden sind, bieten sie einen klaren Weg für den Aufbau effizienterer Cyberabwehrsysteme. Indem man versteht, welche strukturellen Details am wichtigsten sind, können zukünftige Werkzeuge so gestaltet werden, dass sie Bedrohungen mit größerer Geschwindigkeit und Präzision erkennen, ohne die Last, unnötige Daten verarbeiten zu müssen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.