Hybrid LSTM–LightGBM Model for Multiclass DDoS Attack Detection in 5G and IoT Networks

Das Internet hat sich von einem Netzwerk aus Computern zu einem riesigen, unsichtbaren Netz entwickelt, das Milliarden von Alltagsgegenständen verbindet, von intelligenten Thermostaten bis hin zu industriellen Sensoren. Diese Expansion, bekannt als das Internet der Dinge, beruht auf Hochgeschwindigkeits-Kommunikationssystemen, um alles reibungslos am Laufen zu halten. Diese Konnektivität schafft jedoch eine neue Art von Verwundbarkeit. Böswillige Akteure können koordinierte digitale Angriffe starten, die diese Netzwerke mit so viel Datenverkehr überfluten, dass legitime Dienste aufhören zu funktionieren. Diese Angriffe, genannt Distributed Denial-of-Service, werden immer schneller und komplexer und entwickeln sich auf eine Weise, die es schwierig macht, sie mit herkömmlichen Sicherheitstools zu entdecken. Jahrelang verließen sich Sicherheitssysteme auf statische Regeln oder einfache statistische Prüfungen, um Probleme zu identifizieren, aber diese Methoden haben oft Schwierigkeiten, mit den schnellen, sich ständig ändernden Mustern moderner Cyber-Bedrohungen Schritt zu halten.

Um dieser Herausforderung zu begegnen, haben die Forscher Asma Djama, Mohamed Maazouz, Hamza Kheddar und Muhammet Ali Akcayol einen neuen Ansatz entwickelt, der zwei verschiedene Arten von künstlicher Intelligenz kombiniert. Ihre Arbeit konzentriert sich auf die Entwicklung eines Systems, das diese Angriffe nicht nur erkennen, sondern auch den zeitlichen Ablauf und die Sequenz der durch ein Netzwerk fließenden Daten verstehen kann. Die Forscher bauten ein Hybridmodell, das zuerst ein neuronales Netzwerk verwendet, das darauf ausgelegt ist, Sequenzen zu speichern, ähnlich wie ein Mensch die Reihenfolge von Ereignissen in einer Geschichte erinnern kann. Dieser Teil des Systems, genannt Long Short-Term Memory oder LSTM, beobachtet den Fluss des Netzwerkverkehrs über die Zeit hinweg, um subtile Muster aufzuspüren, die darauf hindeuten, dass ein Angriff im Entstehen begriffen ist. Sobald dieses System diese zeitlichen Muster identifiziert hat, leitet es die Informationen an einen zweiten, hocheffizienten Klassifizierer namens LightGBM weiter. Diese zweite Komponente fungiert als schneller Entscheidungsträger, der den Datenverkehr in spezifische Kategorien sortiert, um genau zu bestimmen, welche Art von Angriff stattfindet, falls überhaupt einer vorliegt.

Das Team testete dieses kombinierte System anhand von drei großen, realistischen Sammlungen von Netzwerkdaten, die sowohl normalen Datenverkehr als auch verschiedene Arten von bösartigen Angriffen enthielten. Diese Datensätze repräsentierten unterschiedliche Umgebungen, die von Standard-Computernetzwerken bis hin zu komplexen Setups mit Tausenden von verschiedenen IoT-Geräten reichten. Die Ergebnisse zeigten, dass das Modell durch die Lehre des Systems, auf die Sequenz von Ereignissen statt nur auf isolierte Momentaufnahmen von Daten zu achten, signifikant besser darin wurde, zwischen verschiedenen Arten von Angriffen zu unterscheiden. In Tests mit einem Datensatz von über 450.000 Stichproben, die verschiedene Flood-Angriffe darstellten, identifizierte das Hybridmodell die Art des Datenverkehrs in 97,80 % der Fälle korrekt. Bei einem Test mit einem anderen Datensatz mit fast 400.000 Stichproben erreichte es eine Genauigkeit von 96,80 %. Vielleicht am beeindruckendsten war, dass das System auf einem weit verbreiteten Benchmark-Datensatz mit über 390.000 Stichproben eine Genauigkeit von 99,89 % erreichte.

Eine zentrale Erkenntnis der Forschung ist, dass die Kombination dieser beiden Methoden die Verwendung entweder einer einzelnen Methode allein übertrifft. Als die Forscher die Entscheidungskomponente ohne den Sequenzlernteil testeten, sank die Fähigkeit des Systems, ähnlich aussehende Angriffe voneinander zu unterscheiden, merklich. Beispielsweise hatte das System Schwierigkeiten, zwischen zwei spezifischen Arten von Flooding-Angriffen zu unterscheiden, die in ihren Basisstatistiken sehr ähnlich aussehen, sich aber im Zeitverlauf unterschiedlich verhalten. Durch das Hinzufügen der Sequenzlernschicht konnte das Modell den Unterschied darin sehen, wie die Datenpakete eintrafen, was zu einem viel klareren Bild der Bedrohung führte. Die Forscher verwendeten auch eine Technik namens SHAP, um in den Entscheidungsprozess des Modells hineinzusehen und sicherzustellen, dass das System nicht nur rät, sondern tatsächlich auf aussagekräftigen Merkmalen basiert, um seine Entscheidungen zu treffen. Diese Transparenz ist entscheidend für Sicherheitsteams, die auf die von ihnen erhaltenen Warnmeldungen vertrauen müssen.

Über die Genauigkeit hinaus hob die Studie hervor, dass das System schnell genug für den realen Einsatz ist. In einer Welt, in der Angriffe in Millisekunden geschehen, muss ein Sicherheitstool sofort reagieren. Die Forscher fanden heraus, dass ihr Modell eine Vorhersage in weniger als einer Hundertstel Millisekunde auf den größten Datensätzen treffen konnte, eine Geschwindigkeit, die es ermöglicht, es in Live-Netzwerken einzusetzen, ohne diese zu verlangsamen. Diese Effizienz macht den Ansatz geeignet für ressourcenbeschränkte Geräte, wie die Sensoren in Smart Homes oder industriellen Umgebungen, die keine schweren Rechenlasten bewältigen können. Die Arbeit legt nahe, dass indem man Maschinen lehrt, den Rhythmus des Netzwerkverkehrs zu verstehen, Sicherheitssysteme weitaus widerstandsfähiger gegen die sich entwickelnden Taktiken von Cyber-Angreifern werden können, was einen robusten Schutz für die vernetzte Zukunft bietet.