From Packets to Tokens: A Transformer Framework for Real-Time Network Traffic Classification

Das Internet ist ein riesiger, unsichtbarer Fluss von Informationen, der alles von einer kurzen Textnachricht bis hin zu einer massiven Videodatei transportiert. Seit Jahrzehnten versuchen die Wächter dieses digitalen Flusses – Netzwerkadministratoren und Sicherheitsexperten – zu verstehen, was sich durch ihre Systeme bewegt. Sie mussten wissen, ob ein Datenstrom ein harmloser Videoanruf, eine wichtige geschäftliche E-Mail oder ein Anzeichen eines Cyberangriffs war. Traditionell taten sie dies, indem sie die „Adressetiketten“ auf den Datenpaketen betrachteten, wie etwa die Portnummern oder die spezifischen Software-Signaturen. Doch da das Internet komplexer und sicherer geworden ist, ist der Großteil dieses Verkehrs nun verschlüsselt. Die Etiketten sind verborgen, und der Inhalt ist so verriegelt, dass alte Inspektionsmethoden nutzlos werden. Dies hat die dringende Notwendigkeit nach einer neuen Art von Intelligenz geschaffen, die in der Lage ist, die Form und den Rhythmus des Verkehrs selbst zu verstehen, ohne die geheimen Nachrichten im Inneren lesen zu müssen.

Um dies zu lösen, haben Forscher begonnen, Ideen daraus zu entleihen, wie Computer menschliche Sprache verstehen. Genau wie ein Satz aus Wörtern besteht, die ihre Bedeutung aus den umgebenden Wörtern gewinnen, besteht eine Netzwerkverbindung aus Datenpaketen, die eine Geschichte basierend auf der Reihenfolge ihres Eintreffens erzählen. Eine neue Studie eines Teams der Universidad Francisco de Vitoria und anderer Institutionen schlägt einen Weg vor, diese digitalen Pakete wie Wörter in einem Buch zu behandeln. Sie entwickelten ein System, das Rohdaten des verschlüsselten Verkehrs aufnimmt, diese in kleine, handhabbare Stücke zerlegt und diese Stücke in eine numerische Sprache übersetzt, die ein Computer lesen kann. Dieser Ansatz ermöglicht es dem System, die einzigartige „Grammatik“ verschiedener Arten von Internetverkehr zu erlernen und zwischen einem Videostream, einem Dateidownload oder einem Sprachanruf zu unterscheiden, selbst wenn der Inhalt verborgen bleibt.

Die Forscher konzentrierten sich auf eine spezifische Herausforderung: die Klassifizierung von fünf gängigen Arten von Internetaktivitäten – Chat, E-Mail, Dateitransfer, Streaming und Sprachanrufe – unter Verwendung einer leistungsstarken Art von künstlicher Intelligenz namens Transformer. Diese Technologie, die ursprünglich für ihre Fähigkeit bekannt wurde, Sprachen zu übersetzen und Texte zu schreiben, ist darauf ausgelegt, den Kontext und die Beziehungen innerhalb einer Sequenz zu verstehen. Das Team baute eine vollständige Pipeline, die damit beginnt, den Live-Netzwerkverkehr zu erfassen, ähnlich wie das Aufzeichnen eines Gesprächs. Anschließend bereinigten sie diese Daten, entfernten unnötige Teile und gruppierten die verbleibenden Pakete in kleine, fest dimensionierte Chunks, die sogenannten Semi-Flows. Diese Chunks wurden dann in eine Serie von Zahlen, oder Tokens, umgewandelt, die die Rohdaten der Nachricht repräsentieren. Diese Transformation ist entscheidend, da sie den chaotischen, verschlüsselten Fluss des Internets in eine strukturierte Sequenz verwandelt, die die KI analysieren kann.

Nachdem die Daten vorbereitet worden waren, speiste das Team sie in ihr Transformer-Modell ein. Im Gegensatz zu älteren Systemen, die vielleicht ein Paket nach dem anderen betrachten, betrachtet dieses Modell die gesamte Sequenz auf einmal und versteht, wie das erste Paket mit dem letzten zusammenhängt. Die Ergebnisse waren beeindruckend. Als das System an einem großen, Standard-Datensatz des Netzwerkverkehrs getestet wurde, identifizierte es die Art der Aktivität in 93,11 % der Fälle korrekt. Dieses Maß an Genauigkeit ist signifikant, da der Datensatz stark verzerrt war; einige Arten von Verkehr, wie etwa Dateitransfers, waren weitaus häufiger als andere, wie etwa E-Mails. Trotz dieser Unausgewogenheit schnitt das Modell flächendeckend gut ab, was zeigt, dass es die wahren Merkmale jeder Verkehrsart erlernt hatte, anstatt lediglich basierend auf der Häufigkeit zu raten. Das System war besonders gut darin, Sprachanrufe und Dateitransfers zu identifizieren und sie fast jedes Mal korrekt zu erkennen, während es bei E-Mails größere Schwierigkeiten hatte, was wahrscheinlich daran lag, dass es im Trainingsdatensatz zu wenige Beispiele dafür gab, um daraus zu lernen.

Der wahre Test war jedoch, ob dieses System in der realen Welt, in Echtzeit, funktionieren kann. Die Forscher richteten ein Live-Experiment ein, bei dem sie tatsächlichen Internetverkehr von einem WLAN-Netzwerk erfassten und diesen während des Geschehens durch ihr System verarbeiteten. Sie fanden heraus, dass das System schnell genug war, um mit dem Datenfluss Schritt zu halten. Für die meisten Arten von Verkehr war die Zeit, die für die Verarbeitung der Daten benötigt wurde, nur ein winziger Bruchteil der Zeit, die für deren Erfassung aufgewendet wurde. Tatsächlich konnte das System ein vollständiges achtsekündiges Fenster der Netzwerkaktivität in weniger als einem Zehntel einer Sekunde verarbeiten, was dem System genügend Zeit lässt, um zu reagieren oder einen Administrator zu alarmieren. Diese Geschwindigkeit deutet darauf hin, dass ein solches Werkzeug auf Live-Netzwerken eingesetzt werden könnte, um den Verkehr sofort zu überwachen, anstatt nur alte Aufzeichnungen im Nachhinein zu analysieren.

Dennoch zeigte die Studie auch die Grenzen dieser Intelligenz auf. Als die Forscher das System mit Anwendungen testeten, die es zuvor noch nie gesehen hatte, waren die Ergebnisse gemischt. Das Modell funktionierte gut, wenn der Verkehr von denselben Arten von Programmen stammte, die es gelernt hatte, aber es hatte Schwierigkeiten, wenn es mit neuen, modernen Anwendungen konfrontiert wurde. Beispielsweise war es perfekt darin, eine bestimmte Art von Sprachanruf zu identifizieren, der in den Trainingsdaten verwendet wurde, versagte jedoch völlig, als es gebeten wurde, einen Videanruf über ein populäres modernes Konferenztool zu erkennen. Es verwechselte den Videoanruf mit einem Videostream, was zeigt, dass das System die spezifischen Muster der alten Daten erlernt hatte, anstatt das allgemeine Konzept eines Videoanrufs. Dies deutet darauf hin, dass die Technologie zwar leistungsstark ist, aber ständig mit frischen Daten neu trainiert werden muss, um mit der sich ständig ändernden Landschaft des Internets Schritt zu halten.

Letztendlich zeigt diese Arbeit, dass die Behandlung von Netzwerkverkehr als eine Sequenz von Tokens, ähnlich wie Wörter in einem Satz, ein praktikabler und leistungsstarker Weg zur Klassifizierung von Internetaktivitäten ist. Die Forscher haben gezeigt, dass ein auf Transformern basierendes Framework eine hohe Genauigkeit erreichen und in Echtzeit operieren kann, was einen vielversprechenden Pfad für die Netzwerksicherheit und das Netzwerkmanagement eröffnet. Die Studie dient jedoch auch als Erinnerung daran, dass künstliche Intelligenz nur so gut ist wie die Daten, aus denen sie lernt. Wenn neue Anwendungen entstehen und die Verschlüsselung sich weiterentwickelt, müssen sich auch diese Systeme mit ihnen entwickeln. Die Zukunft der Netzwerküberwachung könnte darin liegen, diese Echtzeit-Klassifizierung mit anderen Methoden zu kombinieren, indem man das System beispielsweise zuerst zur Identifizierung der Verkehrsart nutzt und dann fortschrittlichere Werkzeuge einsetzt, um festzustellen, ob dieser Verkehr bösartig agiert. Für den Moment stellt die Fähigkeit, den Fluss des Internets sofort zu verstehen, selbst wenn seine Inhalte verschlossen sind, einen bedeutenden Schritt in Richtung einer sichereren und besser verwaltbaren digitalen Welt dar.