TOPIC: Deep Learning Approach for Network Intrusion Detection and Multi-Class Attack Classification Using UNSW-NB15 Dataset

Stellen Sie sich vor, Sie sind der Sicherheitsbeamte für einen riesigen, belebten Flughafen (das Internet). Ihr Job ist es, jeden zu entdecken, der versucht, eine Waffe einzuschmuggeln, einen Koffer zu stehlen oder Panik zu verbreiten (Cyberangriffe).

Lange Zeit nutzten Sicherheitsbeamte einen „Steckbrief“-Ansatz. Sie hatten eine Liste mit Gesichtern bekannter Krimineller. Wenn jemand wie die Person auf dem Steckbrief aussah, wurde er gestoppt. Das war es, was traditionelle Computersicherheitssysteme taten: Sie suchten nach bekannten „Signaturen“ von Übeltätern. Aber genau wie Kriminelle ihre Haare und Kleidung ändern, um nicht erwischt zu werden, ändern auch Hacker ihre Methoden. Das alte „Steckbrief“-System konnte die neuen, cleveren Verkleidungen nicht erfassen.

In dieser Arbeit geht es darum, eine neue Art von Sicherheitsbeamten mittels Deep Learning zu trainieren – im Grunde ein superintelligentes Computergehirn, das lernt, indem es Millionen von Beispielen betrachtet, anstatt nur eine Liste von Regeln zu lesen.

Der Trainingsplatz: Der UNSW-NB15-Datensatz

Um diese Computergehirne zu trainieren, benötigten die Forscher ein riesiges Übungsfeld. Sie verwendeten einen Datensatz namens UNSW-NB15. Denken Sie an dies als eine riesige Bibliothek, die 100 GB an „Verkehrsprotokollen“ eines simulierten Flughafens enthält.

• Die Guten: Normale Reisende, die einfach ihrem Alltag nachgehen.
• Die Bösen: 9 verschiedene Arten von Unruhestiftern, die von „Fuzzern“ (Leute, die wahllos Dinge ausprobieren, um eine Tür einzubrechen) bis hin zu „Würmern“ (Viren, die sich schnell verbreiten) reichen.
• Das Problem: In der Realität gibt es viel mehr gute Reisende als böse. In dieser Bibliothek waren die „Bösewicht“-Bücher im Vergleich zu den „Guten“-Büchern sehr zahlreich geringer. Wenn man die Bibliothek einfach so liest, würde das Gehirn faul werden und jedes Mal „Guter Typ“ raten, um eine hohe Punktzahl zu erreichen, wodurch die seltenen bösen Akteure übersehen würden.

Die Lösung: SMOTE (Der „Fotokopier“-Trick)

Um das Ungleichgewicht zu beheben, verwendeten die Forscher eine Technik namens SMOTE. Stellen Sie sich vor, Sie haben nur 5 Fotos eines bestimmten Typs von Dieb, aber Sie brauchen 50, um ihn gut studieren zu können. Anstatt einfach dieselben 5 Fotos zu fotokopieren (was langweilig ist und nicht hilft), erstellt SMOTE neue, gefälschte Fotos, indem es die Merkmale der vorhandenen miteinander vermischt. Es ist, als würde man ein Foto eines Diebes mit einem roten Hut und ein anderes mit einem blauen Mantel nehmen und ein neues Foto eines Diebes mit einem lila Hut generieren. Dies gibt dem Computergehirn genügend Beispiele, um zu lernen, wie diese seltenen Diebe aussehen, ohne zu schummeln.

Die drei Kontrahenten

Die Forscher bauten drei verschiedene Arten von „Computergehirnen“ (Deep-Learning-Modelle), um zu sehen, welcher der beste Sicherheitsbeamte ist. Sie testeten sie alle am exakt gleichen Datensatz unter Verwendung derselben Trainingsregeln, um einen fairen Wettkampf zu gewährleisten.

1. Das ANN (Artificial Neural Network): Der Generalist

   • Analogie: Betrachten Sie dies als einen sehr intelligenten Praktikanten, der das gesamte Bild auf einmal betrachtet. Er sieht die Größe, das Gewicht und das Gepäck des Passagiers zusammen und gibt eine Vermutung ab.
   • Leistung: Er machte einen ordentlichen Job und erkannte etwa 91,6 % der Bedrohungen. Er war schnell zu trainieren, übersah aber einige der kniffligeren Verkleidungen.

2. Das CNN (Convolutional Neural Network): Der Mustererkennner

   • Analogie: Dieser Wachmann ist wie ein Detektiv, der nach spezifischen Mustern sucht. Anstatt die ganze Person zu betrachten, zoomt er auf kleine Details – wie das Muster auf einem Schuh oder die Art und Weise, wie eine Tasche gehalten wird. Er ist großartig darin, lokale Hinweise zu entdecken.
   • Leistung: Er machte einen besseren Job und erreichte etwa 94,6 %. Er war gut darin, spezifische „Signaturen“ von Angriffen zu erkennen.

3. Das RNN-LSTM (Recurrent Neural Network mit Long Short-Term Memory): Der Geschichtenerzähler

   • Analogie: Dies ist der fortschrittlichste Wachmann. Stellen Sie sich einen Detektiv vor, der nicht nur ein einzelnes Foto betrachtet, sondern die gesamte Geschichte der Reise eines Passagiers im Gedächtnis behält. Er erinnert sich daran, was vor fünf Minuten passiert ist und wie es mit dem zusammenhängt, was gerade jetzt geschieht. Er hat ein „Gedächtnis“, das ihm hilft, komplexe Sequenzen und Beziehungen zwischen verschiedenen Hinweisen zu verstehen.
   • Leistung: Dies war der Gewinner. Er erreichte eine Genauigkeit von 97,4 %. Er war am besten darin, die komplexen Beziehungen zwischen verschiedenen Teilen des Netzwerkverkehrs zu verstehen.

Die Ergebnisse: Wer hat gewonnen?

Die Forscher ließen ein Rennen laufen, um zu sehen, wer die Bösen am häufigsten korrekt identifizieren konnte.

• Der Gewinner: Das RNN-LSTM (Der Geschichtenerzähler). Es fing die meisten Bösewichte mit den wenigsten Fehlern. Es war so gut, dass es in der Lage war, sehr ähnlich aussehende Angriffe fast perfekt zu unterscheiden.
• Der Zweitplatzierte: Das CNN (Der Mustererkennner). Es war ein starker Zweiter.
• Der Drittplatzierte: Das ANN (Der Generalist). Es war okay, aber nicht so scharf wie die anderen.

Der Haken:
Es gab einen Kompromiss. Das RNN-LSTM war der Beste im Job, aber es war auch das Langsamste beim Training. Es dauerte etwa 1.700 Sekunden (fast 30 Minuten), um zu lernen, während das ANN nur 220 Sekunden (etwa 3 Minuten) brauchte.

• Analogie: Das ANN ist wie ein schnell sprechender Praktikant, der schnell lernt, aber mehr Fehler macht. Das RNN-LSTM ist wie ein erfahrener Detektiv, der viel Zeit braucht, um die Fallakten zu studieren, aber das Rätsel mit unglaublicher Genauigkeit löst.

Das Fazit

Die Arbeit kommt zu dem Schluss, dass, wenn man den absolut besten Sicherheitsbeamten für ein komplexes Netzwerk möchte, das RNN-LSTM der richtige Weg ist, selbst wenn es länger dauert, um zu trainieren. Es bewies, dass das Geben eines „Gedächtnisses“ an den Computer, um zu verstehen, wie verschiedene Datenteile zusammenhängen, der Schlüssel zum Aufspüren moderner, hinterlistiger Cyberangriffe ist.

Sie merkten auch an, dass das System zwar großartig war, aber einige spezifische Arten von Angriffen (wie „Man-in-the-Middle“ oder „DDoS“) immer noch etwas schwierig voneinander zu unterscheiden waren, was darauf hindeutet, dass selbst die klügsten Gehirne noch ein wenig Raum zum Wachsen haben.

Kurz gesagt: Durch die Verwendung eines smarten „Fotokopier“-Tricks zur Ausbalancierung der Daten und das Aufeinandertreffen von drei verschiedenen Arten von Computergehirnen fanden die Forscher heraus, dass dasjenige mit dem „Gedächtnis“ (RNN-LSTM) derzeit der Champion im Aufspüren von Cyber-Eindringlingen ist.