A Novel Byte-Level Flow-to-Image Encoding Method for Network Intrusion Detection Systems

Résumé technique : Une nouvelle méthode d'encodage flux-vers-image au niveau octet pour les systèmes de détection d'intrusion réseau

Énoncé du problème
Les systèmes de détection d'intrusion (IDS) basés sur le réseau sont principalement entraînés sur des enregistrements de flux tabulaires. Ces représentations unidimensionnelles (1D) limitent la capacité des architectures convolutives à exploiter les corrélations spatiales inter-features, car les modèles standards traitent les caractéristiques de manière indépendante ou via des opérations séquentielles. Bien que des méthodes existantes aient tenté de convertir le trafic réseau en représentations d'images bidimensionnelles (2D) pour tirer parti des réseaux de neurones convolutifs (CNN), elles reposent souvent sur une réduction de dimensionnalité ou des agencements spatiaux heuristiques. Ces approches rejettent fréquemment des informations numériques fines par la normalisation ou un placement arbitraire des caractéristiques, compromettant potentiellement la fiabilité de la détection d'intrusion.

Méthodologie
Les auteurs proposent une méthode d'encodage déterministe et réversible au niveau octet, convertissant chaque enregistrement de flux réseau en une image RVB fixe de 32×32 sans perte de précision numérique. Le processus d'encodage comporte trois étapes principales :

1. Partitionnement et préparation des caractéristiques : Les caractéristiques sont divisées en types continus et catégoriels. Les caractéristiques continues sont standardisées par normalisation z-score (moyenne et écart-type dérivés exclusivement de l'ensemble d'entraînement). Les caractéristiques catégorielles sont mappées à des indices entiers plutôt qu'à un encodage one-hot pour éviter la sparsité de haute dimension.
2. Encodage octet : Les caractéristiques continues sont converties en float32 (format IEEE-754 simple précision) et sérialisées en quatre octets. Les caractéristiques catégorielles sont encodées comme des valeurs sur 1 octet (promues à 2 octets si le vocabulaire dépasse 255).
3. Agencement spatial :
   • Caractéristiques continues : Les octets sérialisés sont empilés séquentiellement dans les pixels le long d'une trajectoire en forme de « L inversé », commençant par le coin inférieur droit $(S-1, S-1)$, remontant vers $(0, S-1)$, puis se dirigeant vers la gauche jusqu'à $(0, 0)$. Crucialement, comme un pixel contient 3 octets (RVB) et une caractéristique 4 octets, les limites des caractéristiques sont intentionnellement désalignées par rapport aux limites des pixels. Cela force les filtres convolutifs à agréger des informations à travers les dimensions des canaux et spatiales pour capturer les motifs d'octets intra-caractéristiques et les corrélations inter-caractéristiques.
   • Caractéristiques discrètes : Les indices catégoriels sont placés de manière contiguë au centre de la rangée médiane $(\lfloor S/2 \rfloor)$, fournissant une ancre spatiale fixe qui sépare les motifs discrets des motifs d'octets continus.
   • Remplissage : Les positions inutilisées sont remplies de zéros (fond noir).

L'étude évalue cet encodage par rapport à quatre modèles IDS (CNN, CNN-LSTM, CNN-BiLSTM et ResNeXt-50) utilisant à la fois des configurations de flux 1D et d'images 2D sur les ensembles de données NSL-KDD et UNSW-NB15, en utilisant leurs partitions d'entraînement et de test originales pour assurer la reproductibilité.

Contributions clés

• Schéma d'encodage novateur : Une méthode déterministe et réversible convertissant les enregistrements de flux tabulaires en images RVB 32×32 tout en préservant les valeurs originales des caractéristiques et la précision numérique.
• Agnosticisme architectural : La méthode ne nécessite aucune modification des architectures de modèles existantes, permettant une comparaison directe entre les modalités 1D et 2D.
• Validation empirique : Une évaluation complète sur deux ensembles de données de référence démontre que la représentation basée sur l'image améliore constamment la précision de détection à la fois pour les architectures peu profondes et profondes.

Résultats expérimentaux
La représentation basée sur l'image a produit des gains de précision constants par rapport aux références basées sur le flux :

• UNSW-NB15 : La méthode a réalisé des améliorations de précision allant jusqu'à 15,6 % pour la classification binaire et 12,8 % pour la classification multiclasse. Notamment, elle a considérablement atténué l'écart de performance entre les classes normales et d'attaque, portant la précision de la classe d'attaque d'un minimum d'environ 29 % (dans les modèles 1D) à plus de 96 % dans les modèles basés sur l'image.
• NSL-KDD : Les améliorations ont été plus modestes mais constantes, avec des gains allant jusqu'à 3,5 % pour la classification binaire et 3,2 % pour la classification multiclasse. Les améliorations les plus significatives ont été observées dans la détection des classes minoritaires (par exemple R2L et U2R), où la précision pour des classes spécifiques a augmenté de plus de 30 points de pourcentage dans certaines configurations.
• Stabilité : Les modèles basés sur l'image ont présenté des écarts-types plus faibles lors d'expériences répétées, suggérant une stabilité d'entraînement améliorée par rapport aux contreparties basées sur le flux.

Importance et affirmations
L'article affirme que l'encodage visuel au niveau octet renforce la détection d'intrusion pilotée par l'IA dans les réseaux informatiques locaux en permettant aux filtres convolutifs d'apprendre des motifs locaux cohérents et des relations inter-caractéristiques inaccessibles via un traitement séquentiel 1D. Les auteurs soulignent que cette approche est particulièrement efficace pour détecter des types d'attaques rares où les représentations 1D manquent d'informations discriminatives suffisantes.

Les auteurs reconnaissent des limites, notant que l'efficacité de la méthode dépend partiellement de la composition des caractéristiques (les ensembles de données comportant davantage de caractéristiques binaires/nominales entraînent des régions plus importantes remplies de zéros) et que la disposition fixe actuelle ne prend pas explicitement en compte les corrélations sémantiques inter-caractéristiques. De plus, l'évaluation est limitée à des ensembles de données de référence hors ligne, et les performances en temps réel dans des conditions de trafic en flux continu restent à valider. Un travail futur est proposé pour explorer des agencements spatiaux adaptatifs basés sur la corrélation des caractéristiques et pour étudier le déploiement dans des environnements aux ressources limitées.