🤖 machine learning

How the Graph Construction Technique Shapes Performance in IoT Botnet Detection

यह अध्ययन प्रदर्शित करता है कि ग्राफ निर्माण तकनीक का चयन IoT बॉटनेट डिटेक्शन प्रदर्शन को महत्वपूर्ण रूप से प्रभावित करता है, जिससे यह स्पष्ट होता है कि k-NN और शेयर्ड निएरेस्ट नेबर जैसे अन्य तरीकों की तुलना में गैब्रियल ग्राफ्स को वेरिएशनल ऑटोएनकोडर्स और ग्राफ अटेंशन नेटवर्क के साथ मिलाने से N-BaIoT डेटासेट पर उच्चतम सटीकता (97.56%) प्राप्त होती है।

मूल लेखक: Hassan Wasswa, Hussein Abbass, Timothy Lynar

प्रकाशित 2026-03-10

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Hassan Wasswa, Hussein Abbass, Timothy Lynar

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक विशाल, व्यस्त हवाई अड्डे (IoT नेटवर्क) के सुरक्षा गार्ड हैं। आपका काम उन बुरे लोगों (मिराई और गाफगीट जैसे बॉटनेट्स) को पहचानना है जो हजारों निर्दोष यात्रियों (सामान्य ट्रैफ़िक) के बीच छिपे हुए हैं।

लंबे समय तक, सुरक्षा गार्ड प्रत्येक यात्री को व्यक्तिगत रूप से देखते थे। वे पासपोर्ट देखते थे, सामान की जांच करते थे और फिर निर्णय लेते थे। लेकिन बुरे लोग चालाक होते हैं; वे अक्सर समूहों में यात्रा करते हैं या सामान्य व्यवहार की नकल करते हैं, जिससे उन्हें एक-एक करके देखना कठिन हो जाता है।

यह शोध पत्र एक नई रणनीति के बारे में है: यात्रियों को अलग-थलग न देखें। पूरे भीड़ को एक साथ देखना शुरू करें।

यहाँ बताया गया है कि शोधकर्ताओं ने इसे सरल उपमाओं का उपयोग करके कैसे किया:

1. समस्या: बहुत अधिक शोर (Clutter)

हवाई अड्डे से आने वाला डेटा एक विशाल स्प्रेडशीट की तरह है जिसमें प्रत्येक यात्री के लिए 115 अलग-अलग कॉलम की जानकारी है (ऊंचाई, वजन, जूते का आकार, टिकट की कीमत, आदि)। इसे सीधे देखना बहुत अव्यव्यवस्थित है।

समाधान (The VAE): शोधकर्ताओं ने पहले एक उपकरण का उपयोग किया जिसे वेरिएशनल ऑटोएनकोडर (VAE) कहा जाता है। इसे एक सुपर-स्मार्ट सारांशकर्ता (summarizer) के रूप में समझें। यह उस अव्यवस्थित 115-पेज की रिपोर्ट को लेता है और उसे एक साफ-सुथरे 6-पेज के सारांश में बदल देता है जो सभी महत्वपूर्ण विवरणों को रखता है लेकिन अनावश्यक शोर को हटा देता है। अब, प्रत्येक यात्री को केवल 6 प्रमुख नंबरों द्वारा दर्शाया गया है।

2. बड़ा विचार: दोस्ती का नक्शा बनाना

अब जब यात्रियों को सरल बना दिया गया है, तो शोधकर्ता देखना चाहते थे कि कौन किसके साथ घूम रहा है। उन्होंने यात्रियों की सूची को एक सोशल नेटवर्क मैप (एक ग्राफ) में बदलने का निर्णय लिया।

नोड्स (Nodes): मानचित्र पर प्रत्येक बिंदु एक यात्री है।
लाइनें (Lines): एक रेखा दो बिंदुओं को तब जोड़ती है जब यात्री "समान" या "करीब" होते हैं।

ट्विस्ट: शोधकर्ताओं ने एक महत्वपूर्ण प्रश्न पूछा: "हम यह कैसे तय करें कि किसे किससे जोड़ा जाए?"

उन्होंने इन रेखाओं को खींचने के लिए पाँच अलग-अलग नियमों का परीक्षण किया, जैसे कि पार्टी के बैठने के चार्ट को व्यवस्थित करने के पाँच अलग-अलग तरीकों को आज़माना:

k-Nearest Neighbors (kNN): "हर किसी को उनके 3 निकटतम पड़ोसियों से जोड़ें।" (सरल, लेकिन शायद उन लोगों को जोड़ दे जो बस गलती से पास खड़े हैं)।
Mutual Nearest Neighbors (MNN): "उन्हें तभी जोड़ें यदि वे दोनों सोचते हैं कि दूसरा व्यक्ति उनका निकटतम पड़ोसी है।" (बहुत सख्त, कुछ लोगों को छोड़ सकता है)।
Shared Nearest Neighbors (SNN): "उन्हें जोड़ें यदि वे दोस्तों के एक ही समूह को साझा करते हैं।" (गुट खोजने के लिए अच्छा है, लेकिन उलझ सकता है)।
$\epsilon$ -Radius Graph: "किसी भी ऐसे व्यक्ति को जोड़ें जो एक 5-फुट के घेरे के भीतर खड़ा है।" (यह पूरी तरह से इस पर निर्भर करता है कि आप घेरा कितना छोटा रखते हैं)।
Gabriel Graph: "दो लोगों को केवल तभी जोड़ें जब उनके बीच में कोई और न खड़ा हो।" (यह ज्यामितीय नियम है: कल्पना करें कि दो लोग और उनके बीच एक घेरा है; यदि घेरा खाली है, तो उन्हें एक रेखा मिलती है)।

3. जासूस: द ग्राफ अटेंशन नेटवर्क (GAT)

एक बार जब इन पाँच नियमों में से एक का उपयोग करके मानचित्र बना लिया गया, तो उन्होंने इसे एक सुपर-स्मार्ट AI जासूस को फीड किया जिसे ग्राफ अटेंशन नेटवर्क (GAT) कहा जाता है।

GAT को एक ऐसे जासूस के रूप में समझें जो केवल एक व्यक्ति को नहीं देखता। वह एक व्यक्ति और उसके पड़ोसियों को देखता है।
यह अटेंशन (एक स्पॉटलाइट की तरह) का उपयोग सबसे संदिग्ध कनेक्शनों पर ध्यान केंद्रित करने के लिए करता है। यदि एक "सामान्य" यात्री अचानक "बुरे" यात्रियों के एक समूह से जुड़ जाता है, तो स्पॉटलाइट लाल हो जाती है।

4. परिणाम: कौन जीता?

शोधकर्ताओं ने 5 बार प्रयोग चलाया, प्रत्येक नियम के लिए एक बार, मानचित्र बनाने के नियम के रूप में।

हारने वाला (SNN): "साझा मित्र" वाला नियम सबसे खराब था। इसने एक खंडित मानचित्र बनाया जहाँ बुरे लोग उन सुरागों से अलग-थलग थे जिनकी उन्हें पकड़ने के लिए आवश्यकता थी। इसकी सटीकता केवल 78.56% थी।
मध्यम श्रेणी (kNN, MNN, $\epsilon$ -Radius): ये ठीक-ठाक थे, जो 84% से 95% के बीच सटीकता प्राप्त कर रहे थे। वे अच्छे मानचित्र थे, लेकिन पूर्ण नहीं।
विजेता (Gabriel Graph): वह नियम जिसने कहा "उन्हें तभी जोड़ें जब उनके बीच की जगह खाली हो" सबसे अच्छा काम कर गया। इसने 97.56% सटीकता हासिल की।

गाब्रियल ग्राफ क्यों जीता?
कल्पना कीजिए कि आप चोरों के एक समूह को पहचानने की कोशिश कर रहे हैं।

SNN तरीका यह पूछने जैसा था, "कौन किसे जानता है?" यह शोर से भ्रमित हो गया।
Gabriel Graph भौतिक स्थान को देखने जैसा था। इसने महसूस किया कि बुरे लोग एक बहुत ही विशिष्ट, घने तरीके से एक साथ क्लस्टर बनाते हैं, जिसमें उनके बीच कोई निर्दोष व्यक्ति "दबा हुआ" नहीं होता है। इसने एक साफ, स्पष्ट मानचित्र बनाया जिसने बुरे लोगों को बिल्कुल अलग और स्पष्ट बना दिया।

निचोड़ (The Bottom Line)

यह शोध पत्र हमें सिखाता है कि AI सुरक्षा की दुनिया में, आप अपने डेटा को कैसे व्यवस्थित करते हैं, यह उतना ही महत्वपूर्ण है जितना कि स्वयं AI।

यदि आप गलत नियमों का उपयोग करके ग्राफ (संबंधों का नक्शा) बनाने की कोशिश करते हैं, तो आपका AI जासूस अंधा हो जाएगा। लेकिन यदि आप Gabriel Graph नियम का उपयोग करते हैं, तो आप एक ऐसा मानचित्र बनाते हैं जहाँ बुरे लोग छिप नहीं सकते, जिससे AI लगभग पूर्ण सटीकता के साथ उन्हें पकड़ लेता है।

संक्षेप में: केवल AI को डेटा न दें; उसे डेटा पॉइंट्स के बीच के संबंधों को देखना सिखाएं, और आप हर बार बुरे बॉट्स को पकड़ लेंगे।

यहाँ शोध पत्र "How the Graph Construction Technique Shapes Performance in IoT Botnet Detection: Insights from Graph Attention Networks" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

IoT-आधारित बॉटनेट हमलों (विशेष रूप से Mirai और Gafgyt) के प्रसार के लिए उन्नत पहचान मॉडल की आवश्यकता है। जबकि ग्राफ न्यूरल नेटवर्क (GNNs) और अटेंशन मैकेनिज्म ने नेटवर्क ट्रैफ़िक में जटिल संबंधों और दीर्घकालिक निर्भरता (long-range dependencies) को पकड़ने में आशाजनक परिणाम दिखाए हैं, साहित्य में एक महत्वपूर्ण अंतराल बना हुआ है: टेबुलर NetFlow डेटा से ग्राफ संरचना बनाने की विधि ग्राफ प्रदर्शन को कैसे प्रभावित करती है।

अधिकांश मौजूदा शोध स्वयं GNN आर्किटेक्चर पर ध्यान केंद्रित करते हैं, अक्सर इस तथ्य को अनदेखा कर देते हैं कि कच्चे टेबुलर डेटा (जैसे, .csv NetFlow रिकॉर्ड) को एक ग्राफ (नोड्स और किनारों/edges) में बदलना एक प्रीप्रोसेसिंग चरण है जो मौलिक रूप से मॉडल की टोपोलॉजी और फलस्वरूप, उसकी वर्गीकरण सटीकता को निर्धारित करता है। लेखक यह निर्धारित करने का लक्ष्य रखते हैं कि जब Graph Attention Network (GAT) के साथ जोड़ा जाता है, तो कौन सी ग्राफ निर्माण तकनीक IoT बॉटनेट डिटेक्शन के लिए इष्टतम प्रदर्शन प्रदान करती है।

2. कार्यप्रणाली (Methodology)

यह अध्ययन एक बहु-चरणीय ढांचे का उपयोग करता है जिसे उच्च-आयामी (high-dimensional) NetFlow डेटा को प्रोसेस करने और पांच अलग-अलग ग्राफ निर्माण रणनीतियों का मूल्यांकन करने के लिए डिज़ाइन किया गया है।

A. डेटासेट (Dataset)

स्रोत: N-BaIoT डेटासेट, जिसमें नौ IoT उपकरणों से प्राप्त NetFlow डेटा शामिल है जो "Mirai" और "Gafgyt" मालवेयर से संक्रमित हैं।
वर्ग (Classes): तीन श्रेणियाँ: Normal (सामान्य), Mirai, और Gafgyt।
प्रीप्रोसेसिंग: डुप्लिकेट हटाने के बाद, डेटासेट में लगभग 2.48 मिलियन इंस्टेंस थे। क्लास असंतुलन (class imbalance) को संबोधित करने के लिए, डेटा को ट्रेनिंग/इवैल्यूएशन के लिए डाउन-सैंपल किया गया:
- Normal: 500,000 (40.58%)
- Mirai: 500,000 (40.58%)
- Gafgyt: 232,258 (18.84%)

B. आयामी कमी (Dimensionality Reduction - Variational Autoencoder)

ग्राफ जनरेशन से पहले उच्च-आयामी डेटा (115 फीचर्स) के कम्प्यूटेशनल बोझ को कम करने और शोर (noise) को कम करने के लिए, लेखकों ने एक वेरिएशनल ऑटोएनकोडर (VAE) का उपयोग किया।

प्रक्रिया: VAE एनकोडर मूल 115-डायमेंशनल फीचर स्पेस को एक 6-डायमेंशनल लेटेंट स्पेस में प्रोजेक्ट करता है।
तर्क: लेखकों के पिछले कार्य ने संकेत दिया कि इस विशिष्ट कार्य के लिए VAE, PCA और मानक ऑटोएनकोडर्स की तुलना में बेहतर प्रदर्शन करते हैं।

C. ग्राफ निर्माण तकनीकें (Graph Construction Techniques)

6-डायमेंशनल लेटेंट वेक्टर्स को ग्राफ संरचनाओं (जहाँ नोड्स ट्रैफ़िक इंस्टेंस का प्रतिनिधित्व करते हैं और किनारे/edges संबंधों का प्रतिनिधित्व करते हैं) में बदलने के लिए पांच विधियों का मूल्यांकन किया गया:

k-Nearest Neighbors (kNN): प्रत्येक नोड को उसके $k$ निकटतम पड़ोसियों (यूक्लिडियन दूरी) से जोड़ता है।
Mutual Nearest Neighbors (MNN): एक किनारा तभी बनाता है जब दो नोड्स आपसी निकटतम पड़ोसी हों (सममित संबंध)।
Shared Nearest Neighbors (SNN): नोड्स को तब जोड़ता है जब वे पर्याप्त संख्या में सामान्य पड़ोसियों ( $\theta$ ) को साझा करते हैं, जो स्थानीय घनत्व (local density) को कैप्चर करता है।
$\epsilon$ -Radius Graph: नोड्स को जोड़ता है यदि उनकी दूरी एक निश्चित थ्रेशोल्ड $\epsilon$ से कम हो।
Gabriel Graph: एक ज्यामितीय निकटता ग्राफ जहाँ एक किनारा नोड $A$ और $B$ के बीच तभी मौजूद होता है जब कोई अन्य नोड $C$ , $AB$ को व्यास (diameter) मानने वाले क्लोज्ड डिस्क के भीतर न हो। यह स्थानीय रिक्तता (local emptiness) को बनाए रखता है।

D. वर्गीकरण मॉडल (Graph Attention Network)

आर्किटेक्चर: प्रत्येक पांच ग्राफ संरचनाओं पर एक ग्राफ अटेंशन नेटवर्क (GAT) को प्रशिक्षित किया गया।
मैकेनिज्म: GAT पड़ोसी नोड्स के महत्व को वजन (weight) देने के लिए मल्टी-हेड अटेंशन का उपयोग करता है, जिससे मॉडल स्थानीय इंटर-इंस्टेंस संबंधों और दीर्घकालिक फीचर निर्भरता दोनों को कैप्चर कर पाता है।
ट्रेनिंग पैरामीटर्स:
- ऑप्टिमाइज़र: Adam (लर्निंग रेट: 0.01, वेट डिके: $5 \times 10^{-4}$ )।
- एक्टिवेशन: ReLU।
- Epochs: प्रति ग्राफ प्रकार 100।
- बैच साइज: 128।
- हाइपरपैरामीटर्स: kNN/MNN/SNN के लिए $k=3$ ; $\epsilon$ -रेडियस के लिए $\epsilon=0.5$ ।

3. मुख्य योगदान (Key Contributions)

ग्राफ निर्माण का व्यवस्थित मूल्यांकन: यह पेपर विशेष रूप से IoT बॉटनेट डिटेक्शन के लिए पांच अलग-अलग ग्राफ निर्माण एल्गोरिदम का एक व्यापक तुलनात्मक विश्लेषण प्रदान करता है, जो एक ऐसा विषय है जिसे अन्य अध्ययनों में अक्सर एक स्थिर प्रीप्रोसेसिंग स्टेप मान लिया जाता है।
VAE और GAT का एकीकरण: यह एक ऐसे पाइपलाइन को मान्य करता है जहाँ ग्राफ जनरेशन से पहले VAE-आधारित डाइमेंशनल रिडक्शन का उपयोग किया जाता है, जिससे GAT मॉडल के लिए इनपुट को अनुकूलित किया जाता है।
इष्टतम टोपोलॉजी की पहचान: यह अध्ययन Gabriel Graph को इस विशिष्ट डोमेन के लिए श्रेष्ठ निर्माण विधि के रूप में पहचानता है, जो इस बात का अनुभवजन्य प्रमाण देता है कि ज्यामितीय बाधाएं (geometric constraints) इस संदर्भ में घनत्व-आधारित या सरल दूरी-आधारित कनेक्शनों की तुलना में बेहतर प्रदर्शन करती हैं।

4. परिणाम (Results)

मॉडल्स का मूल्यांकन Accuracy, Precision, Recall और F1-score का उपयोग करके किया गया।

सर्वश्रेष्ठ प्रदर्शन करने वाला: Gabriel Graph ने 97.56% की उच्चतम समग्र डिटेक्शन सटीकता प्राप्त की। इसने तीनों श्रेणियों (Normal, Mirai, Gafgyt) में लगातार उच्च Precision, Recall और F1-स्कोर प्रदर्शित किया।
उप-विजेता (Runner-ups):
- $\epsilon$ -Radius Graph: 95.67% सटीकता।
- kNN Graph: 95.54% सटीकता।
सबसे कम प्रदर्शन करने वाला: Shared Nearest Neighbors (SNN) विधि ने 78.56% की सबसे कम सटीकता दर्ज की।
- विश्लेषण: हालांकि SNN ने विशिष्ट वर्गों (जैसे, Mirai के लिए 0.999) के लिए उच्च प्रिसिजन दिखाया, लेकिन यह अन्य वर्गों (जैसे, Gafgyt के लिए F1-स्कोर 0.480) पर विफल रहा, जो खराब सामान्यीकरण (generalization) और खंडित ग्राफ कनेक्टिविटी का संकेत देता है।
MNN प्रदर्शन: 84.14% की सटीकता दर्ज की, जो ग्राफ स्पैरसिटी (sparsity) और डिस्कनेक्टेड कंपोनेंट्स के कारण पीड़ित था।

5. महत्व और निष्कर्ष (Significance and Conclusion)

अध्ययन यह निष्कर्ष निकालता है कि ग्राफ निर्माण तकनीक GNN प्रदर्शन का एक महत्वपूर्ण निर्धारक है।

Gabriel Graph क्यों सफल हुआ: इसकी ज्यामितीय बाधा (यह सुनिश्चित करना कि किनारे के व्यास के भीतर कोई अन्य नोड न हो) ने 6-डायमेंशनल लेटेंट स्पेस में ट्रैफ़िक पैटर्न के स्थानीय घनत्व (local density) और वैश्विक अलगाव (global separation) दोनों को प्रभावी ढंग से संरक्षित किया। इसने GAT को घनत्व-आधारित या केवल साझा पड़ोसियों या निश्चित त्रिज्याओं पर निर्भर रहने वाले तरीकों की तुलना में अधिक प्रभावी ढंग से बेंज़िन (benign) और दुर्भावनापूर्ण (malicious) ट्रैफ़िक के बीच अंतर करने में सक्षम बनाया।
SNN क्यों विफल हुआ: साझा पड़ोसियों पर निर्भरता ने संभवतः ग्राफ को खंडित कर दिया, जिससे विविध लेकिन संबंधित ट्रैफ़िक इंस्टेंस आपस में जुड़ने में विफल रहे, जिसके परिणामस्वरूप खराब क्लास रिप्रेजेंटेशन हुआ।
निहितार्थ: उन शोधकर्ताओं और चिकित्सकों के लिए जो GNN-आधारित घुसपैठ पहचान प्रणाली (intrusion detection systems) विकसित कर रहे हैं, ग्राफ निर्माण एल्गोरिदम का चयन करना स्वयं न्यूरल नेटवर्क आर्किटेक्चर चुनने जितना ही महत्वपूर्ण है। निष्कर्ष बताते हैं कि उच्च-आयामी, कम-फीचर वाले IoT ट्रैफ़िक डेटा के लिए ज्यामितीय निकटता ग्राफ (जैसे, Gabriel) घनत्व-आधारित ग्राफों की तुलना में बेहतर हो सकते हैं।