🤖 machine learning

Synthetic Network Packet Generation through Statistical Learning and Genetic Algorithms

यह शोध पत्र घुसपैठ पहचान प्रणालियों (इंट्रूज़न डिटेक्शन सिस्टम) में डेटासेट की कमी और क्लास असंतुलन को संबोधित करने के लिए यथार्थवादी, भौतिक रूप से वैध सिंथेटिक IoT नेटवर्क पैकेट उत्पन्न करने हेतु दो बाधा-प्रवर्तक विधियों—एक उच्च-थ्रूपुट सांख्यिकीय शिक्षण दृष्टिकोण और एक उच्च-गुणवत्ता वाले जेनेटिक एल्गोरिदम—का प्रस्ताव और मूल्यांकन करता है।

मूल लेखक: Mayank Raj, Nathaniel D. Bastian, Lance Fiondella, Gokhan Kul

प्रकाशित 2026-06-23

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Mayank Raj, Nathaniel D. Bastian, Lance Fiondella, Gokhan Kul

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक सुरक्षा गार्ड (एक घुसपैठ का पता लगाने वाला सिस्टम - Intrusion Detection System) को स्मार्ट होम में मौजूद IoT उपकरणों के बीच एक चोर को पहचानने के लिए सिखाने की कोशिश कर रहे हैं। इसे अच्छी तरह से करने के लिए, गार्ड को "प्रशिक्षण वीडियो" के एक विशाल पुस्तकालय पर अभ्यास करने की आवश्यकता है, जिसमें सामान्य गतिविधियाँ (जैसे लाइट जलना) और बुरी गतिविधियाँ (जैसे किसी हैकर द्वारा घुसपैठ करने की कोशिश करना) दोनों दिखाई गई हों।

समस्या यह है कि वास्तविक दुनिया का डेटा बहुत अव्यवस्थित होता है। कभी-कभी आपके पास सामान्य लाइटों के लाखों वीडियो होते हैं, लेकिन किसी विशिष्ट प्रकार के हैकर हमले के केवल पाँच वीडियो होते हैं। यह एक दुर्लभ पक्षी को पहचानने के लिए सीखने जैसा है जिसे आपने केवल पाँच तस्वीरों में देखा है। साथ ही, मौजूदा सार्वजनिक डेटासेट अक्सर "कठोर" होते हैं—उनमें उदाहरणों की एक निश्चित संख्या होती है जो बदलती नहीं है, और वे अत्यधिक असंतुलित होते हैं।

यह शोध पत्र एक समाधान प्रस्तावित करता है: आइए कंप्यूटर का उपयोग करके नए, यथार्थवादी प्रशिक्षण वीडियो का आविष्कार (जनरेट) करें। लेकिन इसमें एक पेच है: यदि कंप्यूटर बस रैंडम तरीके से चीजें बनाता है, तो वह असंभव परिदृश्य बना सकता है (जैसे कि एक पैकेट जिसमें नेगेटिव बाइट्स हों या ऐसा फ्लैग जो वास्तविकता में मौजूद ही न हो)।

लेखकों ने इन नकली लेकिन यथार्थवादी नेटवर्क पैकेटों को बनाने के लिए दो अलग-अलग "कारखाने" बनाए, और उन्होंने सुनिश्चित किया कि दोनों कारखानों के पास सख्त गुणवत्ता नियंत्रण निरीक्षक हों।

दो कारखाने

1. सांख्यिकीय कारखाना (द "फास्ट एंड फ्यूरियस" विधि)
इसे एक उच्च-गति वाली असेंबली लाइन के रूप में सोचें।

यह कैसे काम करता है: यह वास्तविक डेटा को देखता है, एक गणितीय मानचित्र (PCA) का उपयोग करके ट्रैफ़िक के "आकार" को सीखता है, और फिर नए पैकेट छोड़ता है जो उस आकार में फिट बैठते हैं।
सुरक्षा जाल: किसी भी पैकेट के कारखाने से बाहर निकलने से पहले, उसे एक साथ दो सुरक्षा द्वारों से गुजरना होगा। यदि कोई पैकेट एक भी गेट के लिए थोड़ा भी संदिग्ध दिखता है, तो उसे तुरंत कचरे में फेंक दिया जाता है और एक नया बनाया जाता है। एक गेट "One-Class SVM" है और दूसरा "Isolation Forest" है।
परिणाम: यह विधि अविश्वसनीय रूप से तेज़ है। यह प्रति सेकंड 1,000 से अधिक पैकेट निकाल सकती है। यह तब एक प्रशिक्षण लाइब्रेरी को जल्दी से भरने के लिए बेहतरीन है जब आपको वॉल्यूम और निरंतरता की आवश्यकता होती है।

2. जेनेटिक एल्गोरिदम कारखाना (द "इवोल्यूशनरी" विधि)
इसे एक धीमी, सावधानीपूर्वक प्रजनन कार्यक्रम के रूप में सोचें।

यह कैसे काम करता है: यह "पैरेंट" पैकेटों के एक छोटे समूह के साथ शुरू होता है। यह उन्हें आपस में मिलाता है (crossover), छोटे रैंडम बदलाव करता है (mutation), और सबसे "फिट" पैकेटों को रखता है—वे जो वास्तविक ट्रैफ़िक की तरह दिखते हैं और कम से कम विसंगतियों वाले होते हैं। यह प्रक्रिया कई "पीढ़ियों" तक चलती है, धीरे-धीरे बेहतर और बेहतर नकली पैकेट विकसित करती है।
सुरक्षा जाल: पहले कारखाने की तरह ही, प्रत्येक नए पैकेट को रुकने की अनुमति मिलने से पहले उसी दो सुरक्षा द्वारों से गुजरना पड़ता है।
परिणाम: यह विधि बहुत धीमी है, जो उस काम को करने में लगभग 35 मिनट लेती है जिसे पहला कारखाना 11 सेकंड में कर देता है। हालाँकि, क्योंकि यह डेटा को "विकसित" करता है, इसलिए अंतिम पैकेटों में अधिक प्राकृतिक विविधता और विविधता होती है। यह एक अधिक रचनात्मक कलाकार की तरह है जो अधिक समय लेता है लेकिन अद्वितीय रूपांतरों का उत्पादन करता है।

बड़ा परीक्षण: "फाइव-सैंपल" चुनौती

शोधकर्ताओं ने इन कारखानों का परीक्षण ACI IoT 2023 नामक एक डेटासेट पर किया, जिसमें भारी असंतुलन है। एक श्रेणी, "ARP Spoofing" (नेटवर्क हमले का एक विशिष्ट प्रकार), में 1.2 मिलियन से अधिक पैकेटों में से केवल 5 वास्तविक उदाहरण थे।

लक्ष्य: क्या ये कारखाने उन नन्हे 5 उदाहरणों को 1,000 उच्च-गुणवत्ता वाले, यथार्थवादी नकली उदाहरणों में बदल सकते हैं?
परिणाम: हाँ। दोनों कारखानों ने सफल होकर दिखाया। उन्होंने 5 नमूनों को 200 गुना बढ़ा दिया।
- सांख्यिकीय कारखाने ने इसे लगभग पूर्ण निरंतरता के साथ किया (स्वतंत्र परीक्षकों द्वारा बनाए गए नकली पैकेटों में से 0% को "अजीब" के रूप में चिह्नित किया गया था)।
- जेनेटिक कारखाने ने इसे थोड़े अधिक विविधता के साथ किया (कुछ पैकेटों को थोड़ा अधिक बार चिह्नित किया गया था, लेकिन फिर भी वे "सुरक्षित" क्षेत्र के भीतर थे)।

निर्णय: आपको किसका उपयोग करना चाहिए?

शोध पत्र निष्कर्ष निकालता है कि दोनों में से कोई भी विधि पूरी तरह से "बेहतर" नहीं है; वे अलग-अलग उद्देश्यों के लिए काम करती हैं, ठीक वैसे ही जैसे फोटोकॉपी मशीन और एक पेंटर के बीच चयन करना।

सांख्यिकीय कारखाने (फोटोकॉपी मशीन) को चुनें यदि आपको रातों-रात एक सिस्टम को प्रशिक्षित करने के लिए बहुत तेज़ी से एक विशाल डेटासेट बनाने की आवश्यकता है। यह तेज़ (दूसरे की तुलना में 190 गुना तेज़) और सुसंगत है।
जेनेटिक कारखाने (पेंटर) को चुनें यदि आप एक "रेड टीम" (नैतिक हैकर) हैं जो यह परीक्षण करने की कोशिश कर रहे हैं कि एक सुरक्षा प्रणाली कितनी मजबूत है। क्योंकि यह विधि अधिक विविध और विविध नकली ट्रैफ़िक बनाती है, यह जटिल, अप्रत्याशित हमलों के खिलाफ रक्षाओं का तनाव परीक्षण (stress-testing) करने के लिए बेहतर है।

उन्होंने क्या नहीं किया (महत्वपूर्ण सीमाएँ)

लेखक सावधानीपूर्वक नोट करते हैं कि उनके "कारखाने" अभी क्या नहीं करते हैं:

वे व्यक्तिगत पैकेट उत्पन्न करते हैं, न कि बातचीत के पूरे "मूवी"। वास्तविक नेटवर्क ट्रैफ़िक में एक अनुक्रम होता है (एक हैंडशेक, फिर डेटा, फिर क्लोज), और ये विधियाँ वर्तमान में उस समय-आधारित प्रवाह को मॉडल नहीं करती हैं।
वे सुनिश्चित करते हैं कि संख्याएँ यथार्थवादी रेंज के भीतर हों (उदाहरण के लिए, आपको नकारात्मक पैकेट काउंट नहीं मिलेगा), लेकिन वे यह गारंटी नहीं देते हैं कि पैकेट MQTT या Zigbee जैसे जटिल प्रोटोकॉल के विशिष्ट "व्याकरण" का पूरी तरह से पालन करेंगे।

संक्षेप में, यह शोध पत्र साबित करता है कि आप एक विशिष्ट हमले के वास्तविक उदाहरणों के लगभग शून्य होने पर भी, सुरक्षा प्रणालियों को प्रशिक्षित करने में मदद करने के लिए सुरक्षित, यथार्थवादी नकली डेटा बनाने के लिए सख्त गणितीय नियमों और विकासवादी एल्गोरिदम का उपयोग कर सकते हैं।

तकनीकी सारांश: सांख्यिकीय शिक्षण और जेनेटिक एल्गोरिदम के माध्यम से सिंथेटिक नेटवर्क पैकेट जनरेशन

समस्या विवरण

इंटरनेट ऑफ थिंग्स (IoT) वातावरण के लिए मजबूत घुसपैठ पहचान प्रणाली (IDS) विकसित करने के लिए बड़े, लेबल वाले डेटासेट की आवश्यकता होती है जो वैध और दुर्भावनापूर्ण दोनों गतिविधियों के लिए यथार्थवादी ट्रैफ़िक वितरण को कैप्चर कर सकें। हालांकि, मौजूदा सार्वजनिक डेटासेट निश्चित गतिविधि वितरण और अत्यधिक क्लास असंतुलन (जैसे, ACI IoT 2023 डेटासेट में बेनेन (benign) ट्रैफ़िक और ARP स्पूफिंग हमलों के बीच 175,805:1 का असंतुलन है) से ग्रस्त हैं। इसके अलावा, GANs और VAEs जैसे डीप जेनेरेटिव मॉडल अक्सर 'मोड कोलैप्स' (mode collapse) का अनुभव करते हैं और उनमें यह सुनिश्चित करने के तंत्र की कमी होती है कि सिंथेटिक पैकेट भौतिक रूप से वैध फीचर रेंज के भीतर रहें। एडवरसैरियल परटर्बेशन (Adversarial perturbation) तकनीकें भी वैध नेटवर्क ट्रैफ़िक की संरचनात्मक सीमाओं का सम्मान करने में विफल रहती हैं। मुख्य चुनौती एक ऐसा जनरेशन पाइपलाइन बनाने की है जो केवल निहित वितरण संबंधी शिक्षण (implicit distributional learning) पर निर्भर रहने के बजाय, संश्लेषण प्रक्रिया में सीधे कठोर वैधता बाधाओं (hard validity constraints)—स्पष्ट सीमा प्रवर्तन और विसंगति-मॉडल गेटिंग—को शामिल करे।

कार्यप्रणाली

यह शोध पत्र सिंथेटिक IoT नेटवर्क पैकेट उत्पन्न करने के लिए दो बाधा-प्रवर्तक (constraint-enforcing) दृष्टिकोणों का प्रस्ताव और तुलना करता है, जो दोनों ही ACI IoT 2023 डेटासेट (1,231,411 पैकेट, 75 फीचर्स, 12 अटैक कैटेगरी) पर संचालित होते हैं। दोनों विधियों की एक महत्वपूर्ण वास्तुशिल्प विशेषता एक दोहरा विसंगति-पहचान गेट (dual anomaly-detection gate) है, जिसके लिए एक स्वतंत्र रूप से प्रशिक्षित वन-क्लास SVM (OCSVM) और आइसोलेशन फॉरेस्ट (IF) मॉडल द्वारा समवर्ती स्वीकृति आवश्यक है।

1. सांख्यिकीय शिक्षण विधि (Statistical Learning Method)

यह दृष्टिकोण जनरेशन को एक लेटेंट स्पेस (latent space) के भीतर सैंपलिंग समस्या के रूप में देखता है:

हाइब्रिड सैंपलिंग: सिंथेटिक पैकेट दो स्रोतों के मिश्रण के माध्यम से उत्पन्न किए जाते हैं: (i) इंटर-फीचर सहसंबंधों को बनाए रखने के लिए PCA-आधारित लेटेंट स्पेस सैंपलिंग, और (ii) परिवर्तनशीलता (variability) लाने के लिए क्लास सेंट्रॉइड्स के आसपास प्रत्यक्ष गाऊसी (Gaussian) सैंपलिंग।
अनुकूली नियमितीकरण (Adaptive Regularization): क्लास के आकार ( $n$ ) के आधार पर OCSVM रेगुलराइजेशन पैरामीटर ( $\nu$ ) और IF कंटैमिनेशन को गतिशील रूप से समायोजित किया जाता है ( $\nu_c = \min(0.1, 1/(n+1))$ ), ताकि विरल (sparse) क्लासेस पर ओवरफिटिंग को रोका जा सके।
बाधा प्रवर्तन (Constraint Enforcement): उत्पन्न उम्मीदवारों को देखे गए फीचर बाउंड्स ( $[l_c, u_c]$ ) के आधार पर एलिमेंट-वाइज क्लैम्पिंग के अधीन किया जाता है और उन्हें एक बाइनरी एक्सेप्ट/रिजेक्ट गेट के अधीन रखा जाता है। एक पैकेट तभी स्वीकार किया जाता है जब दोनों OCSв और IF उसे 'नॉर्मल' के रूप में वर्गीकृत करते हैं। अस्वीकृत पैकेटों को हटा दिया जाता है और पुन: उत्पन्न किया जाता है।

2. जेनेटिक एल्गोरिदम (GA) विधि

यह दृष्टिकोण पैकेट जनरेशन को एक मल्टी-ऑब्जेक्टिव ऑप्टिमाइज़ेशन समस्या के रूप में मानता है:

फिटनेस फंक्शन: एक उम्मीदवार पैकेट का फिटनेस फंक्शन विसंगति मॉडल स्वीकृति (80% वेट) और वितरण निष्ठा (20% वेट, क्लास सेंट्रॉइड से दूरी द्वारा मापा गया) के बीच संतुलन बनाता है।
जनसंख्या इनिशियलाइज़ेशन: प्रारंभिक जनसंख्या को एक्सप्लोइटेशन (exploitation) और एक्सप्लोरेशन (exploration) के बीच संतुलन बनाने के लिए तीन स्रोतों से बनाया गया है: वास्तविक ट्रेनिंग सैंपल (परटर्ब किए गए), गाऊसीय सैंपल, और फीचर बाउंड्स के बीच यूनिफॉर्म सैंपल।
विकासवादी प्रक्रिया (Evolutionary Process): एल्गोरिदम टूर्नामेंट सिलेक्शन, कई क्रॉसओवर ऑपरेटर्स (यूनिफॉर्म, सिंगल-पॉइंट, ब्लेंड) और म्यूटेशन रणनीतियों का उपयोग करता है। इसमें लोकल ऑप्टिमा से बचने के लिए एक स्टैग्नेशन रिस्टार्ट मैकेनिज्म शामिल है।
बाधा प्रवर्तन: सांख्यिकीय विधि की तरह, सभी ऑफस्प्रिंग को फीचर बाउंड्स तक क्लिप किया जाता है, और फिटनेस फंक्शन उन पैकेटों को भारी दंड (penalize) देता है जो दोहरे OCSVM/IF स्वीकृति मानदंडों में विफल रहते हैं।

3. स्वतंत्र सत्यापन ढांचा (Independent Validation Framework)

गुणवत्ता मूल्यांकन को वस्तुनिष्ठ बनाने के लिए, लेखक जनरेशन और वैलिडेशन के बीच एक सख्त अलगाव का उपयोग करते हैं। वैलिडेशन मॉडल (OCSVM और IF) को बिना किसी साझा पैरामीटर के विशेष रूप से मूल ACI IoT 2023 डेटा पर प्रशिक्षित किया गया है। एक सिंथेटिक सेट "PASS" स्थिति प्राप्त करता है यदि इन स्वतंत्र वैलिडेटर्स के माध्यम से विसंगति दर ( $A_f$ ) एक थ्रेशोल्ड $\tau = 0.30$ से नीचे है।

प्रमुख योगदान

व्यवस्थित तुलना: बाधा-प्रवर्तक सिंथेटिक IoT पैकेट जनरेशन के लिए सांख्यिकीय शिक्षण और जेनेटिक एल्गोरिदम की एक सीधी तुलना, जिसे चार स्पष्ट स्वीकृति मानदंडों के विरुद्ध मूल्यांकित किया गया है।
दोहरा-गेट आर्किटेक्चर: एक दोहरे विसंगति-पहचान गेटिंग मैकेनिज्म (OCSVM + IF) का परिचय जो संश्लेषण पाइपलाइन में सीधे अंतर्निहित है, यह सुनिश्चित करता है कि आउटपुट से पहले कठोर वैधता बाधाएं पूरी हों।
अत्यधिक असंतुलन हैंडलिंग: इस बात का अनुभवजन्य प्रमाण कि दोनों विधियां अत्यंत दुर्लभ अटैक श्रेणियों (विशेष रूप से $n=5$ सैंपल वाली ARP स्पूफिंग) को विसंगति थ्रेशोल्ड से नीचे गिराए बिना 200× से 1,000 प्रमाणित पैकेटों तक सफलतापूर्वक बढ़ा सकती हैं।
कंप्यूटेशनल ट्रेड-ऑफ विश्लेषण: एक मात्रात्मक विश्लेषण जो दोनों विधियों के बीच ~190:1 थ्रूपुट अनुपात को प्रकट करता है, जो विभिन्न परिनियोजन संदर्भों के लिए साक्ष्य-आधारित चयन मानदंड प्रदान करता है।

प्रयोगात्मक परिणाम

पूर्ण ACI IoT 2023 डेटासेट पर मूल्यांकित, दोनों विधियों ने स्वतंत्र वैलिडेशन फ्रेमवर्क ( $\tau = 0.30$ ) के तहत सभी 12 अटैक कैटेगरी में PASS स्टेटस प्राप्त किया।

सांख्यिकीय शिक्षण प्रदर्शन:
- विसंगति दर (Anomaly Rate): चार वैलिडेशन टियर्स पर औसत विसंगति दर 1.20% प्राप्त की (क्लास-विशिष्ट टियर्स पर 0.00%, हाई इंट्रा-क्लास वेरिएंस के कारण बेनेन क्लास के लिए ग्लोबल IF पर 13.20%)।
- थ्रूपुट: ~1,091 पैकेट/सेकंड।
- विशेषताएं: कम प्रति-क्लास वेरिएंस के साथ लगभग एकसमान विसंगति दर, जो उच्च निरंतरता लेकिन सीमित इंट्रा-क्लास परिवर्तनशीलता को दर्शाती है।
जेनेटिक एल्गोरिदम प्रदर्शन:
- विसंगति दर: दो क्लास-विशिष्ट टियर्स में औसत विसंगति दर 0.62% प्राप्त की।
- थ्रूपुट: ~5.7 पैकेट/सेकंड।
- विशेषताएं: ऑर्गेनिक प्रति-क्लास वेरिएंस (0.00%–2.50%), जो वैध फीचर स्पेस के व्यापक अन्वेषण (exploration) को दर्शाता है।
अत्यधिक असंतुलन मामला (ARP स्पूफिंग, $n=5$ ):
- दोनों विधियों ने 1,000 प्रमाणित पैकेट सफलतापूर्वक उत्पन्न किए।
- सांख्यिकीय विधि: 0.00% विसंगति दर।
- GA विधि: 2.50% विसंगति दर (OCSVM), 0.00% (IF)।
- SMOTE जैसे मानक ओवरसैंपलिंग को हाई-डायमेंशनल स्पेस में डिजेनरेट नेबरहुड स्ट्रक्चर के कारण इस स्तर पर विफल होने के रूप में नोट किया गया है।

महत्व और दावे

यह शोध दावा करता है कि जनरेशन पाइपलाइन में हार्ड वैलिडिटी कंस्ट्रेंट्स को सीधे एम्बेड करने से ऐसे सिंथेटिक IoT पैकेट सफलतापूर्वक उत्पन्न होते हैं जो स्वतंत्र वैलिडेटर्स द्वारा लगातार "क्लास-फॉर-नॉर्मल" के रूप में स्वीकार किए जाते हैं, जो मौजूदा डीप जेनेरेटिव मॉडल्स की सीमाओं को संबोधित करता है।

लेखक मानते हैं कि विधि का चुनाव परिनियोजन संदर्भ पर निर्भर करता है:

सांख्यिकीय शिक्षण उन त्वरित डेटासेट ऑग्मेंटेशन के लिए उपयुक्त है जहाँ दक्षता और निरंतरता प्राथमिकताएं हैं (जैसे, रातों-रात IDS ट्रेनिंग के लिए ट्रेनिंग सेट्स का विस्तार करना)।
जेनेटिक एल्गोरिदम उन परिदृश्यों के लिए उपयुक्त है जहाँ विविधता (diversity) प्राथमिकता है, जैसे कि एडवरसैरियल रोबस्टनेस टेस्टिंग, रेड टीम ट्रैफ़िक जनरेशन, या वैध सीमाओं के भीतर विविध ट्रैफ़िक रिप्रेजेंटेशन के साथ IDS का स्ट्रेस टेस्टिंग।

यह कार्य इस बात पर प्रकाश डालता है कि जबकि दोनों विधियां दुर्लभ क्लासेस के लिए "जनरेशन गैप" को पार करती हैं, वे कंप्यूटेशनल लागत और उनके द्वारा उत्पादित सिंथेटिक विविधता की प्रकृति में मौलिक रूप से भिन्न हैं। शोध निष्कर्ष में सीमाओं का उल्लेख करते हुए, विशेष रूप से अनुक्रमिक प्रवाह मॉडलिंग (sequential flow modeling) और प्रोटोकॉल-विशिष्ट सिमेंटिक वैलिडेशन की कमी, इन्हें भविष्य के अनुसंधान के लिए क्षेत्रों के रूप में सुझाया गया है।