A Novel Byte-Level Flow-to-Image Encoding Method for Network Intrusion Detection Systems

Sintesi Tecnica: Un Nuovo Metodo di Codifica Flusso-Immagine a Livello di Byte per Sistemi di Rilevamento delle Intrusioni di Rete

Enunciato del Problema
I Sistemi di Rilevamento delle Intrusioni (IDS) basati sulla rete sono prevalentemente addestrati su record di flusso tabellari. Queste rappresentazioni monodimensionali (1D) limitano la capacità delle architetture convoluzionali di sfruttare le correlazioni spaziali inter-caratteristiche, poiché i modelli standard trattano le caratteristiche in modo indipendente o attraverso operazioni sequenziali. Sebbene i metodi esistenti abbiano tentato di convertire il traffico di rete in rappresentazioni bidimensionali (2D) di immagine per sfruttare le Reti Neurali Convoluzionali (CNN), essi spesso fanno affidamento su riduzione della dimensionalità o disposizioni spaziali euristico. Questi approcci scartano frequentemente informazioni numeriche fini attraverso la normalizzazione o il posizionamento arbitrario delle caratteristiche, compromettendo potenzialmente l'affidabilità del rilevamento delle intrusioni.

Metodologia
Gli autori propongono un metodo deterministico e reversibile di codifica flusso-immagine a livello di byte che converte ogni record di flusso di rete in un'immagine RGB fissa di dimensioni 32×32 senza perdita di precisione numerica. Il processo di codifica coinvolge tre fasi principali:

1. Partizionamento e Preparazione delle Caratteristiche: Le caratteristiche sono divise in tipi continui e categorici. Le caratteristiche continue sono standardizzate utilizzando la normalizzazione z-score (media e deviazione standard derivate esclusivamente dalla partizione di addestramento). Le caratteristiche categoriche sono mappate su indici interi piuttosto che sulla codifica one-hot per evitare la sparsità ad alta dimensionalità.
2. Codifica a Byte: Le caratteristiche continue sono convertite in float32 (formato IEEE-754 a singola precisione) e serializzate in quattro byte. Le caratteristiche categoriche sono codificate come valori a 1 byte (promossi a 2 byte se il vocabolario supera 255).
3. Disposizione Spaziale:
   • Caratteristiche Continue: I byte serializzati sono impacchettati sequenzialmente nei pixel lungo una traiettoria a "L invertita", partendo dall'angolo in basso a destra $(S-1, S-1)$, muovendosi verso l'alto fino a $(0, S-1)$ e poi verso sinistra fino a $(0, 0)$. Crucialmente, poiché un pixel contiene 3 byte (RGB) e una caratteristica contiene 4 byte, i confini delle caratteristiche sono intenzionalmente disallineati rispetto ai confini dei pixel. Questo costringe i filtri convoluzionali ad aggregare informazioni attraverso sia la dimensione del canale che quella spaziale per catturare i modelli di byte intra-caratteristica e le correlazioni inter-caratteristiche.
   • Caratteristiche Discrete: Gli indici categorici sono posizionati contiguamente al centro della riga mediana $(\lfloor S/2 \rfloor)$, fornendo un'ancora spaziale fissa che separa i modelli discreti dai modelli di byte continui.
   • Riempimento: Le posizioni non utilizzate sono riempite con zeri (sfondo nero).

Lo studio valuta questa codifica contro quattro modelli IDS (CNN, CNN-LSTM, CNN-BiLSTM e ResNeXt-50) utilizzando sia configurazioni di flusso 1D che di immagine 2D sui dataset NSL-KDD e UNSW-NB15, sfruttando le loro partizioni originali di addestramento e test per garantire la riproducibilità.

Principali Contributi

• Schema di Codifica Innovativo: Un metodo deterministico e reversibile che converte i record di flusso tabellari in immagini RGB 32×32 preservando i valori originali delle caratteristiche e la precisione numerica.
• Agnosticismo Architettonico: Il metodo non richiede modifiche alle architetture dei modelli esistenti, permettendo un confronto diretto tra le modalità 1D e 2D.
• Validazione Empirica: Una valutazione completa su due dataset di riferimento dimostra che la rappresentazione basata su immagini migliora costantemente l'accuratezza del rilevamento attraverso architetture sia superficiali che profonde.

Risultati Sperimentali
La rappresentazione basata su immagini ha prodotto guadagni di accuratezza coerenti rispetto alle linee di base basate sul flusso:

• UNSW-NB15: Il metodo ha raggiunto miglioramenti di accuratezza fino al 15,6% per la classificazione binaria e al 12,8% per la classificazione multiclasse. Notevolmente, ha alleviato significativamente il divario di prestazioni tra le classi normali e quelle di attacco, portando l'accuratezza della classe di attacco da un minimo di ~29% (nei modelli 1D) a oltre il 96% nei modelli basati su immagini.
• NSL-KDD: I miglioramenti sono stati più modesti ma coerenti, con guadagni fino al 3,5% per la classificazione binaria e al 3,2% per la classificazione multiclasse. I miglioramenti più significativi sono stati osservati nel rilevamento delle classi minoritarie (ad esempio R2L e U2R), dove l'accuratezza per specifiche classi è aumentata di oltre 30 punti percentuali in alcune configurazioni.
• Stabilità: I modelli basati su immagini hanno mostrato deviazioni standard più piccole tra esperimenti ripetuti, suggerendo una stabilità di addestramento migliorata rispetto alle controparti basate sul flusso.

Significato e Affermazioni
Il documento afferma che la codifica visiva a livello di byte rafforza il rilevamento delle intrusioni guidato dall'IA nelle reti di computer locali consentendo ai filtri convoluzionali di apprendere modelli locali coerenti e relazioni inter-caratteristiche che sono inaccessibili attraverso l'elaborazione sequenziale 1D. Gli autori sottolineano che questo approccio è particolarmente efficace per il rilevamento di tipi di attacco rari dove le rappresentazioni 1D mancano di informazioni discriminative sufficienti.

Gli autori riconoscono le limitazioni, notando che l'efficacia del metodo dipende parzialmente dalla composizione delle caratteristiche (i dataset con più caratteristiche binarie/nominali risultano in regioni riempite con zeri più ampie) e che il layout fisso attuale non tiene conto esplicitamente delle correlazioni semantiche inter-caratteristiche. Inoltre, la valutazione è limitata a dataset di benchmark offline, e le prestazioni in tempo reale in condizioni di traffico in streaming devono ancora essere validate. È proposto un lavoro futuro per esplorare layout spaziali adattivi basati sulla correlazione delle caratteristiche e per indagare il deployment in ambienti con risorse limitate.