Hybrid CNN-LSTM for Cyberattack Classification in Sudanese E-Government SDN

現代の世界において、政府は業務をオンラインへと移行させつつあり、物理的なオフィスを訪れることなく、市民がサービスにアクセスしたり、税金を支払ったり、記録を取得したりできるデジタルポータルを構築しています。この「e-ガバメント（電子政府）」と呼ばれるシフトは、これらのサービスと人々を繋ぐための複雑なコンピュータネットワークに大きく依存しています。これらのネットワークをより高速かつ管理しやすくするために、多くの組織が「ソフトウェア定義ネットワーク（SDN）」と呼ばれる新しいアーキテクチャを採用しています。この手法は、データの行き先を決定する「脳」の部分と、実際にデータを移動させる「筋肉」の部分を分離するものです。これによりシステムはより柔軟になりますが、同時に新たな種類の脆弱性も生み出します。もし攻撃者が中央の「脳」を欺くことができれば、システム全体を混乱させることができてしまうのです。さらに、これらのデジタルプラットフォームが成長するにつれ、データを盗んだりサービスを停止させたりしようとする巧妙なサイバー攻撃の標的となります。禁止された本のリストをチェックする司書のように、既知の悪意あるパターンを探す従来のセキュリティシステムは、進化し続ける新しい手口や、膨大な量の暗号化されたトラフィックを捉えるのに苦戦することがよくあります。これは、何百万人もの市民の機密情報を保護する上で、決定的な空白を生じさせています。

この課題に対処するため、スーダンの研究者たちは、被害が出る前にサイバー攻撃を検知するように設計された、新しいインテリジェントなシステムを開発しました。スーダン科学技術大学のラニア・エルシェイク・ハミド氏率いるチームは、スーダン独自のデジタル環境にはカスタムソリューションが必要であることを認識していました。彼らは、標準的なセキュリティツールでは、スーダンの政府ポータルに見られる独特なウェブトラフィックとネットワークフローの組み合わせを扱うには不十分であることを知っていました。そこで、古い手法に頼るのではなく、彼らはハイブリッド型のディープラーニングモデルを構築しました。このシステムは、2つの強力な人工知能を組み合わせています。一つは、カメラが形を認識するように、生のデータからパターンを見つけ出すことに長けたもの。もう一つは、読者が物語の流れを追うように、シーケンス（順序）やタイミングを理解することに長けたものです。これら2つのアプローチを融合させることで、システムはデータパケットの即時的な内容と、そのデータがどのように到着したかという履歴の両方を観察することができ、正当な市民のリクエストと悪意のある攻撃を高い精度で区別することができるのです。

研究者たちが直面した最大の障害は、現実世界のデータの不足でした。厳格なプライバシー法と国家安全保障上の懸念により、彼らは訓練のために政府のサーバーから実際のログを単純に利用することができなかったのです。これを解決するために、彼らはプライベートな情報を一切公開することなく、現実の環境を模倣したカスタムデータセットを作成しました。彼らは、このトレーニングの場を構築するために、3つの異なる情報源を組み合わせました。第一に、システムにトラフィックを殺到させるDoS攻撃などの一般的なネットワーク攻撃の例を含む、グローバルなベンチマークを使用しました。第二に、ウェブサイトに有害なコードを注入しようとする試みのような、ウェブベースの攻撃を示すために特別に設計されたデータセットを含めました。最後に、シミュレーションを真にローカルなものにするため、コンピュータープログラムを使用して、スーダンのインフラに見られる特定の遅延やルーティングパターンを含む、スーダン政府のネットワークと全く同じ挙動をする人工的なトラフィックを生成しました。この合成データによって、彼らはスーダンが直面している脅威の現実的な表現に基づいてモデルを訓練することができ、展開時にシステムが確実に機能することを保証しました。

モデルの訓練が終わると、研究者たちは、古い手法と比較して、攻撃をどの程度正確に特定できるかをテストしました。彼らは、人間の専門家が攻撃の姿を定義する従来の機械学習ツールや、他のスタンドアロン型の人工知能モデルを含む、いくつかの確立された手法とこの新しいハイブリッドシステムを比較しました。結果は明白でした。新しいハイブリッドモデルは97.8パーセントの総合精度を達成し、これは、ほぼすべてのケースにおいてトラフィックの性質を正しく識別できたことを意味します。より重要なことに、誤検知（偽陽性）の率を極めて低く抑え、正当なリクエストを危険であると誤ってフラグ立てした割合は1.5パーセント未満でした。政府サービスにおいて、誤検知は深刻な問題です。なぜなら、それは市民が自身のデータにアクセスしたり、請求書を支払ったりすることを妨げる可能性があるからです。この数値を低く保つことで、システムは悪意のある者を捕らえつつ、サービスが公衆に対して利用可能であることを保証します。

また、研究ではシステムがどれほどの速さで意思決定を行えるかについても調査しました。毎秒数千のリクエストを処理するネットワークにおいて、セキュリティシステムが遅ければ、それはすべてを遅延させるボトルネックとなってしまいます。研究者たちは、モデルが単一のデータを分析し、わずか18.6ミリ秒で予測を行うことができることを発見しました。この速度は、ネットワークコントローラーのリアルタイム要件に適合するほど十分に速く、情報の流れを停滞させることなく、攻撃が発生した瞬間にそれを阻止できることを意味します。システムは特定の種類の脅威に対して特に効果的であることが証明され、データベースを操作しようとするSQLインジェクションの試みや、サーバーを圧倒しようとする分散型サービス拒否（DDoS）攻撃を、98パーセントを超える成功率で正しく特定しました。これらの知見は、ハイブリッドアプローチが理論的に健全であるだけでなく、実用的に実行可能であることを示唆しています。

有望な結果ではありますが、研究者たちは、これは前進ではあるものの、最終的な解決策ではないことにも注意を払っています。モデルは、非常に現実的ではあるものの、進行中のライブな政府トラフィックから直接取得されたものではなく、環境をシミュレートするために生成されたデータセットでテストされました。チームは、サイバー攻撃が進化した際、システムが適応していく必要があることを認めています。今後の研究において、彼らは「連合学習（フェデレーテッド・ラーニング）」と呼ばれる手法を探求する予定です。このアプローチにより、異なる政府機関は、生の機密情報を中央サーバーと共有することなく、それぞれのローカルデータを使用してセキュリティモデルを共同で訓練できるようになります。これにより、市民データの取り扱いを規定する厳格なプライバシーおよびセキュリティの制約を遵守しながら、新しい脅威を検知するシステムの能力をさらに強化することができます。しかしながら、現時点では、この研究はより安全なデジタルな未来への強固な基盤を提供しており、スーダンのe-ガバメントサービスの完全性と信頼を守るために役立つ、スケーラブルでインテリジェントなベースラインを提示しています。