A Novel Byte-Level Flow-to-Image Encoding Method for Network Intrusion Detection Systems

Technische Samenvatting: Een Nieuwe Methode voor Byte-niveau Stroom-naar-Afbeelding Encodering voor Netwerkintrusiedetectiesystemen

Probleemstelling
Netwerkgeladen Intrusiedetectiesystemen (IDS) worden overwegend getraind op tabulaire stroomrecords. Deze een-dimensionale (1D) representaties beperken het vermogen van convolutiearchitecturen om ruimtelijke correlaties tussen kenmerken te benutten, aangezien standaardmodellen kenmerken onafhankelijk behandelen of via sequentiële bewerkingen. Hoewel bestaande methoden hebben geprobeerd netwerkverkeer om te zetten in twee-dimensionale (2D) afbeeldingsrepresentaties om Convolutional Neural Networks (CNN's) te benutten, vertrouwen zij vaak op dimensionaliteitsreductie of heuristische ruimtelijke rangschikkingen. Deze benaderingen werpen vaak fijngranulaire numerieke informatie weg door normalisatie of willekeurige plaatsing van kenmerken, wat de betrouwbaarheid van intrusiedetectie potentieel kan compromitteren.

Methodologie
De auteurs stellen een deterministische en omkeerbare byte-niveau stroom-naar-afbeelding encoderingsmethode voor die elke netwerkstroomrecord omzet in een vaste 32×32 RGB-afbeelding zonder verlies van numerieke precisie. Het encoderingsproces omvat drie hoofdfasen:

1. Kenmerkpartitie en Voorbereiding: Kenmerken worden onderverdeeld in continue en categorische typen. Continue kenmerken worden gestandaardiseerd met z-score normalisatie (gemiddelde en standaardafwijking uitsluitend afgeleid van de trainingsverdeling). Categorische kenmerken worden gemapt naar gehele indexen in plaats van one-hot encoding om hoge dimensionale sparsiteit te vermijden.
2. Byte-encodering: Continue kenmerken worden omgezet naar float32 (IEEE-754 enkelvoudige precisieformaat) en gesequentieerd in vier bytes. Categorische kenmerken worden gecodeerd als 1-byte waarden (gepromoveerd naar 2 bytes als het vocabulaire groter is dan 255).
3. Ruimtelijke Indeling:
   • Continue Kenmerken: Gesequentieerde bytes worden sequentieel verpakt in pixels langs een "omgekeerde L"-vormige traject, beginnend bij de onderste rechterhoek $(S-1, S-1)$, omhoog bewegend naar $(0, S-1)$, en vervolgens naar links naar $(0, 0)$. Cruciaal is dat, omdat een pixel 3 bytes (RGB) bevat en een kenmerk 4 bytes, de grenzen van kenmerken opzettelijk niet zijn uitgelijnd met de grenzen van pixels. Dit dwingt convolutiefilters om informatie te aggregeren over zowel kanaal- als ruimtelijke dimensies om byte-patronen binnen kenmerken en correlaties tussen kenmerken te vangen.
   • Discrete Kenmerken: Categorische indexen worden aaneengesloten geplaatst in het midden van de middelste rij $(\lfloor S/2 \rfloor)$, wat een vaste ruimtelijke ankerpunt biedt dat discrete patronen scheidt van continue byte-patronen.
   • Opvulling: Ongebruikte posities worden opgevuld met nullen (zwarte achtergrond).

De studie evalueert deze encodering tegenover vier IDS-modellen (CNN, CNN-LSTM, CNN-BiLSTM en ResNeXt-50) met zowel 1D-stroom- als 2D-afbeeldingsconfiguraties op de NSL-KDD en UNSW-NB15 datasets, waarbij gebruik wordt gemaakt van hun originele trainings- en testverdelingen om reproduceerbaarheid te waarborgen.

Belangrijkste Bijdragen

• Nieuw Encoderingschema: Een deterministische, omkeerbare methode die tabulaire stroomrecords omzet in 32×32 RGB-afbeeldingen terwijl oorspronkelijke kenmerkwaarden en numerieke precisie behouden blijven.
• Architectuuronafhankelijkheid: De methode vereist geen wijziging aan bestaande modelarchitecturen, waardoor directe vergelijking mogelijk is tussen 1D- en 2D-modaliteiten.
• Empirische Validatie: Uitgebreide evaluatie op twee benchmarkdatasets toont aan dat de op afbeeldingen gebaseerde representatie consistent de detectienauwkeurigheid verbetert over zowel ondiepe als diepe architecturen.

Experimentele Resultaten
De op afbeeldingen gebaseerde representatie leverde consistente nauwkeurigheidswinsten op ten opzichte van op stroom gebaseerde baselines:

• UNSW-NB15: De methode behaalde nauwkeurigheidsverbeteringen tot 15,6% voor binaire classificatie en 12,8% voor multiclassificatie. Opmerkelijk is dat het de prestatieverschillen tussen normale en aanvalsclasses aanzienlijk verminderde, waardoor de nauwkeurigheid voor aanvalsclasses steeg van een laagtepunt van ~29% (in 1D-modellen) naar meer dan 96% in op afbeeldingen gebaseerde modellen.
• NSL-KDD: Verbeteringen waren bescheidener maar consistent, met winsten tot 3,5% voor binaire classificatie en 3,2% voor multiclassificatie. De meest significante verbeteringen werden waargenomen bij detectie van minderheidsklassen (bijv. R2L en U2R), waarbij de nauwkeurigheid voor specifieke klassen in sommige configuraties met meer dan 30 procentpunten steeg.
• Stabiliteit: Op afbeeldingen gebaseerde modellen vertoonden kleinere standaardafwijkingen over herhaalde experimenten, wat wijst op verbeterde trainingsstabiliteit in vergelijking met op stroom gebaseerde tegenhangers.

Betekenis en Beweringen
Het artikel beweert dat byte-niveau visuele encodering AI-gedreven intrusiedetectie in lokale computernetwerken versterkt door convolutiefilters in staat te stellen consistente lokale patronen en relaties tussen kenmerken te leren die ontoegankelijk zijn via sequentiële 1D-verwerking. De auteurs benadrukken dat deze aanpak bijzonder effectief is voor het detecteren van zeldzame aanvalstypen waar 1D-representaties onvoldoende discriminerende informatie missen.

De auteurs erkennen beperkingen, met name dat de effectiviteit van de methode deels afhankelijk is van de samenstelling van de kenmerken (datasets met meer binaire/nominale kenmerken resulteren in meer met nullen opgevulde gebieden) en dat de huidige vaste indeling geen expliciete rekening houdt met semantische correlaties tussen kenmerken. Bovendien is de evaluatie beperkt tot offline benchmarkdatasets, en moet de prestatie in real-time onder streamingverkeersomstandigheden nog worden gevalideerd. Voor toekomstig werk wordt voorgesteld om adaptieve ruimtelijke indelingen op basis van kenmerkcorrelatie te verkennen en de implementatie in omgevingen met beperkte middelen te onderzoeken.