Hybrid CNN-LSTM Framework for Intelligent Cyber Attack Detection and Prevention in U.S. Critical Digital Infrastructure: A Comparative Machine Learning Evaluation on CSE-CIC-IDS2018

Technische Samenvatting: Hybride CNN-LSTM-framework voor intelligente detectie van cyberaanvallen

Probleemstelling
De versnellende digitalisering van de Amerikaanse kritieke infrastructuur (gezondheidszorg, financiën, energie, transport en overheid) heeft een aanvalsoppervlak gecreëerd dat traditionele, op signatures gebaseerde Intrusion Detection Systems (IDS) niet adequaat kunnen verdedigen. Legacy-benaderingen schieten tekort tegen zero-day exploits, DDoS-campagnes, botnets en sluipende infiltratieaanvallen omdat ze vertrouwen op het herkennen van eerder geziene dreigingen. Bovendien worstelen bestaande AI-gestuurde oplossingen vaak met hoge fout-positieveven rates, computationele overhead in real-time omgevingen en een gebrek aan aanpassingsvermogen aan evoluerende dreigingslandschappen. De studie adresseert de behoefte aan een adaptief, intelligent defensief framework dat in staat is om cyberdreigingen in real-time te detecteren en te classificeren met een hoge sensitiviteit en lage alarmfrequenties.

Methodologie
De studie hanteert een kwantitatief, experimenteel ontwerp met behulp van de CSE-CIC-IDS2018 benchmark dataset, een realistisch multi-vector netwerkverkeer-corpus gegenereerd door het Canadian Institute for Cybersecurity. De methodologie verloopt via acht onderling verbonden fasen:

1. Data Preprocessing: De ruwe dataset, gekenmerkt door een ernstige klassenonbalans (benigne verkeer overtreft aanvallen aanzienlijk) en problemen met de datakwaliteit (ontbrekende/oneindige waarden), onderging systematische opschoning. Dit omvatte het verwijderen van NaN/oneindige waarden, het elimineren van duplicaten en het toepassen van Min-Max normalisatie. Om de klassenonbalans aan te pakken, werd een combinatie van random oversampling voor minderheidsaanvalsklassen en undersampling voor de dominante benigne klasse toegepast, uitsluitend op de trainingsset, terwijl de testset de oorspronkelijke distributie behield om de werkelijkheid te reflecteren.
2. Feature Engineering: Een driefasige aanpak werd gebruikt: Pearson-correlatieanalyse om redundante kenmerken te verwijderen (correlatie > 0,95), Random Forest-gebaseerde feature importance-ranking om kenmerken met een laag signaal uit te sluiten, en een test van Principal Component Analysis (PCA), die uiteindelijk werd verworpen omdat deze slechts marginale winst bood ten koste van interpreteerbaarheid. De uiteindelijke feature set bevatte Flow Duration, Packet Length statistieken, Forward/Backward Packet counts, Destination Port, Protocol Type en inter-arrival times.
3. Modelontwikkeling: Vijf architecturen werden systematisch vergeleken:
   • Random Forest en XGBoost: Klassieke ensemble-classifiers die dienen als industriestandaard baselines.
   • Support Vector Machine (SVM): Een kernel-gebaseerde classifier (getraind op een gestratificeerde subsample van 30% vanwege computationele beperkingen).
   • Convolutional Neural Network (CNN): Ontworpen voor het extraheren van ruimtelijke feature-interacties uit hervormde 2D-verkeersmatrices.
   • Long Short-Term Memory (LSTM): Ontworend voor het vastleggen van temporele sequenties van netwerkstromen.
   • Hybride CNN-LSTM: Een dual-pathway architectuur waarbij CNN-lagen ruimtelijke feature-extractie uitvoeren, gevolgd door LSTM-lagen voor temporele sequentiemodellering.
4. Framework Architectuur: De modellen werden geïntegreerd in een end-to-end cyber defensie pipeline bestaande uit modules voor verkeersverzameling, preprocessing, feature extractie, AI-gebaseerde dreigingsdetectie, aanvalclassificatie en geautomatiseerde dreigingspreventie.
5. Evaluatie: Modellen werden getraind op een 80/20 gestratificeerde split. Prestaties werden beoordeeld met behulp van Accuracy, Precision, Recall, F1-Score, ROC-AUC en False Positive Rate (FPR).

Belangrijkste Resultaten
Alle geëvalueerde modellen bereikten een detectie-accuratesse boven de 96%, maar het Hybride CNN-LSTM model vertoonde superieure prestaties over alle metrieken:

• Accuracy: Het hybride model bereikte 99,1%, waarmee het Random Forest (96,8%), XGBoost (97,5%), CNN (98,1%) en LSTM (98,4%) overtrof.
• Precision en Recall: Het hybride model bereikte ongeveer 99,0% precisie en 98,8% recall, wat wijst op een echte verbetering in discriminerend vermogen in plaats van een afruil tussen de twee.
• False Positive Rate (FPR): Het hybride model bereikte de laagste FPR van ~2,0%, een significante reductie vergeleken met Random Forest (5,5%) en XGBoost (4,8%). Deze reductie is operationeel cruciaal voor het mitigeren van 'alert fatigue' bij analisten in omgevingen met een hoog volume.
• Feature Importance: Analyse toonde aan dat Flow Duration (0,28 belang), Packet Length (0,24) en Destination Port (~0,18) de meest voorspellende kenmerken waren, die gezamenlijk ongeveer 70% van het classificatiesignaal accounteerden.
• ROC-AUC: Het framework bereikte een AUC van 1,00 op de testset, wat duidt op bijna perfecte klasse-scheidbaarheid onder de experimentele omstandigheden.

Significantie en Claims
Het artikel claimt dat het Hybride CNN-LSTM framework een betekenisvolle en inzetbare verbetering biedt ten opzichte van conventionele IDS-benaderingen. De significantie van het werk ligt in de demonstratie dat het integreren van ruimtelijke feature-extractie (CNN) met temporele sequentieleer (LSTM) de gelijktijdige capture van zowel binnen-flow feature signatures als over-flow gedragsequenties mogelijk maakt, wat single-architectuur modellen missen.

De auteurs benadrukken dat het vermogen van het framework om een hoge detectiegevoeligheid te behouden terwijl het aantal fout-positieven drastisch wordt verminderd, een primaire operationele bottleneck in cybersecurity aanpakt: alert fatigue. Door ~99% accuratesse en ~2% FPR te bereiken, suggereert de studie dat hybride deep learning een schaalbare, laag-foutgevoelige cybersecurity kan bieden die geschikt is voor de bescherming van de Amerikaanse kritieke infrastructuur.

Beperkingen en Reikwijdte
Het artikel neemt een bescheiden standpunt in met betrekking tot operationele inzetbaarheid. Het erkent expliciet dat:

• De resultaten gebaseerd zijn op de 2018 CSE-CIC-IDS2018 dataset, die geen dreigingen van na 2020 reflecteert, zoals ransomware-as-a-service, AI-gegenereerde phishing of supply chain intrusies.
• De evaluatie werd uitgevoerd op afgespeeld verkeer (replayed traffic) in plaats van live netwerkstromen, wat betekent dat real-time inference latency onder productiebelasting niet is gemeten.
• Het SVM-model werd getraind op een subsample, wat de prestaties ten opzichte van andere modellen mogelijk onderschat.
• Explainability niet is geadresseerd; de deep learning modellen functioneren als "black boxes", wat een barrière blijft voor adoptie in gereguleerde industrieën.
• De studie concludeert dat hoewel het framework sterke empirische belofte toont, validatie tegen hedendaagse aanvalsdata en live netwerkstromen noodzakelijk is voordat er operationele conclusies kunnen worden getrokken.