Technische Samenvatting: Hybride Topologische Data-Analyse en LSTM-netwerken voor Verbeterde Netwerkintrusiedetectie

1. Probleemstelling

Netwerkintrusiedetectiesystemen (NIDS) worden geconfronteerd met aanzienlijke uitdagingen in moderne cybersecurity-omgevingen, waaronder hoogdimensionale feature-ruimten, temporele afhankelijkheden in netwerkverkeer, klassenimbalans tussen normaal en kwaadaardig gedrag, en de noodzaak voor real-time verwerking. Traditionele signatuurgebaseerde systemen hebben moeite met zero-day exploits en dynamische dreigingslandschappen. Hoewel deep learning, in het bijzonder Long Short-Term Memory (LSTM) netwerken, veelbelovend is gebleken bij het modelleren van sequentiële data, falen statische classificators vaak in het vastleggen van de onderliggende geometrische structuren van netwerkverkeer. Bovendien maken aanvallers frequent gebruik van obfuscatie- en evasie-strategieën die standaard statistische benaderingen kunnen omzeilen. Dit onderzoek adresseert de behoefte aan een systeem dat zowel de structurele (topologische) als de temporele kenmerken van netwerkverkeer simultaan kan vastleggen om anomaliedetectie te verbeteren.

2. Methodologie

Het artikel stelt een nieuwe hybride architectuur voor die Topologische Data-Analyse (TDA) integreert met LSTM-netwerken via een Multi-Layer Perceptron (MLP) fusienetwerk. De methodologie is als volgt gestructureerd:

A. Data Preprocessing

De studie maakt gebruik van de CIC-IDS2017 dataset, die meer dan 2,8 miljoen gelabelde bidirectionele netwerkstromen bevat met 77 features (na preprocessing) en 14 aanvalscategorieën (inclusief DDoS, Brute Force, Web Attacks, Infiltration en Botnets). De preprocessing-pipeline omvat:

• Data cleaning (verwijderen van duplicaten, oneindige waarden en NaN-waarden).
• Min-Max normalisatie van numerieke features.
• Gestratificeerde subsampling om de klassenratio's te behouden terwijl de computationele kosten voor TDA worden beheerst.
• Constructie van overlappende tijdvensters (venstergrootte $w=50$, stapgrootte $s=25$) om temporele sequenties vast te leggen.

B. Topologische Data-Analyse (TDA) Component

De TDA-module extraheert structurele kenmerken uit de tijdvensters van de netwerkdata:

1. Point Cloud Constructie: Elk tijdvenster wordt behandeld als een point cloud in een hoogdimensionale ruimte.
2. Persistent Homology: Een Vietoris-Rips filtratie wordt geconstrueerd met behulp van de Euclidische afstand. Dit legt topologische kenmerken (verbonden componenten en lussen) vast die persistent zijn over meerdere schalen.
3. Betti Curves: De persistentie-diagrammen worden omgezet in functionele representaties bekend als Betti-curves ($\beta_0$ en $\beta_1$), die verbondenheid en luspatronen beschrijven. Deze curves worden gediscretiseerd in fixed-length feature vectoren (200 punten).
4. Feature Extractie: De resulterende vectoren ($z_{TDA}$) representeren topologische invarianten die robuust zijn tegen ruis en continue vervorming.

C. LSTM Component

De LSTM-module verwerkt de sequentiële netwerkdata om temporele afhankelijkheden vast te leggen:

• Architectuur: Twee gestapelde LSTM-lagen (64 en 32 hidden units) met dropout (0.2) en batch normalisatie.
• Functie: Het gating-mechanisme van LSTMs legt langetermijn-temporele afhankelijkheden vast, wat het probleem van vanishing gradients oplost dat gebruikelijk is bij standaard RNN's.
• Output: De module produceert een temporele feature-representatie ($z_{LSTM}$).

D. Hybride Fusie

De kerninnovatie ligt in de Feature Fusie fase:

• De topologische features ($z_{TDA}$) en de temporele features ($z_{LSTM}$) worden geconcateneerd.
• Een geleerd MLP-fusienetwerk verwerkt deze gecombineerde representatie.
• De uiteindelijke outputlaag gebruikt een Softmax-activatie voor binaire classificatie (Normaal vs. Aanval).

3. Belangrijkste Bijdragen

Het artikel schetst vier primaire bijdragen:

1. Nieuwe Architectuur: Een hybride TDA+LSTM-framework dat topologische feature-extractie integreert met diepe temporele modellering voor netwerkintrusiedetectie.
2. Wiskundige Formulering: Een rigoureuze definitie van Betti-curve extractie en de fusie ervan met deep learning modellen, specifiek gebruikmakend van persistent homology om ruis-resistente features te genereren.
3. Uitgebreide Evaluatie: Een grondige experimentele beoordeling op de CIC-IDS2017 benchmark, inclusief ablation studies, 5-voudige cross-validatie en statistische significantietoetsen.
4. Feature Analyse: Een diepgaande examinatie van hoe topologische features (specifiek Betti-curves) temporele representaties aanvullen over verschillende aanvalscategorieën.

4. Experimentele Resultaten

Het voorgestelde model werd geëvalueerd tegenover baselines inclusief Isolation Forest, TDA+Random Forest, traditionele SVM en een standalone LSTM.

• Prestatie-metrieken: Het hybride TDA+LSTM-model behaalde een AUC van 1.000 en een F1-score van 1.000 op de CIC-IDS2017 dataset.
• Cross-validatie: 5-voudige cross-validatie leverde een gemiddelde AUC op van $1.000 \pm 0.000$ en een gemiddelde F1-score van $0.999 \pm 0.001$.
• Vergelijkende Analyse:
  • TDA+LSTM Hybride: F1 = 1.000
  • TDA + Random Forest: F1 = 0.994
  • Isolation Forest: F1 = 0.835
  • Standalone LSTM: F1 = 1.000 (Opmerking: Het artikel merkt op dat het hybride model een competitieve prestatie levert met de standalone LSTM, maar benadrukt de toegevoegde waarde van topologische interpreteerbaarheid).
• Ablatie Studie:
  • TDA-only (MLP): F1 = 0.990
  • LSTM-only: F1 = 1.000
  • Hybride: F1 = 1.000
  • De studie demonstreert dat hoewel de LSTM alleen uitzonderlijk goed presteert, de topologische features complementaire informatie bieden, met name bij het omgaan met klassenimbalans en het bieden van geometische inzichten.
• Computationele Kosten: Het hybride model vereist meer trainingstijd (1.4 minuten) en geheugen (469 MB) vergeleken met traditionele SVM (<0.1 min, 89 MB) of TDA+RF (0.3 min, 145 MB), wat wijst op een trade-off tussen computationele overhead en feature-rijkdom.

5. Betekenis en Claims

Het artikel claimt dat de hybride aanpak een nieuw paradigma biedt voor netwerkintrusiedetectie door de leerkracht van deep neural networks te combineren met de wiskundige strengheid van topologische data-analyse.

• Synergetische Effecten: De combinatie van TDA en LSTM biedt robuuste prestaties, waarbij topologische features stabiliteit bieden tegen ruis en perturbaties die vaak statistische methoden hinderen.
• Interpreteerbaarheid: In tegen tegenstelling tot "black box" deep learning modellen, biedt de TDA-component geometrische inzichten in aanvalspatronen (bijv. dichte connectiviteit bij DoS-aanvallen versus ijle exploratie bij PortScans).
• Robuustheid: Het model demonstreert effectiviteit over diverse aanvalscategorieën, inclusief Brute Force, Botnets en Web Attacks, met perfecte classificatie in de geteste vensters.
• Beperkingen: De auteurs erkennen bescheiden beperkingen, waaronder de verhoogde computationele overhead voor grootschalige installaties, de gevoeligheid voor parameterinstellingen (venstergrootte, filtratieradius), en de noodzaak voor verdere validatie op andere moderne datasets (bijv. CICIoT2023, UNSW-NB15) voordat de claims gegeneraliseerd kunnen worden.

Concluderend valideert het onderzoek dat het integreren van topologische invarianten met temporele sequentiemodellering de detectie van complexe netwerkintrusies verbetert, en een methode biedt die zowel hoog nauwkeurig als structureel interpreteerbaar is.