In de onzichtbare snelwegen van het internet stroomt data constant tussen computers, servers en apparaten. Dit verkeer is meestal onschadelijk, maar het kan ook verborgen dreigingen bevatten: kwaadaardige code die ontworpen is om informatie te stelen, systemen te laten crashen of netwerken te kapen. Om deze digitale paden te beschermen, gebruiken beveiligingsexperts Intrusion Detection Systems, die fungeren als geautomatiseerde bewakers die waken op verdachte activiteiten. Decennialang hebben deze bewakers vertrouwd op twee hoofdstrategieën. De eerste is als een politieagent die een lijst met bekende criminelen controleert; het zoekt naar specifieke patronen die overeenkomen met eerdere aanvallen. Dit werkt goed voor bekende dreigingen, maar faalt volledig tegen nieuwe, onbekende gevaren. De tweede strategie is als een bewaker die let op iedereen die zich vreemd gedraagt; het markeert alles wat niet lijkt op normaal gedrag. Hoewel dit nieuwe dreigingen kan vangen, geeft het vaak valse alarmen, waarbij het "gevaar" roept terwijl een gebruiker simpelweg iets ongewoons maar onschadelijks doet. De uitdaging voor moderne beveiliging is om een systeem te bouwen dat scherp genoeg is om bekende criminelen te herkennen, gevoelig genoeg om nieuwe te spotten, en helder genoeg om precies uit te leggen waarom het een beslissing heeft genomen, zonder overweldigd te worden door de enorme hoeveelheid data.

Een team van onderzoekers aan de Donghua Universiteit en de Chinese Academy of Sciences heeft een nieuwe aanpak ontwikkeld om dit probleem op te lossen. Ze hebben een machine learning-framework gecreëerd dat de sterke punten van zowel patroonherkenning als anomaliedetectie combineert in één enkel, verenigd systeem. In plaats van te vertrouwen op complexe deep-learningmodellen die fungeren als 'black boxes', gebruikt hun methode een transparanter type algoritme genaamd een Random Forest. Dit systeem is ontworpen om een specifieke, moeilijke realiteit van netwerkverkeer aan te pakken: de data is extreem ongebalanceerd. In een typisch netwerk maakt onschadelijk verkeer het overgrote deel van wat er wordt gezien, terwijl gevaarlijke aanvallen extreem zeldzaam zijn. Deze onbalans misleidt computermodellen er vaak toe om de zeldzame aanvallen volledig te negeren. De onderzoekers hebben dit aangepakt door de trainingsdata zorgvuldig aan te passen om de zeldzame dreigingen meer gewicht te geven, zodat het systeem leert ze te herkennen. Ze hebben ook een methode geïntroduceerd om het vertrouwen van het systeem te kalibreren, wat betekent dat de computer aan beveiligingsanalisten kan vertellen hoe zeker hij is over een dreiging, in plaats van alleen maar te gokken.

De kern van hun werk is een "bimodale" framework, wat betekent dat het opereert met twee verschillende maar verbonden manieren van denken. De eerste modus fungeert als een specialist in bekende aanvallen. Deze is getraind om specifieke soorten dreigingen te herkennen, zoals denial-of-service aanvallen of webgebaseerde indringingen, met hoge precisie. De tweede modus fungeert als een generalist, die scant op alles wat afwijkt van normaal gedrag, wat het mogelijk maakt om geheel nieuwe soorten aanvallen te vangen die nog nooit eerder zijn gezien. Deze twee modi werken samen zonder dat ze apart opnieuw getraind hoeven te worden. Wanneer het systeem een stroom netwerkdata verwerkt, transformeert het ruwe informatie naar betekenisvolle beveiligingskenmerken, zoals hoe lang een verbinding duurt of of het verkeer van een webserver komt. Het voert deze informatie vervolgens gelijktijdig door beide modi. Als de eerste modus een specifieke aanval herkent, identificeert het deze bij naam. Als de tweede modus iets vreemds signaleert maar het niet kan benoemen, markeert het dit als een potentiële onbekende dreiging.

Om ervoor te zorgen dat het systeem betrouwbaar is, voegden de onderzoekers een laag van verklaarbaarheid toe. Veel geavanceerde computermodellen nemen beslissingen die mensen niet kunnen begrijpen, wat beveiligingsanalisten terughoudend maakt om ze te vertrouwd. Dit nieuwe framework gebruikt een techniek genaamd SHAP-analyse om elke beslissing terug te leiden naar de specifieke kenmerken die er de oorzaak aan waren. Bijvoorbeeld, als het systeem een verbinding als gevaarlijk markeert, kan het laten zien dat de beslissing werd gedreven door een specifiek patroon in de pakketgrootte of de duur van de flow, in plaats van door een willekeurige fout. De onderzoekers hebben hun systeem getest op een grote, real-world dataset van netwerkverkeer met diverse soorten aanvallen. Ze ontdekten dat het systeem een hoog niveau van nauwkeurigheid bereikte bij het identificeren van bekende aanvallen, met een prestatiescore van 0,8626 op een schaal waarbij hoger beter is. Belangrijker nog, het bleek in staat te zijn om onbekende dreigingen te detecteren. Bij tests tegen aanvallen die het nog nooit eerder had gezien, identificeerde het systeem deze correct in tot wel 90,17 procent van de gevallen voor bepaalde typen langzaam bewegende aanvallen, terwijl het valse alarmen tot een minimum beperkte.

De studie benadrukte ook het belang van de voorbereiding van de data. De onderzoekers kwamen tot de conclusie dat het simpelweg invoeren van ruwe data in een model niet voldoende was; ze moesten een hybride resamplingstrategie gebruiken om de aantallen in balans te brengen. Dit hield in dat ze de overweldigende hoeveelheid normale verkeersdata verminderden en de representatie van zeldzame aanvalstypen kunstmatig vergrootten, zodat het model hiervan kon leren. Ze pasten ook de gevoeligheidsdrempels van het systeem aan, waarbij ze de lat voor het detecteren van specifieke, moeilijk te vangen webaanvallen zoals cross-site scripting verlaagden. Deze aanpassing stelde het systeem in staat om meer van deze zeldzame dreigingen te vangen zonder te veel valse alarmen te genereren. De resultaten toonden aan dat het systeem deze zeldzame aanvallen kon detecteren met een succespercentage van 77,04 procent, een significante verbetering ten opzichte van eerdere methoden die ze vaak volledig misten.

In vergelijking met andere recente studies onderscheidde dit framework zich door zijn vermogen om zowel bekende als onbekende dreigingen aan te pakken zonder de zware computationele kosten van deep learning. Andere benaderingen hadden ofwel moeite met onbekende aanvallen, of vereisten zoveel rekenkracht dat ze moeilijk in real-time te gebruiken waren. Deze nieuwe methode biedt een gebalanceerde oplossing die zowel krachtig als praktisch is. De onderzoekers bevestigden dat de beslissingen van het systeem werden gedreven door beveiligingsrelevante kenmerken, zoals de duur van een verbinding of het aantal verzonden pakketten, in plaats van door verwarrende artefacten in de data. Dit betekent dat wanneer het systeem een melding geeft, beveiligingsteams erop kunnen vertrouwen dat dit gebaseerd is op werkelijke tekenen van een aanval. Door de kloof te overbruggen tussen theoretische modellen en de behoeften van de echte wereld, biedt dit werk een duidelijkere, betrouwbaardere manier om digitale netwerken te beschermen tegen zowel bekende als opkomende gevaren.