Hybrid CNN-LSTM for Cyberattack Classification in Sudanese E-Government SDN

In de moderne wereld verplaatsen overheden hun activiteiten steeds vaker naar het internet, waarbij ze digitale portalen creëren waar burgers toegang kunnen krijgen tot diensten, belastingen kunnen betalen en gegevens kunnen opvragen zonder een fysiek kantoor te bezoeken. Deze verschuiving, bekend als e-government, leunt zwaar op complexe computernetwerken om deze diensten te verbinden met de mensen die ze nodig hebben. Om deze netwerken sneller en gemakkelijker beheersbaar te maken, stappen velen over op een nieuwe architectuur genaamd software-defined networking. Deze aanpak scheidt het brein van het netwerk, dat beslissingen neemt over waar data naartoe gaat, van de spier, die de data daadwerkelijk verplaatst. Hoewel dit het systeem flexibeler maakt, creëert het ook een nieuw soort kwetsbaarheid: als een aanvaller het centrale brein kan misleiden, kan hij het hele systeem verstoren. Bovendien worden deze digitale platforms, naarmate ze groeien, doelwitten van geavanceerde cyberaanvallen die proberen gegevens te stelen of diensten plat te leggen. Traditionele beveiligingssystemen, die vertrouwen op het zoeken naar bekende slechte patronen zoals een bibliothecaris die een lijst met verboden boeken controleert, hebben vaak moeite om nieuwe, evoluerende trucs of de enorme hoeveelheid versleutelde verkeer te vangen. Dit laat een kritieke kloof achter in de bescherming van de gevoelige informatie van miljoenen burgers.

Om dit probleem aan te pakken, hebben onderzoekers in Soedan een nieuw, intelligent systeem ontwikkeld dat ontworpen is om deze cyberaanvallen te detecteren voordat ze schade aanrichten. Het team, onder leiding van Rania ElshiekhHamid van de Sudan University of Science and Technology, besefte dat het specifieke digitale landschap van het land een aangepaste oplossing vereiste. Ze wisten dat standaard beveiligingsinstrumenten niet voldoende waren om de unieke mix van webverkeer en netwerkstromen te verwerken die in de Soedanese overheidsportalen wordt gevonden. In plaats van te vertrouwen op oude methoden, bouwden ze een hybride deep learning-model. Dit systeem combineert twee krachtige soorten kunstmatige intelligentie: één die uitblinkt in het herkennen van patronen in ruwe data, zoals een camera die vormen herkent, en een andere die bekwaam is in het begrijpen van sequenties en timing, zoals een lezer die het verloop van een verhaal volgt. Door deze twee benaderingen te combineren, kan het systeem zowel naar de onmiddellijke inhoud van een datapakket kijken als naar de geschiedenis van hoe die data arriveerde, waardoor het met hoge precisie onderscheid kan maken tussen een legitiem burgerverzoek en een kwaadaardige aanval.

De grootste hindernis waarmee de onderzoekers werden geconfronteerd, was een gebrek aan real-world data. Vanwege strikte privacywetgeving en zorgen over de nationale veiligheid konden ze niet simpelweg echte logs van de servers van de overheid gebruiken om hun systeem te trainen. Om dit op te lossen, creëerden ze een aangepaste dataset die de echte omgeving nabootste zonder enige privéinformatie prijs te geven. Ze combineerden drie verschillende bronnen van informatie om deze trainingsgrond te bouwen. Ten eerste gebruikten ze wereldwijde benchmarks die voorbeelden bevatten van veelvoorkomende netwerkaanvallen, zoals denial-of-service-pogingen die een systeem overspoelen met verkeer. Ten tweede namen ze datasets op die specifiek zijn ontworpen om webgebaseerde aanvallen te tonen, zoals pogingen om schadelijke code in een website te injecteren. Ten slotte, om de simulatie echt lokaal te maken, gebruikten ze een computerprogramma om kunstmatig verkeer te genereren dat zich exact gedroeg als het netwerk van de Soedanese overheid, inclusief de specifieke vertragingen en routeringspatronen die in hun infrastructuur worden gevonden. Deze synthetische data stelden hen in staat hun model te trainen op een realistische representatie van de bedreigingen waar Soedan voor staat, wat ervoor zorgt dat het systeem zal werken bij implementatie.

Zodra het model getraind was, zetten de onderzoekers het op de proef om te zien hoe goed het aanvallen kan identificeren vergeleken met oudere methoden. Ze vergeleken hun nieuwe hybride systeem met verschillende gevestigde technieken, waaronder traditionele machine learning-tools die vertrouwen op menselijke experts om te definiëren hoe een aanval eruitziet, en andere standalone kunstmatige intelligentie-modellen. De resultaten waren duidelijk. Het nieuwe hybride model bereikte een algehele nauwkeurigheid van 97,8 procent, wat betekent dat het de aard van het verkeer in bijna elk geval correct identificeerde. Belangrijker nog, het hield het percentage valse alarmen extreem laag, waarbij minder dan 1,5 procent van de legitieme verzoeken als gevaarlijk werd gemarkeerd. In de context van overheidsdiensten is een vals alarm een ernstig probleem, omdat het een burger kan blokkeren bij het toegang krijgen tot de eigen gegevens of het betalen van een rekening. Door dit aantal zo laag te houden, zorgt het systeem ervoor dat diensten beschikbaar blijven voor het publiek terwijl het nog steeds de kwaadwillenden vangt.

De studie keek ook naar hoe snel het systeem deze beslissingen kan nemen. In een netwerk dat duizenden verzoeken per seconde afhandelt, kan een beveiligingssysteem niet traag zijn, anders wordt het een bottleneck die alles vertraagt. De onderzoekers ontdekten dat hun model een enkel stuk data kan analyseren en een voorspelling kan doen in slechts 18,6 milliseconden. Deze snelheid is snel genoeg om te passen binnen de realtime-eisen van de netwerkcontroller, wat betekent dat het een aanval kan stoppen op het moment dat deze plaatsvindt, zonder de informatiestroom te vertragen. Het systeem bleek bijzonder effectief tegen specifieke soorten dreigingen, waarbij het SQL-injectiepogingen, die proberen databases te manipuleren, en distributed denial-of-service-aanvallen, die proberen een server te overbelasten, correct identificeerde met succespercentages van meer dan 98 procent. Deze bevindingen suggereren dat de hybride aanpak niet alleen theoretisch solide is, maar ook praktisch levensvatbaar voor de bescherming van kritieke nationale infrastructuur.

Hoewel de resultaten veelbelovend zijn, merken de onderzoekers voorzichtig op dat dit een stap voorwaarts is, en geen definitieve oplossing. Het model werd getest op een dataset die, hoewel zeer realistisch, werd gegenereerd om de omgeving te simuleren in plaats van te worden gehaald uit live, lopend overheidsverkeer. Het team erkent dat naarmate cyberaanvallen blijven evolueren, het systeem moet kunnen aanpassen. In hun toekomstige werk willen ze een methode verkennen die federated learning wordt genoemd. Deze aanpak zou verschillende overheidsinstanties in staat stellen om het beveiligingsmodel samen te trainen met behulp van hun eigen lokale data, zonder dat ze de ruwe, gevoelige informatie ooit met een centrale server hoeven te delen. Dit zou het vermogen van het systeem om nieuwe dreigingen te detecteren verder versterken, terwijl de strikte privacy- en veiligheidsbeperkingen die het beheer van burgergegevens reguleren, worden gerespecteerd. Voor nu biedt de studie echter een sterk fundament voor een veiligere digitale toekomst, en biedt het een schaalbare, intelligente basis die kan helpen de integriteit en het vertrouwen in de e-government diensten van Soedan te beschermen.