Hybrid LSTM–LightGBM Model for Multiclass DDoS Attack Detection in 5G and IoT Networks

Het internet is gegroeid van een netwerk van computers tot een uitgestrekt, onzichtbaar web dat miljarden alledaagse objecten verbindt, van slimme thermostaten tot industriële sensoren. Deze expansie, bekend als het Internet of Things, is afhankelijk van snelle communicatiesystemen om alles soepel te laten verlopen. Deze connectiviteit creëert echter een nieuw soort kwetsbaarheid. Kwaadwillenden kunnen gecoördineerde digitale aanvallen lanceren, waarbij ze deze netwerken overspoelen met zoveel verkeer dat legitieme diensten stoppen met werken. Deze aanvallen, Distributed Denial-of-Service genoemd, worden sneller en complexer, en evolueren op manieren die het moeilijk maken om ze met traditionele beveiligingsinstrumenten te detecteren. Jarenlang vertrouwden beveiligingssystemen op statische regels of eenvoudige statistische controles om problemen te identificeren, maar deze methoden hebben vaak moeite om het tempo bij te houden van de snelle, verschuivende patronen van moderne cyberdreigingen.

Om dit probleem aan te pakken, hebben onderzoekers Asma Djama, Mohamed Maazouz, Hamza Kheddar en Muhammet Ali Akcayol een nieuwe aanpak ontwikkeld die twee verschillende soorten kunstmatige intelligentie combineert. Hun werk richt zich op het creëren van een systeem dat niet alleen deze aanvallen kan detecteren, maar ook de timing en de volgorde van de data die door een netwerk stroomt, kan begrijpen. De onderzoekers bouwden een hybride model dat eerst een type neuraal netwerk gebruikt dat ontworpen is om sequenties te onthouden, vergelijkbaar met hoe een mens de volgorde van gebeurtenissen in een verhaal kan herinneren. Dit deel van het systeem, genaamd Long Short-Term Memory, of LSTM, observeert de stroom van netwerkverkeer in de loop van de tijd om subtiele patronen te ontdekken die erop wijzen dat er een aanval broeit. Zodra dit systeem deze temporele patronen heeft geïdentificeerd, geeft het de informatie door aan een tweede, zeer efficiënte classifier die bekend staat als LightGBM. Deze tweede component fungeert als een snelle beslisser die het verkeer in specifieke categorieën sorteert om precies te bepalen wat voor soort aanval er plaatsvindt, indien nodig.

Het team testte dit gecombineerde systeem met behulp van drie grote, realistische collecties netwerkdata die zowel normaal verkeer als diverse soorten kwaadaardige aanvallen bevatten. Deze datasets vertegenwoordigden verschillende omgevingen, variërend van standaard computernetwerken tot complexe opstellingen met duizenden diverse IoT-apparaten. De resultaten toonden aan dat door het systeem te leren kijken naar de sequentie van gebeurtenissen in plaats van alleen naar geïsoleerde momentopnames van data, het model aanzienlijk beter werd in het onderscheiden van verschillende soorten aanvallen. In tests met een dataset van meer dan 450.000 monsters die diverse soorten flood-aanvallen vertegenwoordigden, identificeerde het hybride model de aard van het verkeer correct in 97,80% van de gevallen. Bij tests op een andere dataset met bijna 400.000 monsters behaalde het een nauwkeurigheid van 96,80%. Misschien wel het meest indrukwekkend: op een breed gebruikte benchmark-dataset met meer dan 390.000 monsters bereikte het systeem een nauwkeurigheid van 99,89%.

Een belangrijke bevinding van het onderzoek is dat de combinatie van deze twee methoden beter presteert dan het gebruik van één van beide alleen. Wanneer de onderzoekers de beslissingscomponent testten zonder het sequentie-lerende deel, nam het vermogen van het systeem om vergelijkbare aanvallen van elkaar te onderscheiden merkbaar af. Bijvoorbeeld, het systeem had moeite om twee specifieke soorten flood-aanvallen te onderscheiden die in hun basisstatistieken erg op elkaar lijken, maar zich in de loop van de tijd anders gedragen. Door het sequentie-lerende laag toe te voegen, kon het model het verschil zien in hoe de datapakketten arriveerden, wat leidde tot een veel duidelijker beeld van de dreiging. De onderzoekers gebruikten ook een techniek genaamd SHAP om in het besluitvormingsproces van het model te kijken, om te garanderen dat het systeem niet simpelweg gokte, maar daadwerkelijk vertrouwde op betekenisvolle kenmerken om zijn keuzes te maken. Deze transparantie is cruciaal voor beveiligingsteams die de meldingen die zij ontvangen moeten kunnen vertrouwen.

Naast nauwkeurigheid benadrukte de studie dat het systeem snel genoeg is voor echt gebruik. In een wereld waarin aanvallen in milliseconden plaatsvinden, moet een beveiligingsinstrument direct reageren. De onderzoekers vonden dat hun model een voorspelling kon doen in minder dan een honderdste van een milliseconde op de grootste datasets, een snelheid die ervoor zorgt dat het kan worden ingezet in live-netwerken zonder deze te vertragen. Deze efficiëntie maakt de aanpak geschikt voor apparaten met beperkte middelen, zoals de sensoren in slimme huizen of industriële omgevingen, die geen zware computationele belastingen kunnen verwerken. Het werk suggereert dat door machines te leren het ritme van netwerkverkeer te begrijpen, beveiligingssystemen veel veerkrachtiger kunnen worden tegen de evoluerende tactieken van cyberaanvallers, wat een robuust schild biedt voor de verbonden toekomst.