From Packets to Tokens: A Transformer Framework for Real-Time Network Traffic Classification

Het internet is een enorme, onzichtbare rivier van informatie die alles vervoert, van een kort tekstbericht tot een massaal videobestand. Decennialang hebben de bewakers van deze digitale stroom — netwerkbeheerders en beveiligingsexperts — geprobeerd te begrijpen wat er door hun systemen beweegt. Ze moesten weten of een datastroom een onschuldige videogesprek was, een kritieke zakelijke e-mail, of een teken van een cyberaanval. Traditioneel deden ze dit door naar de "adreslabels" op de datapakketjes te kijken, zoals poortnummers of de specifieke softwarehandtekeningen die worden gebruikt. Echter, naarmate het internet complexer en beveiligder is geworden, is het grootste deel van dit verkeer nu versleuteld. De labels zijn verborgen en de inhoud is vergrendeld op een manier die oude inspectiemethoden nutteloos maakt. Dit heeft gezorgd voor een dringende behoefte aan een nieuw soort intelligentie, een die de vorm en het ritme van het verkeer zelf kan begrijpen zonder de geheime berichten binnenin te hoeven lezen.

Om dit op te lossen, zijn onderzoekers ideeën gaan lenen uit de manier waarop computers menselijke taal begrijpen. Net zoals een zin bestaat uit woorden die betekenis krijgen door de woorden eromheen, bestaat een netwerkverbinding uit datapakketjes die een verhaal vertellen op basis van de volgorde waarin ze aankomen. Een nieuwe studie door een team van de Universidad Francisco de Vitoria en andere instellingen stelt een manier voor om deze digitale pakketjes te behandelen als woorden in een boek. Ze ontwikkelden een systeem dat ruwe, versleutelde data neemt, deze afbreekt in kleine, beheersbare stukjes, en deze stukjes vertaalt naar een numerieke taal die een computer kan lezen. Deze aanpak stelt het systeem in staat om de unieke "grammatica" van verschillende soorten internetverkeer te leren, waardoor het onderscheid kan maken tussen een videostroom, een bestandsoverdracht of een spraakoproep, zelfs wanneer de inhoud verborgen is.

De onderzoekers richtten zich op een specifieke uitdaging: het classificeren van vijf veelvoorkomende soorten internetactiviteit — chat, e-mail, bestandsoverdracht, streaming en spraakoproepen — met behulp van een krachtig type kunstmatige intelligentie genaamd een Transformer. Deze technologie, oorspronkelijk beroemd vanwege haar vermogen om talen te vertalen en teksten te schrijven, is ontworpen om context en relaties binnen een sequentie te begrijpen. Het team bouwde een volledige pijplijn die begint met het vastleggen van live netwerkverkeer, vergelijkbaar met het opnemen van een gesprek. Vervolgens hebben ze deze data schoongemaakt door onnodige delen te verwijderen en de resterende pakketjes te groeperen in kleine, vaste grootte chunks genaamd semi-flows. Deze chunks werden vervolgens omgezet in een reeks getallen, of tokens, die de ruwe data van het bericht vertegenwoordigen. Deze transformatie is cruciaal omdat het de chaotische, versleutelde stroom van het internet verandert in een gestructureerde sequentie die de AI kan analyseren.

Zodra de data was voorbereid, voedde het team de gegevens in hun Transformer-model. In tegen tegenstelling tot oudere systemen die misschien naar één pakketje tegelijk kijken, bekijkt dit model de gehele sequentie in één keer, waarbij het begrijpt hoe het eerste pakketje zich verhoudt tot het laatste. De resultaten waren opmerkelijk. Wanneer het werd getest op een grote, standaard dataset van netwerkverkeer, identificeerde het systeem het type activiteit in 93,11% van de gevallen. Dit niveau van nauwkeurigheid is significant omdat de dataset zwaar scheefgetrokken was; sommige soorten verkeer, zoals bestandsoverdrachten, waren vele malen gebruikelijker dan andere, zoals e-mail. Ondanks deze onbalans presteerde het model goed over de hele linie, wat aantoont dat het de werkelijke kenmerken van elk type verkeer heeft geleerd in plaats van simpelweg te gokken op basis van wat het meest frequent voorkomt. Het systeem bleek bijzonder goed in het identificeren van spraakoproepen en bestandsoverdrachten, waarbij het ze bijna elke keer goed had, terwijl het meer moeite had met e-mail, waarschijnlijk omdat er te weinig voorbeelden van waren in de trainingsdata om van te leren.

De echte test was echter of dit systeem in de echte wereld zou kunnen werken, in realtime. De onderzoekers zetten een live experiment op waarbij ze daadwerkelijk internetverkeer van een Wi-Fi-netwerk vastlegden en dit door hun systeem verwerkten terwijl het gebeurde. Ze ontdekten dat het systeem snel genoeg was om de stroom van data bij te houden. Voor de meeste soorten verkeer was de tijd die nodig was om de data te verwerken een fractie van de tijd die nodig was om de data te vangen. In feite kon het systeem een volledig venster van acht seconden aan netwerkactiviteit verwerken in minder dan een tiende van een seconde, waardoor er voldoende tijd overbleef voor het systeem om te reageren of een beheerder te waarschuwen. Deze snelheid suggereert dat een dergelijk hulpmiddel op live netwerken kan worden ingezet om het verkeer direct te monitoren, in plaats van alleen oude opnames achteraf te analyseren.

Toch onthulde de studie ook de grenzen van deze intelligentie. Wanneer de onderzoekers het systeem testten op applicaties die het nog nooit eerder had gezien, waren de resultaten gemengd. Het model werkte goed wanneer het verkeer afkomstig was van dezelfde soorten programma's die het had geleerd, maar het worstelde wanneer het werd geconfronteerd met nieuwe, moderne applicaties. Zo identificeerde het model bijvoorbeeld perfect een specifiek type spraakoproep dat in de trainingsdata zat, maar faalde het volledig toen het gevraagd werd om een videocall te herkennen die via een populaire moderne conferentietool werd gemaakt. Het verwarde de videocall met een videostroom, wat erop wijst dat het systeem de specifieke patronen van de oude data had geleerd in plaats van het algemene concept van een spraakoproep. Dit suggereert dat hoewel de technologie krachtig is, deze constant opnieuw getraind moet worden met verse data om mee te kunnen gaan met het voortdurend veranderende landschap van het internet.

Uiteindelijk laat dit werk zien dat het behandelen van netwerkverkeer als een sequentie van tokens, vergelijkbaar met woorden in een zin, een levensvatbare en krachtige manier is om internetactiviteit te classificeren. De onderzoekers hebben aangetoond dat een Transformer-gebaseerd framework een hoge nauwkeurigheid kan bereiken en in realtime kan opereren, wat een veelbelovend pad biedt voor netwerkbeveiliging en -beheer. De studie dient echter ook als een herinnering dat kunstmatige intelligentie slechts zo goed is als de data waarvan zij leert. Naarman nieuwe applicaties verschijnen en versleuteling evolueert, moeten deze systemen met hen mee evolueren. De toekomst van netwerkmonitoring ligt wellicht in het combineren van deze realtime classificatie met andere methoden, waarbij het systeem bijvoorbeeld eerst het type verkeer identificeert en vervolgens geavanceerdere tools gebruikt om te detecteren of dat verkeer kwaadaardig gedrag vertoont. Voor nu vertegenwoordigt het vermogen om de stroom van het internet direct te begrijpen, zelfs wanneer de inhoud ervan op slot zit, een belangrijke stap richting een veiligere en beter beheersbare digitale wereld.