TOPIC: Deep Learning Approach for Network Intrusion Detection and Multi-Class Attack Classification Using UNSW-NB15 Dataset

Stel je voor dat je de beveiligingsbeambte bent van een enorm, bruisend vliegveld (het internet). Jouw taak is om iedereen op te sporen die probeert een wapen naar binnen te smokkelen, een koffer te stelen of paniek te veroorzaken (cyberaanvallen).

Lange tijd gebruikten beveiligingsbeambten een "Gezocht"-aanpak. Ze hadden een lijst met gezichten van bekende criminelen. Als iemand op de persoon op de poster leek, werd die staande gehouden. Dit is wat traditionele computerbeveiligingssystemen deden: ze zochten naar bekende "handtekeningen" van boeven. Maar net zoals criminelen van haar en kleding veranderen om niet gepakt te worden, veranderen hackers ook hun methoden. Het oude "Gezocht"-systeem kon de nieuwe, slimme vermommingen niet vangen.

Dit artikel gaat over het trainen van een nieuw soort beveiligingsbeambte met behulp van Deep Learning—eigenlijk een superintelligent computerbrein dat leert door naar miljoenen voorbeelden te kijken, in plaats van alleen maar een lijst met regels te lezen.

De Trainingsgrond: De UNSW-NB15 Dataset

Om deze computerbreinen te trainen, hadden de onderzoekers een enorme oefenplaats nodig. Ze gebruikten een dataset genaamd UNSW-NB15. Denk aan dit als een gigantische bibliotheek met 100GB aan "verkeerslogs" van een gesimuleerd vliegveld.

• De Goed Bloedigen: Normale reizigers die gewoon hun dagelijkig gang van zaken volgen.
• De Slechteriken: 9 verschillende soorten boeven, variërend van "Fuzzers" (mensen die willekeurige dingen proberen om de deur te breken) tot "Worms" (virussen die zich snel verspreiden).
• Het Probleem: In het echte leven zijn er veel meer goede reizigers dan slechte. In deze bibliotheek waren de "boevenboeken" erg schaars vergeleken met de "goede reizigersboeken". Als je de bibliotheek gewoon zo zou lezen, zou je brein lui worden en telkens "Goed Bloedig" gokken om een hoge score te halen, waardoor je de zeldzame boeven zou missen.

De Oplossing: SMOTE (De "Fotokopie"-truc)

Om het evenwicht te herstellen, gebruikten de onderzoekers een techniek genaamd SMOTE. Stel je voor dat je slechts 5 foto's hebt van een specifiek type dief, maar je hebt er 50 nodig om ze goed te bestuderen. In plaats van alleen maar diezelfde 5 foto's te fotokopiëren (wat saai is en niet helpt), creëert SMOTE nieuwe, neppe foto's door de kenmerken van de bestaande foto's te mengen. Het is alsoals het nemen van een foto van een dief met een rode hoed en een andere met een blauwe jas, en vervolgens een nieuwe foto te genereren van een dief met een paarse hoed. Dit geeft het computerbrein genoeg voorbeelden om te leren hoe deze zeldzame dieven eruitzien zonder te valsspelen.

De Drie Pretendenten

De onderzoekers bouwden drie verschillende soorten "computerbreinen" (Deep Learning-modellen) om te zien welk model de beste beveiligingsbeambte was. Ze testten ze allemaal op exact dezelfde data, met dezelfde trainingsregels, om een eerlijk gevecht te maken.

1. De ANN (Artificial Neural Network): De Generalist

   • Analogie: Denk aan dit als een zeer intelligente stagiair die naar het hele plaatje tegelijk kijkt. Zij zien de lengte, het gewicht en de bagage van de passagier in hun geheel en doen een gok.
   • Prestaties: Ze deden een redelijk werk en kregen ongeveer 91,6% van de dreigingen goed. Ze waren snel te trainen, maar misten sommige van de lastigere vermommingen.

2. De CNN (Convolutional Neural Network): De Patroonherkenner

   • Analogie: Deze bewaker is als een detective die kijkt naar specifieke patronen. In plaats van naar de hele persoon te kijken, zoomt deze in op kleine details—zoals het patroon op een schoen of de manier waarop een tas wordt vastgehouden. Ze zijn geweldig in het opsporen van lokale aanwijzingen.
   • Prestaties: Ze deden het beter en kregen ongeveer 94,6% goed. Ze waren goed in het herkennen van specifieke "handtekeningen" van aanvallen.

3. De RNN-LSTM (Recurrent Neural Network met Long Short-Term Memory): De Verhalenverteller

   • Analogie: Dit is de meest geavanceerde bewaker. Stel je een detective voor die niet alleen naar één enkele foto kijkt, maar het volledige verhaal van de reis van de passagier onthoudt. Ze onthouden wat er vijf minuten geleden gebeurde en hoe dat verbonden is met wat er nu gebeurt. Ze hebben een "geheugen" dat hen helpt complexe sequenties en relaties tussen verschillende aanwijzingen te begrijpen.
   • Prestaties: Dit was de winnaar. Ze behaalden 97,4% nauwkeurigheid. Ze waren het beste in het begrijpen van de complexe relaties tussen verschillende delen van het netwerkverkeer.

De Resultaten: Wie Won?

De onderzoekers organiseerden een race om te zien wie de boeven het meest correct kon identificeren.

• De Winnaar: De RNN-LSTM (De Verhalenverteller). Het ving de meeste boeven met de minste fouten. Het was zo goed dat het bijna perfect onderscheid kon maken tussen zeer vergelijkbare aanvallen.
• De Runner-up: De CNN (De Patroonherkenner). Dit was een sterke tweede plaats.
• De Derde Plaats: De ANN (De Generalist). Het was oké, maar niet zo scherp als de anderen.

De Haken en Ogen:
Er was een afweging. De RNN-LSTM was de beste in de baan, maar was ook de langzaamste om te trainen. Het duurde ongeveer 1.700 seconden (bijna 30 minuten) om te leren, terwijl de ANN slechts 220 seconden (ongeveer 3 minuten) nodig had.

• Analogie: De ANN is als een vlotte stagiair die snel leert maar meer fouten maakt. De RNN-LSTM is als een ervaren detective die een lange tijd nodig heeft om de dossiers te bestuderen, maar de mysteries met ongelofelijke nauwkeurigheid oplost.

De Conclusie

Het artikel concludeert dat als je de absoluut beste beveiligingsbeambte wilt voor een complex netwerk, de RNN-LSTM de weg is, zelfs als het langer duurt om te trainen. Het bewees dat het geven van een "geheugen" aan de computer om te begrijpen hoe verschillende stukjes data met elkaar verbonden zijn, de sleutel is tot het opsporen van moderne, sluwe cyberaanvallen.

Ze merkten ook op dat hoewel het systeem geweldig was, sommige specifieke soorten aanvallen (zoals "Man-in-the-Middle" of "DDoS") nog steeds een beetje lastig uit elkaar te houden waren, wat suggereert dat zelfs de slimste breinen nog een beetje ruimte hebben om te groeien.

Kortom: Door een slimme "fotokopie"-truc te gebruiken om de data in evenwicht te brengen en drie verschillende soorten computerbreinen tegen elkaar te laten strijden, ontdekten de onderzoekers dat degene met het "geheugen" (RNN-LSTM) momenteel de kampioen is in het opsporen van cyberindringers.