تحليل ترافيك شبكه براي شناسايي تهديدهاي سايبري بر پايه يادگيري عميق و انتخاب ويژگي

اصفهان : دانشگاه صنعتي اصفهان

مهندسي كامپيوتر

كارشناسي ارشد

گسترش سريع شبكه‌هاي كامپيوتري و پيچيدگي روزافزون تهديدات سايبري (نظير بدافزارهاي چندريختي و تهديدات پيشرفته‌ي پايدار)، كارايي سامانه‌هاي سنتي تشخيص نفوذِ مبتني بر امضا را به‌شدت كاهش داده است. از سوي ديگر، روش‌هاي مبتني بر ناهنجاري نيز با توليد نرخ بالاي مثبت كاذب (10 تا 30 درصد)، منجر به چالش‌هايي چون خستگي از هشدار براي تحليلگران مي‌شوند. علي‌رغم انجام پژوهش‌هاي گسترده در زمينه معماري‌هاي تركيبي يادگيري عميق براي تشخيص نفوذ، خلأ پژوهشي قابل‌توجهي در مقايسه نظام‌مند روش‌هاي كاهش بعد احساس مي‌شود؛ به‌طوري‌كه تاكنون مطالعه‌اي به مقايسه دقيق انتخاب ويژگي مبتني بر بهره اطلاعاتي (IG) و تحليل مؤلفه‌هاي اصلي (PCA) در شرايط كاملاً كنترل‌شده براي چارچوب CNN-LSTM نپرداخته است. در اين پايان‌نامه، يك چارچوب هوشمند تشخيص تهديدات سايبري مبتني بر معماري تركيبي CNN-LSTM پيشنهاد شده و بر روي مجموعه‌داده معيار CIC-IDS2017 (شامل بيش از 8/2ميليون ركورد جريان شبكه) مورد ارزيابي قرار گرفته است. اين چارچوب از يك روند پيش‌پردازش شش‌مرحله‌اي و بدون نشت داده بهره مي‌برد كه شامل تكنيك‌هايي نظير نرمال‌سازي و متوازن‌سازي كلاس‌ها با استفاده از الگوريتم SMOTE (اعمال‌شده صرفاً روي داده‌هاي آموزش) است. به منظور ارزيابي، سه پيكربندي مختلف شامل: تمامي 78 ويژگي، 20 ويژگي برتر مبتني بر IG و 20 مؤلفه حاصل از PCA، روي معماري يكسان CNN-LSTM آموزش داده شده و با يكديگر مقايسه شدند. نتايج نشان داد كه مدل مبتني بر 20 ويژگي IG، بر روي مجموعه داده‌هاي آزمون مستقل، به دقت 64/98٪، معيار F1 برابر با 33/89٪، نرخ مثبت كاذب 08/4٪ و مقدار AUC-ROC معادل 9997/0دست يافته است. با اين حال، مقايسه‌هاي صورت گرفته مشخص كرد كه هر سه پيكربندي عملكردي تقريباً مشابه دارند و فرضيه برتري محسوس IG بر PCA تأييد نشد؛ بلكه تفاوت‌هاي جزئيِ مشاهده‌شده در معيار F1، عمدتاً ناشي از خطاي طبقه‌بندي در كلاس‌هاي نادر مانند Infiltration بوده است. افزون بر اين، ارزيابي مدل مبنا مبتني بر XGBoost نشان داد كه اين مدل با ثبت معيار F1 برابر با 36/98٪، عملكردي هم‌سطح و حتي بهتر از مدل يادگيري عميق دارد. تحليل عملكرد مدل در كلاس‌هاي مختلف، يك سلسله‌مراتب سه‌سطحي از دشواريِ تشخيص را نمايان ساخت؛ به‌گونه‌اي كه شناسايي حملات حجمي تقريباً به حداكثر دقت ممكن رسيد، اما تشخيص حملات نادر همچنان چالشي اساسي در تحليل ترافيك شبكه به شمار مي‌رود. در نهايت، تحليل اثر حذف مؤلفه‌ها ثابت كرد كه تكنيك SMOTE حياتي‌ترين عامل در عملكرد مدل است؛ به‌طوري‌كه حذف آن موجب افت 16 واحدي در معيار F1 مي‌شود، درحالي‌كه حذف لايه‌هاي CNN و LSTM تأثير به‌مراتب كمتري (به‌ترتيب 1/5و 0/3 واحد افت) در پي داشت.

237811

هوش مصنوعي و رباتيك

مهندسي برق و كامپيوتر

دانشگاه صنعتي اصفهان