Einsatz adaptiver Machine-Learning-Algorithmen zur Informationsrisikowarnung und zur Bewusstsein von Netzwerksicherheitsszenarien in Cloud-Computing-Umgebungen

Summary

Das Papier schlägt eine neuartige, maschinelle Lernmethode (ML)-basierte Lösung adaptiver Netzwerksicherheit in einem cloudbasierten System vor, die hierarchische Multi-Label-Klassifikation und ein dynamisches Vertrauensbewertungssystem integriert, um die Genauigkeit der Bedrohungserkennung zu erhöhen und die Anzahl der Fehlalarme zu verringern.

Abstract

Diese Studie schlägt einen neuartigen Rahmen für das Situationsbewusstsein und die Risikowarnung in Cloud-Computing-Umgebungen in Netzwerksicherheit vor, der adaptives maschinelles Lernen (ML), die hierarchische Multi-Label-Klassifikation (HMC) und einen dynamischen Vertrauensbewertungsmechanismus auf Basis des Cloud-Modells integriert. Die Komplexität, Vielfalt und Echtzeit-Natur aufkommender Cyberangriffe – wie Zero-Day-Exploits, Distributed Denial-of-Service (DDoS) und Botnets – stellen traditionelle regelbasierte und statische Erkennungsmethoden erhebliche Herausforderungen dar. Um diese Herausforderungen zu bewältigen, entwickelten wir eine effektive SDN-basierte Cloud-Architektur mit dem Ryu OpenFlow Controller und OpenFlow-Switches. Diese Architektur ermöglicht die Echtzeiterfassung von Link-Informationen, dynamische Planung und skalierbare, zuverlässige Datenübertragung. Das vorgeschlagene hierarchische Klassifikationsrahmen kann Multiklassenprobleme in binäre Aufgaben unterteilen, wodurch die Wirkung von Stichprobenungleichgewichten abmildert und die Erkennung von Niederfrequenzangriffen, einschließlich User to Root (U2R), verbessert wird. Ensemble-Lerntechniken, einschließlich AdaBoost und Bagging, verbessern die Erkennungsgenauigkeit für feinkörnige Angriffstypen zusätzlich. Experimente mit DDoS-Datensätzen, Cloud-Datenverkehrsdaten und Simulationen in Mininet und EstiNet zeigen, dass der kombinierte ML-HMC-Trust-Ansatz die Erkennungsgenauigkeit deutlich verbessert, Fehlalarme reduziert und Echtzeitreaktionen ermöglicht. Diese Ergebnisse bestätigen, dass die Integration von adaptivem Lernen, hierarchischer Klassifikation und dynamischer Vertrauensbewertung eine robuste und skalierbare Lösung zur Sicherung groß angelegter Cloud-Plattformen bietet.

Introduction

Mit der weitverbreiteten Anwendung von Cloud-Computing-Technologie in verschiedenen Branchen nehmen die Größe und Menge der Daten in Informationssystemen rapide zu, und Netzwerkbedrohungen werden komplexer, verborgener^{und dynamischer}. Traditionelle Sicherheitsverteidigungsmechanismen, die auf Regeln und statischen Modellen basieren, können die Anforderungen der Echtzeiterkennung mit präziser Frühwarnung nicht mehr erfüllen, wenn sie sich ändernden Angriffsstrategien, Zero-Day-Schwachstellen und groß angelegten verteilten Angriffen gegenüberstehen. Daher stellt der Einsatz adaptiver ML-Algorithmen zur vollständigen Integration verteilter Datenverarbeitung und intelligenter Analysefähigkeiten in Cloud-Computing-Plattformen eine zentrale Wahrnehmung der Netzwerksicherheitssituation und eine effektive Frühwarnung von Informationsrisiken dar, eine kritische Herausforderung in der aktuellen Informationssicherheitslandschaft⁴. Diese Forschung hat nicht nur eine wichtige theoretische Bedeutung für die Verbesserung des bestehenden Sicherheitsschutzsystems, sondern bietet auch eine starke Unterstützung für die Sicherheit der nationalen Schlüsselinformationsinfrastruktur und der Unternehmenskerndaten⁵.

Es gibt mehrere Herausforderungen bei der Verwirklichung von Netzwerksicherheitssituationsbewusstsein und Informationsrisikowarnung in einer Cloud-Computing-Umgebung: Datentypen, die in der Cloud-Plattform aggregiert werden, sind zahlreich und die Quellen komplex, was die Datenvorverarbeitung, Feature-Extraktion und Fusionsaufgaben zunehmend erschwert; Angesichts des zunehmenden Netzwerkverkehrs und rasch wechselnder Angriffsszenarien ist das System verpflichtet, in sehr kurzer Zeit zu reagieren, und Echtzeit-Erkennung und -warnung sind zu technischen Engpässen geworden; die Menge des normalen Datenverkehrs unterscheidet sich stark von der des Angriffsverkehrs, und traditionelle Algorithmen weisen eine geringe Genauigkeit bei der Verarbeitung kleiner Stichprobenkategorien auf (wie U2R, Netzwerkangriffe usw.), und es besteht ein großes Risiko von Fehlurteilungen; In einer komplexen Netzwerkumgebung werden Vertrauensverhältnisse von mehreren Faktoren beeinflusst und sind zufällig und unsicher ^6,7. Traditionelle Vertrauensbewertungsmethoden, die auf festen Schwellenwerten basieren, spiegeln den realen Zustand nur schwer wider und werden leicht durch abnormale Daten beeinflusst. Um diese multidimensionalen Einschränkungen zu adressieren, präsentiert diese Forschung einen integrierten Rahmen, der adaptives maschinelles Lernen, hierarchische Multi-Label-Klassifikation und einen dynamischen, cloud-basierten Vertrauensbewertungsmechanismus synergiert. Diese Verschmelzung von Techniken, die in einer SDN-gesteuerten Cloud-Umgebung angewendet werden, geht über inkrementelle Verfeinerungen hinaus, indem sie eine feine Erkennung von Niederfrequenzangriffen, Echtzeit-Vertrauensadaption und skalierbares Lagebewusstsein ermöglicht, was bestehende Methoden gleichzeitig nicht erreicht haben.

Cloud-Computing-Umgebungen erzeugen massiven, hochdynamischen und heterogenen Netzwerkverkehr, sodass herkömmliche Intrusion Detection Systems (IDS) nicht in der Lage sind, anspruchsvolle und Minderheitenangriffstypen wie U2R und R2L genau zu identifizieren. Bestehende IDS-Lösungen auf Basis von Deep Learning (DL) verbessern die Erkennungsgenauigkeit, leiden aber weiterhin unter hohem Rechenaufwand, langsamer Echtzeitantwort und schlechtem Umgang mit unsicheren oder sich entwickelnden Vertrauensverhältnissen zwischen Netzwerkentitäten. Zudem funktionieren die meisten aktuellen Modelle als flache Klassifikatoren und fehlen Mechanismen für feinkörnige, hierarchische Entscheidungsfindung oder dynamische Vertrauensbewertung. Diese Einschränkungen schaffen eine kritische Lücke bei der Entwicklung eines IDS, das gleichzeitig Echtzeiterkennung, genaue Erkennung von Minderheitenklassen und eine zuverlässige, vertrauensbewusste Risikobewertung in groß angelegten Cloud-Umgebungen liefern kann.

In der bestehenden Forschung zur Situationsbewusstheit für Netzwerksicherheit und Informationsrisikowarnung verwenden viele Studien Methoden wie K-nearest neighbor (KNN) und Support Vector Machine (SVM), um Netzwerkverkehr zu klassifizieren und zu erkennen. Diese Algorithmen haben den Vorteil einer hohen Recheneffizienz und einer einfachen Implementierung, insbesondere bei der vorläufigen Überprüfung großer Datenmengen ^8,9. Ihre Hauptmängel spiegeln sich jedoch in mehreren Aspekten wider: Wenn sie mit dem meisten normalen Datenverkehr und einer kleinen Anzahl von Angriffsproben in einer Cloud-Umgebung konfrontiert sind, ignorieren diese traditionellen ML-Methoden oft Informationen aus wenigen Kategorien, was zu niedrigen Erkennungsraten für feinkornige Angriffe (wie U2R, Netzwerkschwachstellen usw.) führt; Einzelmodelle sind in der Regel empfindlich gegenüber Rauschen und Datenausreißern, fehlen der Fähigkeit, sich dynamisch ändernden Angriffsszenarien anzupassen, und neigen zu Überanpassungen oder unzureichender Verallgemeinerungen^10,11.

In den letzten Jahren wurden DL-Methoden wie Multi-Layer Perceptron (MLP), CNN, Recurrent Neural Network (RNN), Long Short-Term Memory Network (LSTM) und Gated Recurrent Unit (GRU) zunehmend im Bereich der Netzwerksicherheit eingesetzt. Mit den leistungsstarken Feature-Learning- und nichtlinearen Mapping-Fähigkeiten tiefer neuronaler Netzwerke haben diese Methoden die Erkennungsgenauigkeit deutlich verbessert und die Fähigkeit verbessert, komplexe Angriffsverhalten im Vergleich zu traditionellem ML¹² zu erfassen. Allerdings haben sie hohe Anforderungen an Rechenressourcen und Trainingsdaten. Gerade im Kontext des Big-Data-Verkehrs in Cloud-Computing-Umgebungen gibt es noch Verbesserungsmöglichkeiten bei Trainingsaufwand und Echtzeit-Inferenzgeschwindigkeit. Bei der Identifizierung von Klassen mit wenigen Stichproben haben DL-Modelle aufgrund von Datenungleichgewichten niedrige Erkennungsraten für einige fein-granulare Angriffe (wie U2R, Botnets) aufgrund von Klassenbias¹³. Um die Einschränkungen eines einzigen Modells bei der Behandlung von Datenungleichgewichten und Multiclass-Angriffsidentifikation auszugleichen, haben einige Studien Ensemble-Learning-basierte Lösungen vorgeschlagen, wie Bagging and Boosting, die die Gesamtgenauigkeit der Vorhersage durch die Kombination mehrerer Klassifikatoren^erweitern. Gleichzeitig zerlegt die Hierarchical Multiclass Classification (HMC)-Architektur das Multiclass-Klassifikationsproblem in mehrere binäre Klassifikationsteilprobleme, wodurch eine verfeinerte Erkennung für Klassen mit weniger Stichproben erreicht wird. Integrierte Modelle stehen jedoch häufig vor Problemen wie hohem Rechenressourcenverbrauch und erhöhter Reaktionszeit während der Bereitstellung, insbesondere in Cloud-Computing-Echtzeitüberwachungssystemen, wo Echtzeitanforderungen den Druck auf Systemressourcen^erhöhen.

Als Antwort auf das Problem der dynamischen Vertrauensbeziehungsbewertung im Netzwerk haben einige Studien die Cloud-Modelltheorie eingeführt, die eine Vertrauenszugehörigkeitswolke konstruiert, indem sie die Unschärfe und Zufälligkeit der Vertrauensattribute jeder Entität beschreibt und dann Wolkentropfen, Entropie, Superentropie und andere Indikatoren für die quantitative Bewertung verwendet¹⁶. Bei Echtzeit-aktualisierten Netzwerkvertrauensdaten kann es für die Aktualisierungsrate und die Recheneffizienz bestehender Cloud-Modellmethoden schwierig sein, die Anforderungen der dynamischen Hochfrequenzwarnung zu erfüllen; Das Modell ist hochsensibel gegenüber Bewertungsdaten, und abnormale Daten oder Rauschinformationen können die Gesamtbewertung des Vertrauens erheblich beeinträchtigen, was nachfolgende Risikowarnungen beeinflusst.

Angesichts der vielen Mängel der aktuellen Forschung in den Bereichen Erkennungsgenauigkeit, Echtzeitleistung, Datenbilanzverarbeitung und Vertrauensbewertung schlägt dieses Papier ein neues Verteidigungssystem vor, das adaptive ML-Algorithmen, hierarchische Multiklassenklassifikationsstrategien und Cloud-Modell-Vertrauensbewertung umfassend nutzt, um Netzwerksicherheitssituation und Informationsrisikowarnung in Cloud-Computing-Umgebungen^{zu gewährleisten 17}.

Die Forschung beschäftigt sich mit der Echtzeit-Cybersicherheit für intelligente Schiffsnetzwerke durch den Einsatz von Cloud-Computing-Technologie¹⁸. Es schlägt ein Multi-Sensor-Node-Framework vor, um Daten auf bösartige Angriffe zu untersuchen, und verwendet selbstausführende Schutzstrategie-Knoten, um Bedrohungen abzufangen. Die Ergebnisse zeigen eine Virus-Eindringlingserkennungs- und Verteidigungsrate von 85–95 % sowie eine Falsch-Positiv-Rate von 2,56 %, was andere Algorithmen deutlich übertrifft. Der Ansatz erfordert jedoch hohe Rechenressourcen und Cloud-Infrastrukturbeschränkungen bei der praktischen Implementierung. Aslan et ^al.19 bieten ein intelligentes, verhaltensbasiertes Malware-Erkennungssystem in einer Cloud-Computing-Umgebung. Es erstellte einen Malware-Datensatz über virtuelle Maschinen hinweg und nutzte ausgewählte Funktionen mit lernbasierten und regelbasierten Erkennungsagenten, um Malware und harmlose Proben zu klassifizieren. Die Bewertung von 10.000 Programmproben zeigte eine hohe Leistung mit verbesserter Erkennungsrate und FPR. Dennoch hatte die Methode Skalierbarkeitsprobleme mit ständig wechselnden Malware-Varianten und Cloud-Deployments in großem Maßstab und Echtzeit.

Trotz der bedeutenden Beiträge dieser Studien zeigt ein detaillierterer Vergleich, dass die Mehrheit der bestehenden Lösungen die Annahmen und Anforderungen des Echtzeit-Situationsbewusstseins oder des dynamischen Vertrauensmodells in cloudbasierten Umgebungen nicht berücksichtigt. Konventionelle ML-Techniken gehen von Feature-Grenzen aus, die im Raum festgelegt sind, und scheitern an Klassenungleichgewichten sowie hochdynamischen Verkehrsdynamiken ^8,9,10. DL-Modelle sind mit ausgezeichneten Fähigkeiten zur Feature-Extraktion verbunden, verbrauchen jedoch eine hohe Rechenleistung, was den Inferenzprozess in^{Echtzeitüberwachung langsam} und unpraktisch ^macht. Ensemble- und HMC-basierte Ansätze sind genauer, benötigen aber noch mehr Latenz und Ressourcen und werden derzeit nicht in großflächigen Clouds^14,15 eingesetzt. Gleichzeitig erfassen Cloud-Modell-Vertrauensbewertungstechniken Unsicherheiten gut, bleiben aber sehr empfindlich gegenüber rauschen Daten und können unter Hochfrequenz-Angriffsströmen^nicht effizient aktualisiert werden^. Selbst neuere cloudbasierte IDS-Frameworks verfügen über robuste, integrierte Unterstützung sowohl für Echtzeiterkennung als auch für vertrauensbewusste Entscheidungsfindung^20,21. Diese Einschränkungen unterstreichen zusammen die Notwendigkeit eines effizienten, einheitlichen und vertrauensbasierten Intrusionserkennungssystems. Diese Forschung überwindet diese Einschränkungen, indem sie adaptives ML, HMC und cloud-modellbasierte dynamische Vertrauensbewertung in eine SDN-fähige Cloud-Architektur integriert, was Echtzeiterkennung, verbesserte Genauigkeit der Minderheitenklassen und eine risikobewusste Risikoanalyse ermöglicht.

Die Innovationen dieses Artikels spiegeln sich hauptsächlich in folgenden Aspekten wider: Eine effiziente verteilte Netzwerkarchitektur basierend auf dem Ryu OpenFlow-Controller und dem OpenFlow-Switch wurde gebaut, um eine Echtzeiterfassung und dynamische Planung von Link-Informationen zu ermöglichen und so die Effizienz und Verarbeitung der Datenübertragung erheblich zu verbessern.

Angesichts der Schwierigkeiten durch Datenungleichgewichte und die Identifikation von Angriffen mit wenigen Stichproben wird ein Top-down-HMC-Framework entwickelt, und integrierte Lernmethoden wie AdaBoost und Bagging werden eingeführt, um die Erkennungsgenauigkeit feiner Angriffskategorien deutlich zu verbessern.

Die Cloud-Modelltheorie wird verwendet, um eine Trust Affiliation Cloud aufzubauen. Durch den Rückgewinngenerator und die Ähnlichkeitsberechnung wird die dynamische Bewertung des Truststatus jeder einzelnen Einheit im Netzwerk realisiert, was eine quantitative Grundlage für Risikowarnungen bietet und die durch abnormale Transaktionen zu niedrigen oder hohen Preisen verursachte Kreditspekulationen effektiv unterdrückt.

Protocol

HINWEIS: Dieses Protokoll beschreibt, wie ein cloudbasiertes Netzwerksicherheitssystem für Situational Awareness erstellt und hierarchische Klassifikationen mit dynamischer Vertrauensbewertung implementiert werden kann. Befolgen Sie die untenstehenden Schritte, um die Cloud-Netzwerktopologie zu entwerfen, Datenströme zu sammeln und zu annotieren sowie die hierarchischen Multiclass-Klassifikations- und Vertrauensbewertungsmodule einzusetzen. Abbildung 1 zeigt das vorgeschlagene SDN-Cloud-Framework , das adaptives ML, hierarchische Klassifikation und Vertrauensbewertung für die Echtzeit-Angriffserkennung integriert.

1. Design der Cloud-Netzwerktopologie

HINWEIS: Stellen Sie vor der Weiterfahrt den administrativen Zugriff auf OpenStack, Ryu und Mininet sicher.

1. Stellen Sie das System auf einer von OpenStack entwickelten Cloud-Plattform bereit. Nutzen Sie Virtualisierungstechnologie, um mehrere virtuelle Hosts zu erstellen und eine softwaredefinierte Netzwerkumgebung (SDN) für einheitliches Ressourcenmanagement und isolierte Planung zu konfigurieren.
2. Bereite Ryu und Open vSwitch (OVS) bereit und konfiguriere sie, um mit SDN-Steuerung und Verkehrsmanagement zu arbeiten.
3. Erstelle eine dreischichtige Topologie, bei der der Ryu-Controller der Kern ist und die OVS-Switches die Weiterleitungsknoten, bestehend aus einer Kontrollschicht, einer Netzwerkweiterleitungsschicht und einer Datendienstschicht.
   1. Konfiguration der Steuerungsschicht: Implementiere einen zentralisierten SDN-Controller mit Ryu. Aktivieren Sie Echtzeit-Netzwerkstatusüberwachung durch die REST-API von Ryu und verbinden Sie sie mit dem Sicherheitserkennungsmodul, um schnell auf abnormalen Datenverkehr zu reagieren.
   2. Netzwerk-Weiterleitungsschicht-Konfiguration: Richten Sie eine Anzahl von OVS-virtuellen Switching-Knoten mit virtuellen Hosts und externen Gateways ein. Setzen Sie Flusstabellen-Richtlinien auf OVS ein, um dynamische Pfadänderungen, Verkehrstrennung und Flussumleitung zu ermöglichen, wenn Angriffsverkehr erkannt wird.
   3. Konfiguration der Datendienstschicht: Konfigurieren Sie mehrere virtuelle Hosts auf der OpenStack-Plattform. Erstelle virtuelle Maschinen, die als Web-, Datenbank- und Dateiserver fungieren, um realistischen Datenverkehr zu erzeugen und injizierte Angriffsflüsse zu unterstützen.
4. Füge mehrere Hop-Werte und verschiedene Pfade hinzu. Simuliere heterogene Netzwerkbandbreiten- und Latenzbedingungen mit dem Befehl Mininet.
5. Installiere Mininet, um die Topologie zu deployen und zu simulieren. Isolieren Sie Tenants, Subnetzsegmentierung und Zugriffskontrolllisten (ACLs) mithilfe der Mininet-CLI.
6. Verifizieren Sie die Einrichtung, um sicherzustellen, dass die Topologie die Echtzeit-Datenerfassung erleichtert und eine direkte Integration mit dem Erkennungsmodul hat.
7. Erfassen Sie die fertige Systemarchitektur (Abbildung 2) und Topologie (Abbildung 3) mit allen Verbindungen zwischen den Schichten und dem Informationsfluss.

2. Datenfluss-Erfassung und Annotationsstrategie

VORSICHT: Achten Sie darauf, Datenschutzbestimmungen (z. B. DSGVO, lokale Cybersicherheitsrichtlinien) einzuhalten. Verwenden Sie Benutzerkennungen und IP-Adressen vorab anonymisieren.

1. Installiere Small Data Collection Agents auf jedem virtuellen Host und Netzwerkknoten. Richten Sie jeden Agenten so ein, dass er ständig Netzwerkverkehr, Systemprotokolle und Nutzerverhaltensinformationen überprüft.
2. Installiere Kafka (v3.5) als Datenwarteschlange und Apache Spark Streaming (v3.4), um Stream-Daten in Echtzeit zu verarbeiten. Konfigurieren Sie den Kafka-Durchsatz auf 10.000 Ereignisse/s oder mehr und Sparks Mikro-Batch-Intervall auf 500 ms oder weniger.
3. Verarbeiten Sie die gesammelten Daten nacheinander wie folgt:
   1. Bereinigen Sie die Daten, um doppelte Datensätze, unvollständige Datensätze und Rauschen zu eliminieren. Filtere ungültige Pakete heraus, indem du Protokollheader prüfst.
   2. Normalisiere numerische Attribute auf einen Standardbereich [0,1] mit Min-Max-Normalisierung für konsistente Feature-Skalierung.
   3. Wichtige Eigenschaften werden extrahiert, darunter Quell-/Ziel-IPs, Ports, Protokolltyp, Anzahl der Pakete, Anzahl der Bytes, Weiterleitungsverzögerung und Messungen von Verkehrsvariationen.
4. Geben Sie den verarbeiteten Datensatz in das KI-unterstützte Erkennungsmodul ein, um es zu trainieren und zu validieren.
5. Einrichtung eines dualen Annotationssystems für eine genaue Datenkennzeichnung:
   1. Erstelle eine Angriffsvorlagen-Bibliothek. Identifikation häufiger Angriffsmuster (z. B. Port Scanning, SYN Flood, DoS, U2R) mit regelbasierter Musterabgleichung.
   2. Überprüfen Sie mehrdeutige Proben manuell, um die Konsistenz der Beschriftung zu gewährleisten.
6. Verwenden Sie bereits etablierte Benchmark-Datensätze wie CIC-IDS2017 und NSL-KDD für die Kreuzvalidierung. Richten Sie Labels aus, um ≥90 % Konsistenz zwischen den Annotatoren zu gewährleisten.
7. Führen Sie Feature Engineering durch, um strukturierte Eingabevektoren zu konstruieren. Angriffshierarchien basierend auf mehrstufigen Kategoriedefinitionen kodieren.
8. Teile die Datensätze in 80 % Training und 20 % Testing auf.

3. Integrierte Architektur der hierarchischen Klassifikation und Vertrauensbewertung

1. Konstruiere eine intelligente Wahrnehmungsarchitektur, die die hierarchische Multiclass-Klassifikation (HMC) und einen dynamischen Vertrauensbewertungsmechanismus integriert (Abbildung 4).
2. Implementieren Sie das HMC-Modul nach einer "grob bis fein"-Strategie:
   1. Verwenden Sie leichte Verbindungsfunktionen (z. B. Frequenz, Portverteilung, Protokolltyp), um den Verkehr in "normale" und "abnormale" Kategorien zu klassifizieren.
   2. Für "abnormalen" Verkehr führen Sie eine zweite Stufe-Klassifizierung in Angriffskategorien wie DDoS, U2R, R2L und Probe unter Verwendung von mittleren statistischen Merkmalen wie Paketintervall und Nutzlastgröße durch.
   3. Identifizieren Sie feinkorrelierte Untertypen (z. B. TCP SYN Flood, SQL Injection, Brute Force Attack) durch Analyse von Angriffssignaturen und Zielattributen.
3. Optimieren Sie das Klassifikationsmodul.
   1. Wenden Sie AdaBoost- und Bagging-Ensemble-Lernmethoden an und bauen Sie auf jeder Hierarchieebene 5–8 schwache Klassifikatoren (z. B. Entscheidungsbaum, logistische Regression).
   2. Klassifikatorergebnisse werden mit gewichteter Mehrheitsabstimmung auf Basis von Genauigkeitswerten kombiniert.
4. Implementierung des dynamischen Vertrauensbewertungsmoduls unter Verwendung der Cloud-Modelltheorie:
   1. Behalten Sie ständig die Verhaltensindikatoren des Wirts, z. B. die Stabilität der Vergangenheit, die Häufigkeit der Kommunikation und Variationen bei den Zugriffszielen.
   2. Integriere die Glaubwürdigkeit des Modellergebnisses in die Berechnung von Vertrauen. Schätzen Sie den tatsächlichen Vertrauenswert (0 bis 1) mit Hilfe von Erwartungsparametern (Ex), Entropie (En) und Hyperentropie (He).
5. Konfigurieren Sie den Verknüpfungsmechanismus zwischen HMC und Vertrauensmodulen.
   1. Automatische Planung von Systemen basierend auf Vertrauenswerten: Isoliere Hosts mit Trust ≤ 0.3 und reduziere die Rechte von Hosts mit Trust 0.3-0.6.
   2. Trainieren Sie den Klassifikator mit Host-Daten mit Trust ≥ 0,8 neu, um die Erkennung und Flexibilität bei unbekannten Angriffen zu erhöhen.
6. Testen Sie die Zero-Day-Antwortfähigkeit. Injiziere unmarkierten bösartigen Datenverkehr und stelle sicher, dass Warnungen und Isolation innerhalb von 10 Minuten ausgelöst werden.

4. Berechnung und Implementierung des Trust-Cloud-Modells (Abbildung 5)

1. Standard-Trust-Cloud-Generierung:
   1. Unterteilen Sie Vertrauenswerte in n verschiedene Stufen (z. B. "Niedrig", "Mittel", "Hoch", "Sehr niedrig" und "Sehr hoch").
   2. Berechnen Sie die Erwartung (Ex_k) für Ebene k basierend auf dem Durchschnitt der Trustbewertungen für Einheiten auf dieser Ebene mit Gleichung 1:
      
      wobei T_ik die individuellen Treuhandwerte von unter Treuhandebene L_k klassifizierten Einheiten darstellt.
   3. Berechnen Sie die Entropie (En_k), um die Unschärfe der Vertrauenswerte innerhalb der Ebene L_k mit Gleichung 2 zu quantifizieren:
      
      wobei α eine Konstante ist, die den Unschärfegrad steuert.
   4. Berechnen Sie die Hyperentropie (He_k) mit Gleichung 3, um die Instabilität der Entropie über die Zeit zu quantifizieren:
      
      wobei β ein Parameter ist, der das Unsicherheitsniveau anpasst.
   5. Geben Sie die Menge der Standard-Vertrauenswolken C_{1,C 2},...,C_n aus, die den n Vertrauensstufen entsprechen.
2. Vertrauensattribut-Cloud-Inverse Generierung:
   1. Normalisiere die Eingabevertrauensattribute A_i auf den Bereich [0,1] mit Gleichung 4:
      
      Wenden Sie statistische Analysen an, um die entsprechenden Wolkenmodellparameter (Ex, En, He) für jedes normalisierte Attribut A_i' zu schätzen.
      Generiere für jedes Attribut das Vertrauensattribut cloud C_i .
3. Umfassende Treuhandbewertung:
   1. Berechnen Sie die digitalen Eigenschaften der zusammengesetzten Vertrauenswolke (Ex_com, En_com, He_com) mittels gewichteter Synthese (Gleichungen 5-7):
      
      
      
      wobei
   2. Berechnen Sie die Ähnlichkeit zwischen der aktuellen Trust-Cloud C_i und einer Standard-Cloud C_k mit Gleichung 8:
      
      Bestimmen Sie das endgültige Vertrauensniveau L^* , indem Sie die maximale Ähnlichkeit mit Gleichung 9 bestimmen:
      
4. Dynamische Vertrauensaktualisierung
   1. Aktualisieren Sie den Vertrauenswert, um die Entwicklung über die Zeit mit dem Zeitabfallmodell in Gleichung 10 widerzuspiegeln:
      
      wobei λ∈[0,1] die Gewichtung von jüngerem versus historischem Vertrauen steuert.
   2. Wenden Sie den Trust-Penalty-Mechanismus an, wenn bestimmte Abweichungen auftreten. Berechnen Sie die Abweichung (ΔA) und den Straffaktor (_P-Strafe) mit den Gleichungen 11 und 12:
      
      
   3. Berechnen Sie den aktualisierten Vertrauenswert mit Gleichung 13:
      

5. Experimentelle Validierung der Angriffserkennungsleistung

1. Konfigurieren Sie die experimentelle Umgebung und bereiten Sie den Datensatz vor.
   1. Verwenden Sie eine Windows-11-Workstation mit Visual C++-Tools für die Kompilierung und das Testen von Algorithmen.
   2. Holen Sie den KDDCUP_10%-Datensatz aus verifizierten Quellen ab und verarbeiten Sie ihn gemäß institutionellen Datenschutzrichtlinien vor.
   3. Setze Algorithmusparameter: Zeitintervall T = 10s, Stichprobenrunden h = 20 und Datenproben n = 1000.
   4. Teilen Sie die Daten in Trainingsgruppen (80 %) und Testsets (20 %) mittels geschichteter Stichprobe auf.
2. Validiere die Leistung der binären Klassifikation.
   1. Führen Sie eine fünffache Kreuzvalidierung zur Zuverlässigkeit durch.
   2. Trainieren und testen Sie acht Klassifikatoren: Decision Tree (DT), Naive Bayes (NB), Random Forest (RF), K-Nearest Neighbor (KNN), Adaptive Boosting (AdaBoost), Support Vector Machine (SVM), Bagging und Gradient Boosting.
   3. Führe 100 Epochen pro Modell und erzeuge Präzision, Genauigkeit, Rückruf und F1-Score.
3. Validiere die Leistung der Multiclass-Klassifikation.
   1. Trainieren Sie Klassifikatoren, um DDoS, U2R, R2L, Sonde und normalen Verkehr zu erkennen.
   2. Implementieren Sie fünf DL-Architekturen (MLP, CNN, GRU, RNN und LSTM) unter Verwendung von in Tabelle 1 angegebenen Parametern.
   3. Vergleichen Sie die Leistung mit Präzisions-Rückrufkurven und Verwirrungsmatrizen für jede Klasse.
4. Validiere den HMC-Algorithmus.
   1. Implementiere HMC mit AdaBoost und Bagging als Ensemble-Strategien.
   2. Zerlegte Multiklassenprobleme in binäre Unterklassifikationen mittels hierarchischer Logik.
   3. Vergleichen Sie die Ergebnisse mit Baseline-Modellen für Minderheitenangriffstypen (U2R, R2L).
5. Implementiere Angriffssimulation.
   1. Setzen Sie das trainierte Vertrauenserkennungsmodell auf dem Cloud-Testbed ein.
   2. Erstellen Sie UDP Flood- und SYN-Flood-Angriffe mit multivirtuellen Hosts, um zugewiesene Server anzuvisieren.
   3. Halte den Angriffsverkehr bei etwa 30 % des Netzwerkdurchsatzes.
   4. Verfolgen Sie Netzwerkstatistiken (Übertragungsrate, Sitzungsdauer, Portzugriffsfrequenz, abnormale Verbindungen).
   5. Messen Sie Erkennungsfehler, Fehlalarme und die mittlere Antwortzeit des Systems.

Results

Experimentelle Validierung und Leistungsanalyse

Cloudbasierte Validierung

Um die Effizienz und Machbarkeit des vorgeschlagenen Algorithmus zu testen, wurden Simulationstests in einem kontrollierten Netzwerklabor durchgeführt. Die Überprüfung erfolgte auf dem Windows-Betriebssystem, und der Kernalgorithmus ist in VC (Visual C++) Programmierwerkzeugen programmiert.

Im Fall ...

Discussion

Eine effektive Implementierung dieses Protokolls beruht auf kritischen Schritten innerhalb der cloudbasierten Architektur. Eine korrekte Konfiguration des Ryu OpenFlow Controllers, die korrekte Einrichtung der Open-vSwitch-Regeln und die robuste Bildung einer mehrschichtigen Topologie sind unerlässlich, um eine vollständige Verkehrserfassung sicherzustellen. Die Wahl von Ryu als Controller und Open vSwitch als Switch-Plattform stärkt den praktischen Wert des Systems erheblich; Ihre leich...

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
AdaBoost (Ensemble-Lernbibliothek)	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.AdaBoostClassifier.html	Software
Bagging-Klassifikator	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.BaggingClassifier.html	Software
Cloud Model Trust Evaluation Code	Benutzerdefinierte Implementierung	N/A	Algorithmus/Software
Konvolutionales neuronales Netzwerk (CNN)	TensorFlow / PyTorch	https://www.tensorflow.org/tutorials/images/cnn	Software
Deep-Learning-Frameworks (MLP, RNN, LSTM, GRU)	TensorFlow / PyTorch		Software
EstiNet Network Simulator	EstiNet Technologies	https://sites.google.com/view/estinet-network-simulator	Software
Kafka (Datenstreaming-Plattform)	Apache Foundation	https://kafka.apache.org/	Software
KDD CUP 10% Datensatz	UCI Machine Learning Repository	http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html	Datensatz
Mininet-Emulator	Mininet-Projekt	Mininet 2.3.1	Netzwerkemulation für SDN-Topologie, Bandbreite und gemischte Angriffssimulation.
Open vSwitch (OVS)	Open vSwitch Org	OVS 3.2.2	Virtueller Switch implementiert Flusstabellensteuerung und Angriffsverkehrsumleitung.
OpenStack Cloud Platform	Open Infrastructure Foundation	https://www.openstack.org/	Cloud-Software
Python 3.x	Python Software Foundation	https://www.python.org/downloads/	Programmiersprache
Ryu SDN Controller	NTT R& D	Ryu 4.34	SDN-Controller zur Echtzeiterfassung von Netzwerkverkehr und Situationsbewusstsein.
Spark Streaming-Framework	Apache Foundation	https://spark.apache.org/docs/latest/streaming-programming-guide.html	Software
Visual C++ (VC++) Compiler	Microsoft	https://visualstudio.microsoft.com/	Software
Windows 11 Workstation	Microsoft	Windows 11 Pro 23H2	Das Betriebssystem wird für Modellkompilierung, Training und Testing verwendet.