Utilización de algoritmos adaptativos de aprendizaje automático para la alerta de riesgos de información y la conciencia de escenarios de seguridad de redes en entornos de computación en la nube

Summary

El artículo propone una novedosa solución basada en Aprendizaje Automático (ML) para la seguridad adaptativa de redes en un sistema en la nube que integra clasificación jerárquica multi-etiqueta y un sistema dinámico de evaluación de confianza para mejorar la precisión en la detección de amenazas y disminuir el número de falsos positivos.

Abstract

Este estudio propone un marco novedoso para la conciencia situacional y la alerta de riesgos en seguridad de redes en entornos de computación en la nube, integrando Aprendizaje Automático (ML) adaptativo, Clasificación Jerárquica Multi-Etiqueta (HMC) y un mecanismo dinámico de evaluación de confianza basado en el modelo de nube. La complejidad, diversidad y naturaleza en tiempo real de los ciberataques emergentes —como los exploits de día cero, la denegación de servicio distribuida (DDoS) y las botnets— suponen desafíos significativos para los métodos tradicionales de detección estática y basados en reglas. Para abordar estos desafíos, desarrollamos una arquitectura de nube eficaz basada en SDN utilizando el controlador Ryu OpenFlow y los switches OpenFlow. Esta arquitectura permite la recopilación de información de enlaces en tiempo real, la programación dinámica y la transmisión de datos escalable y fiable. El marco de clasificación jerárquica sugerido puede descomponer problemas multiclase en tareas binarias, aliviando el efecto del desequilibrio de la muestra y mejorando el reconocimiento de ataques de baja frecuencia, incluyendo Usuario a Raíz (U2R). Las técnicas de aprendizaje en conjunto, incluyendo AdaBoost y Bagging, mejoran aún más la precisión de detección para tipos de ataque de grano fino. Los experimentos realizados con conjuntos de datos DDoS, datos de tráfico en la nube y simulaciones en Mininet y EstiNet demuestran que el enfoque combinado ML-HMC-confianza mejora significativamente la precisión de la detección, reduce los falsos positivos y permite la respuesta en tiempo real. Estos resultados confirman que integrar el aprendizaje adaptativo, la clasificación jerárquica y la evaluación dinámica de la confianza proporciona una solución robusta y escalable para asegurar plataformas de nube a gran escala.

Introduction

Con la aplicación generalizada de la tecnología de computación en la nube en diversas industrias, la escala y la cantidad de datos en los sistemas de información están aumentando rápidamente, y las amenazas de red se vuelven más complejas, ocultas y^{dinámicas 1,2}. Los mecanismos tradicionales de defensa de seguridad basados en reglas y modelos estáticos ya no pueden cumplir con los requisitos de detección en tiempo real con una alerta temprana precisa ante estrategias de ataque cambiantes, vulnerabilidades de día cero y ataques distribuidos a gran^{escala 3}. Por lo tanto, aprovechar los algoritmos de aprendizaje automático adaptativo para integrar completamente las capacidades de procesamiento distribuido de datos y análisis inteligente dentro de las plataformas de computación en la nube, con el fin de lograr una percepción completa de la situación de seguridad de la red y una alerta temprana eficaz de riesgos informativos representa un desafío crítico en el actual panorama de la seguridad^{de la información 4}. Esta investigación no solo tiene una importante importancia teórica para mejorar el sistema de protección de seguridad existente, sino que también ofrece un sólido apoyo para garantizar la seguridad de la infraestructura nacional clave de información y de los datos centrales^{empresariales 5}.

Existen múltiples desafíos a la hora de realizar la conciencia situacional de seguridad de red y la advertencia de riesgo de información en un entorno de computación en la nube: los tipos de datos agregados en la plataforma en la nube son numerosos y las fuentes son complejas, lo que hace que las tareas de preprocesamiento de datos, extracción de características y fusión sean cada vez más arduas; Ante el aumento del tráfico de red y los escenarios de ataque que cambian rápidamente, el sistema debe responder en muy poco tiempo, y la detección y advertencia en tiempo real se han convertido en cuellos de botella técnicos; la cantidad de tráfico normal es muy diferente de la del tráfico de ataque, y los algoritmos tradicionales tienen baja precisión al procesar categorías de muestras pequeñas (como U2R, ataques de red, etc.), y existe un gran riesgo de error de juicio; En un entorno de red complejo, las relaciones de confianza se ven afectadas por múltiples factores y son aleatorias e inciertas ^6,7. Los métodos tradicionales de evaluación de confianza basados en umbrales fijos son difíciles de reflejar en la situación real y son fácilmente interferidos por datos anormales. Para abordar estas limitaciones multidimensionales, esta investigación presenta un marco integrado que sinergiza el aprendizaje automático adaptativo, la clasificación jerárquica multi-etiqueta y un mecanismo dinámico de evaluación de confianza basado en modelos en la nube. Esta fusión de técnicas aplicadas en un entorno cloud impulsado por SDN va más allá del refinamiento incremental al permitir el reconocimiento detallado de ataques de baja frecuencia, la adaptación de confianza en tiempo real y la conciencia situacional escalable, algo que los métodos existentes no han logrado simultáneamente.

Los entornos de computación en la nube generan un tráfico de red masivo, altamente dinámico y heterogéneo, lo que hace que los sistemas tradicionales de detección de intrusiones (IDS) no puedan identificar con precisión tipos de ataque sofisticados y minoritarios como U2R y R2L. Las soluciones IDS basadas en aprendizaje profundo (DL) existentes mejoran la precisión de la detección, pero aún sufren de una alta sobrecarga computacional, lenta respuesta en tiempo real y un mal manejo de relaciones de confianza inciertas o en evolución entre entidades de red. Además, la mayoría de los modelos actuales funcionan como clasificadores planos y carecen de mecanismos para la toma de decisiones jerárquica y detallada o para la evaluación dinámica de la confianza. Estas limitaciones crean una brecha crítica en el desarrollo de un IDS que pueda ofrecer detección en tiempo real, reconocimiento preciso de clases minoritarias y evaluación fiable de riesgos conscientes de la confianza en entornos cloud a gran escala.

En la investigación actual sobre conciencia de la situación de seguridad de la red y advertencia de riesgos de información, muchos estudios utilizan métodos como K-nearest neighbor (KNN) y la máquina de vectores de soporte (SVM) para clasificar y detectar el tráfico de red. Estos algoritmos tienen las ventajas de una alta eficiencia computacional y fácil implementación, especialmente al realizar un cribado preliminar de grandes cantidades de^{datos 8,9}. Sin embargo, sus principales deficiencias se reflejan en varios aspectos: cuando se enfrentan a la mayoría del tráfico normal y un pequeño número de muestras de ataque en un entorno de nube, estos métodos tradicionales de aprendizaje automático a menudo ignoran información de unas pocas categorías, lo que resulta en bajas tasas de reconocimiento para ataques de grano fino (como U2R, ataques por vulnerabilidad de red, etc.); Los modelos individuales suelen ser sensibles al ruido y a los valores atípicos de datos, carecen de la capacidad de adaptarse a escenarios de ataque que cambian dinámicamente y tienden a sobreajustar o a generalizaciones^{insuficientes 10,11}.

En los últimos años, métodos de DL como el Perceptrón Multicapa (MLP), CNN, Red Neuronal Recurrente (RNN), Red de Memoria a Corto Plazo Largo (LSTM) y Unidad Recurrente Controlada (GRU) se han aplicado cada vez más en el campo de la seguridad de redes. Gracias a las potentes capacidades de aprendizaje de características y mapeo no lineal de las redes neuronales profundas, estos métodos han mejorado significativamente la precisión de detección y la capacidad de capturar comportamientos de ataque complejos en comparación con el ML¹² tradicional. Sin embargo, tienen altos requisitos en recursos informáticos y datos de entrenamiento. Especialmente en el contexto del tráfico de big data en entornos de computación en la nube, todavía hay margen de mejora en la sobrecarga de entrenamiento y la velocidad de inferencia en tiempo real. Al identificar clases con pocas muestras, debido a un desequilibrio de datos, los modelos DL tienen bajas tasas de detección para algunos ataques de grano minucioso (como U2R, botnets) debido al sesgo de clase¹³. Para compensar las limitaciones de un único modelo en el manejo del desequilibrio de datos y la identificación de ataques multiclase, algunos estudios han propuesto soluciones basadas en aprendizaje en conjunto, como el Bagging y el Boosting, que amplían la precisión global de la predicción combinando decisiones de múltiples^{clasificadores 14}. Al mismo tiempo, la arquitectura de Clasificación Multiclase Jerárquica (HMC) descompone el problema de clasificación multiclase en subproblemas de clasificación binaria múltiple, logrando así un reconocimiento más refinado para clases con menos muestras. Sin embargo, los modelos integrados suelen enfrentarse a problemas como un alto uso de recursos informáticos y un mayor tiempo de respuesta durante el despliegue, especialmente en sistemas de monitorización en tiempo real de computación en la nube, donde los requisitos en tiempo real aumentan la presión sobre los recursos del^{sistema 15}.

En respuesta al problema de la evaluación dinámica de la relación de confianza en la red, algunos estudios han introducido la teoría del modelo de nube, que construye una nube de afiliación de confianza describiendo la difuminación y aleatoriedad de los atributos de confianza de cada entidad, y luego utiliza gotas de nube, entropía, superentropía y otros indicadores para la evaluación^{cuantitativa 16}. Al enfrentarse a datos de confianza de red actualizados en tiempo real, la tasa de actualización y la eficiencia computacional de los métodos existentes de modelos en la nube pueden encontrar difícil cumplir con los requisitos de advertencia dinámica de alta frecuencia; El modelo es muy sensible a los datos de evaluación, y los datos anormales o la información de ruido pueden interferir significativamente con la evaluación general de la confianza, afectando a las decisiones posteriores de advertencia de riesgo.

En vista de las numerosas deficiencias de la investigación actual en precisión de detección, rendimiento en tiempo real, procesamiento de balance de datos y evaluación de confianza, este artículo propone un nuevo sistema de defensa que utiliza de forma integral algoritmos de aprendizaje automático adaptativo, estrategias jerárquicas de clasificación multiclase y evaluación de confianza en modelos en la nube para la conciencia de la situación de seguridad de la red y la alerta de riesgos de información en entornos de computación^{en la nube 17}.

La investigación aborda la ciberseguridad en tiempo real para redes de naves inteligentes aprovechando la tecnología de computación^{en la nube 18}. Sugiere un marco de nodos multisensor para examinar datos en busca de ataques maliciosos y utiliza nodos de estrategia de protección autoejecutables para interceptar amenazas. Los resultados demuestran una tasa de detección y defensa de intrusión de virus del 85-95%, y una tasa de falsos positivos del 2,56%, superando significativamente a otros algoritmos. Sin embargo, el enfoque requiere altos recursos computacionales y restricciones de infraestructura cloud en su despliegue práctico. Aslan et ^al.19 proporcionan un sistema inteligente de detección de malware basado en comportamientos en un entorno de computación en la nube. Produjo un conjunto de datos de malware en máquinas virtuales y utilizó características seleccionadas con agentes de detección basados en aprendizaje y reglas para clasificar malware y muestras benignas. La evaluación de 10.000 muestras del programa mostró un alto rendimiento con una tasa de detección y FPR mejoradas. No obstante, el método tenía problemas de escalabilidad debido a variantes de malware que cambiaban constantemente y despliegues en la nube a escala y en tiempo real.

A pesar de las importantes contribuciones realizadas por estos estudios, una comparación más detallada revela que la mayoría de las soluciones existentes no abordan los supuestos y requisitos de la conciencia situacional en tiempo real o el modelo dinámico de confianza en entornos basados en la nube. Las técnicas convencionales de aprendizaje automático asumen límites de características fijos en el espacio y fallan en el desequilibrio de clases y en dinámicas de tráfico^{altamente dinámicas 8,9,10}. Los modelos DL están asociados a excelentes capacidades de extracción de características, pero consumen una gran potencia computacional, lo que hace que el proceso de inferencia sea lento e impráctico en la monitorización en tiempo^{real 12,13}. Los enfoques basados en ensamblaje y HMC son más precisos, pero requieren aún más latencia y recursos, y actualmente no se despliegan en nubes a gran^{escala 14,15}. Mientras tanto, las técnicas de evaluación de confianza en modelos en la nube capturan bien la incertidumbre, pero siguen siendo muy sensibles a datos ruidosos y no pueden actualizar los valores de confianza de forma eficiente bajo flujos de ataque de alta^{frecuencia 16, 17, 18, 19}. Incluso los frameworks IDS recientes basados en la nube carecen de soporte robusto e integrado tanto para la detección en tiempo real como para la toma de decisiones consciente de la^{confianza 20,21}. Estas restricciones en conjunto subrayan la necesidad de un marco de detección de intrusiones eficiente, unificado y habilitado para la confianza. Esta investigación supera estas limitaciones integrando la evaluación dinámica de confianza basada en modelos de nube adaptativa en ML, HMC y modelos en la nube dentro de una arquitectura cloud habilitada con SDN, permitiendo la detección en tiempo real, una mayor precisión en las clases minoritarias y una evaluación de riesgos consciente de la incertidumbre.

Las innovaciones de este artículo se reflejan principalmente en los siguientes aspectos: Se construye una arquitectura de red distribuida eficiente basada en el controlador Ryu OpenFlow y el switch OpenFlow para permitir la recogida en tiempo real y la programación dinámica de la información del enlace, mejorando así enormemente la eficiencia y el procesamiento de la transmisión de datos.

Dadas las dificultades que plantean el desequilibrio de datos y la identificación de ataques con pocas muestras, se diseña un marco HMC de arriba hacia abajo, y se introducen métodos de aprendizaje integrados como AdaBoost y Bagging para mejorar significativamente la precisión de detección de categorías de ataques de grano fino.

La teoría del modelo de nube se utiliza para construir una nube de afiliación de confianza. Mediante el generador inverso y el cálculo de similitud, se realiza la evaluación dinámica del estado de confianza de cada entidad en la red, proporcionando una base cuantitativa para la advertencia de riesgos y suprimiendo eficazmente la especulación crediticia causada por transacciones anormales a precios bajos o altos.

Protocol

NOTA: Este protocolo describe cómo construir un sistema de conciencia situacional de seguridad de red basado en la nube e implementar la clasificación jerárquica con evaluación dinámica de confianza. Sigue los pasos siguientes para diseñar la topología de la red en la nube, recopilar y anotar flujos de datos, y desplegar los módulos jerárquicos de clasificación multiclase y evaluación de confianza. La Figura 1 ilustra el marco SDN-cloud propuesto que integra ML adaptativo, clasificación jerárquica y evaluación de confianza para la detección de ataques en tiempo real.

1. Diseño de topología de redes en la nube

NOTA: Asegura el acceso administrativo a OpenStack, Ryu y Mininet antes de continuar.

1. Despliega el sistema en una plataforma en la nube construida por OpenStack. Utilizar tecnología de virtualización para crear múltiples hosts virtuales y configurar un entorno de red definida por software (SDN) para la gestión unificada de recursos y la programación aislada.
2. Despliega y configura Ryu y Open vSwitch (OVS) para que funcionen con el control SDN y la gestión del tráfico.
3. Construye una topología de tres capas donde el controlador Ryu es el núcleo y los switches OVS son los nodos de reenvío, que consisten en una capa de control, una capa de reenvío de red y una capa de servicio de datos.
   1. Configuración de la capa de control: Implementa un controlador SDN centralizado con Ryu. Activa la monitorización del estado de la red en tiempo real usando la API REST de Ryu y conéctala al módulo de detección de seguridad para responder rápidamente al tráfico anormal.
   2. Configuración de la capa de reenvío de red: Configura varios nodos de conmutación virtuales OVS con hosts virtuales y pasarelas externas. Establece políticas de tabla de flujo en OVS para permitir cambios dinámicos de camino, separación de tráfico y redirección de flujo cuando se detecte tráfico de ataque.
   3. Configuración de la capa de servicio de datos: Configurar varios hosts virtuales en la plataforma OpenStack. Crear máquinas virtuales que actúen como servidores web, de bases de datos y de archivos para generar tráfico de datos realista y soportar flujos de ataque inyectados.
4. Añade varios valores de salto y diferentes caminos. Simula condiciones heterogéneas de ancho de banda y latencia de red utilizando el comando Mininet.
5. Instala Mininet para desplegar y simular la topología. Aislar inquilinos, segmentación de subredes y listas de control de acceso (ACLs) usando la CLI de Mininet.
6. Verifica la configuración para asegurar que la topología facilita la captura de tráfico en tiempo real y tiene integración directa con el módulo de detección.
7. Registrar la arquitectura del sistema completada (Figura 2) y la topología (Figura 3) con todas las interconexiones entre las capas y el flujo de información.

2. Estrategia de recogida y anotación de flujo de datos

PRECAUCIÓN: Asegúrese de cumplir con las normativas de privacidad de datos (por ejemplo, RGPD, políticas locales de ciberseguridad). Pre-anonimizar identificadores de usuario y direcciones IP.

1. Instala pequeños agentes de recogida de datos en cada host virtual y nodo de red. Configura a cada agente para que examine constantemente el tráfico de red, los registros del sistema y la información de comportamiento del usuario.
2. Instala Kafka (v3.5) como cola de datos y Apache Spark streaming (v3.4) para procesar los datos del flujo en tiempo real. Configura el rendimiento de Kafka para que sea de 10.000 eventos/s o superior y el intervalo micro-lote de Spark para 500 ms o menos.
3. Procesar los datos recogidos secuencialmente de la siguiente manera:
   1. Limpia los datos para eliminar registros duplicados, registros incompletos y ruido. Filtra los paquetes inválidos comprobando los encabezados del protocolo.
   2. Normalizar atributos numéricos a un rango estándar [0,1] usando normalización min-max para una escala consistente de características.
   3. Extraer características importantes, incluyendo IPs de origen/destino, puertos, tipo de protocolo, número de paquetes, número de bytes, retardo en el reenvío y medidas de variación del tráfico.
4. Introduce el conjunto de datos procesado en el módulo de detección asistida por IA para entrenar y validar.
5. Establecer un sistema de anotación dual para un etiquetado de datos preciso:
   1. Crea una biblioteca de plantillas de ataque. Identificar patrones de ataque comunes (por ejemplo, escaneo de puertos, flood SYN, DoS, U2R) mediante coincidencia de patrones basada en reglas.
   2. Comprueba manualmente muestras ambiguas para mantener la consistencia en el etiquetado.
6. Utiliza conjuntos de datos de referencia establecidos como CIC-IDS2017 y NSL-KDD para la validación cruzada. Alinea las etiquetas para mantener un ≥90% de consistencia entre anotadores.
7. Realizar ingeniería de características para construir vectores de entrada estructurados. Codificar jerarquías de ataque basándose en definiciones de categorías multinivel.
8. Divide los conjuntos de datos en 80% entrenamiento y 20% pruebas.

3. Clasificación jerárquica y evaluación de confianza arquitectura integrada

1. Construir una arquitectura de percepción inteligente que integre la Clasificación Multiclase Jerárquica (HMC) y un mecanismo dinámico de evaluación de confianza (Figura 4).
2. Implementa el módulo HMC siguiendo una estrategia "de groso a fino":
   1. Utiliza características ligeras de conexión (por ejemplo, frecuencia, distribución de puertos, tipo de protocolo) para clasificar el tráfico en categorías "normales" y "anormales".
   2. Para tráfico "anormal", realizar la clasificación de segundo nivel en categorías de ataque como DDoS, U2R, R2L y Probe utilizando características estadísticas de nivel medio como intervalo de paquetes y tamaño de carga útil.
   3. Identificar subtipos de grano fino (por ejemplo, TCP SYN Flood, SQL Injection, Brute Force Attack) analizando firmas de ataque y atributos objetivo.
3. Optimiza el módulo de clasificación.
   1. Aplica métodos de aprendizaje en conjunto AdaBoost y Baging, construyendo de 5 a 8 clasificadores débiles en cada nivel jerárquico (por ejemplo, árbol de decisiones, regresión logística).
   2. Combinar los resultados de los clasificadores usando votación mayoritaria ponderada basada en puntuaciones de precisión.
4. Implementa el módulo dinámico de evaluación de confianza utilizando la teoría del modelo de nube:
   1. Mantén un control constante de los indicadores de comportamiento del huésped, por ejemplo, la estabilidad pasada, la frecuencia de comunicación y la variación en los objetivos de acceso.
   2. Incluir la credibilidad de la salida del modelo en el cálculo de la confianza. Estima la puntuación real de confianza (0 a 1) con la ayuda de parámetros de expectativa (Ex), entropía (En) e hiperentropía (He).
5. Configura el mecanismo de retroalimentación de enlace entre HMC y los módulos de confianza.
   1. Auto-programar sistemas basados en valores de confianza: aislar hosts con ≤ de confianza 0.3 y reducir los privilegios de los hosts con confianza 0.3-0.6.
   2. Reentrenar el clasificador con datos del host con ≥ de confianza 0.8 para aumentar la detección y flexibilidad ante ataques desconocidos.
6. Prueba la capacidad de respuesta de día cero. Inyecta tráfico malicioso sin etiquetar y confirma que las alertas y el aislamiento se activan en un plazo de 10 minutos.

4. Cálculo e implementación del modelo de nube de confianza (Figura 5)

1. Generación estándar de confianza en la nube:
   1. Divide los valores de confianza en n niveles distintos (por ejemplo, "Bajo", "Medio", "Alto", "Muy Bajo" y "Muy alto").
   2. Calcular la expectativa (Ex_k) para el nivel k basándose en la media de las evaluaciones de fideicomisos para entidades de ese nivel usando la Ecuación 1:
      
      donde T_ik representa los valores de confianza individuales de entidades clasificadas bajo el nivel de confianza L_k.
   3. Calcula la entropía (En_k) para cuantificar la difusión de los valores de confianza dentro del nivel L_k usando la Ecuación 2:
      
      donde α es una constante que controla el nivel de difuminación.
   4. Calcula la hiperentropía (He_k) usando la Ecuación 3 para cuantificar la inestabilidad de la entropía a lo largo del tiempo:
      
      donde β es un parámetro que ajusta el nivel de incertidumbre.
   5. Salida el conjunto de nubes de confianza estándar C_{1,C 2},...,_{C n} correspondientes a los n niveles de confianza.
2. Generación inversa de nube de atributos de confianza:
   1. Normalice los atributos de confianza de entrada A_i al rango [0,1] usando la Ecuación 4:
      
      Aplicar análisis estadístico para estimar los parámetros correspondientes del modelo de nube (Ex, En, He) para cada atributo normalizado A_i'.
      Genera el atributo de confianza nube C_i para cada atributo.
3. Evaluación integral del fideicomiso:
   1. Calcula las propiedades digitales de la nube de confianza compuesta (Ex_com,_{En com}, He_com) usando síntesis ponderada (Ecuaciones 5-7):
      
      
      
      donde
   2. Calcular la similitud entre la nube de confianza actual C_i y una nube_{C k} estándar usando la Ecuación 8:
      
      Determina el nivel final de confianza L^* encontrando la máxima similitud usando la Ecuación 9:
      
4. Actualización dinámica de confianza
   1. Actualiza el valor de confianza para reflejar la evolución a lo largo del tiempo usando el modelo de decaimiento temporal en la Ecuación 10:
      
      donde λ∈[0,1] controla la ponderación de la confianza reciente frente a la histórica.
   2. Aplica el mecanismo de penalización del fideicomiso si se producen desviaciones específicas. Calcula la desviación (ΔA) y el factor de penalización_{(penalización} P) usando las ecuaciones 11 y 12:
      
      
   3. Calcula el valor de confianza actualizado usando la Ecuación 13:
      

5. Validación experimental del rendimiento de detección de ataques

1. Configura el entorno experimental y prepara el conjunto de datos.
   1. Utiliza una estación de trabajo Windows 11 equipada con herramientas Visual C++ para compilar y probar algoritmos.
   2. Obtén el conjunto de datos del KDDCUP_10% de fuentes verificadas y preprocesarlo siguiendo las directrices institucionales de protección de datos.
   3. Establecer parámetros del algoritmo: intervalo de tiempo T = 10s, rondas de muestreo h = 20 y muestras de datos n = 1000.
   4. Divide los datos en conjuntos de entrenamiento (80%) y de prueba (20%) mediante muestreo estratificado.
2. Validar el rendimiento de la clasificación binaria.
   1. Realizar una validación cruzada de 5 veces para garantizar la fiabilidad.
   2. Entrenar y probar ocho clasificadores: Árbol de Decisión (DT), Naive Bayes (NB), Bosque Aleatorio (RF), K-Vecino Más Cercano (KNN), Impulso Adaptativo (AdaBoost), Máquina de Vectores de Soporte (SVM), Encapsulación y Aumento de Gradiente.
   3. Ejecuta 100 épocas por modelo y registra precisión, exactitud, recuerdo y puntuación F1.
3. Validar el rendimiento de clasificación multiclase.
   1. Clasificadores de tren para detectar DDoS, U2R, R2L, Probe y tráfico normal.
   2. Implementa cinco arquitecturas DL (MLP, CNN, GRU, RNN y LSTM) usando parámetros especificados en la Tabla 1.
   3. Compara el rendimiento usando curvas de recuerdo de precisión y matrices de confusión para cada clase.
4. Valida el algoritmo HMC.
   1. Implementa HMC con AdaBoost y Bagging como estrategias de conjunto.
   2. Descompone problemas multiclase en subclasificaciones binarias mediante lógica jerárquica.
   3. Comparar los resultados con modelos de referencia para tipos de ataque de minorías (U2R, R2L).
5. Implementa simulación de ataque.
   1. Despliega el modelo entrenado de detección de confianza en el banco de pruebas en la nube.
   2. Crear ataques UDP Flood y SYN Flood usando hosts multi-virtuales para atacar servidores asignados.
   3. Mantén el tráfico de ataque alrededor del 30% del rendimiento de la red.
   4. Lleva un seguimiento de las estadísticas de la red (velocidad de transmisión, duración de sesión, frecuencia de acceso al puerto, conexiones anormales).
   5. Mide error de detección, falsos positivos y tiempo medio de respuesta del sistema.

Results

Validación experimental y análisis del rendimiento

Validación basada en la nube

Para probar la eficiencia y viabilidad del algoritmo propuesto, se realizaron pruebas de simulación en un entorno de laboratorio de red controlado. La verificación se realizó en el sistema operativo Windows, y el algoritmo central está codificado en herramientas de programación VC (Visual C++).

Discussion

Un despliegue efectivo de este protocolo depende de pasos críticos dentro de la arquitectura basada en la nube. La configuración adecuada del controlador Ryu OpenFlow, la correcta configuración de las reglas Open vSwitch y la formación robusta de una topología multicapa son esenciales para asegurar la captura completa del tráfico. La elección de Ryu como controlador y Open vSwitch como plataforma de conmutación fortalece significativamente el valor práctico del sistema; Sus característic...

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
AdaBoost (Biblioteca de Aprendizaje en Conjunto)	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.AdaBoostClassifier.html	Software
Clasificador de embolsas	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.BaggingClassifier.html	Software
Código de Evaluación de Confianza de Modelos en la Nube	Implementación personalizada	N/A	Algoritmo/Software
Red Neuronal Convolucional (CNN)	TensorFlow / PyTorch	https://www.tensorflow.org/tutorials/images/cnn	Software
Marcos de Aprendizaje Profundo (MLP, RNN, LSTM, GRU)	TensorFlow / PyTorch		Software
Simulador de Red EstiNet	EstiNet Technologies	https://sites.google.com/view/estinet-network-simulator	Software
Kafka (Plataforma de Transmisión de Datos)	Fundación Apache	https://kafka.apache.org/	Software
Conjunto de datos KDD CUP 10%	Repositorio de Aprendizaje Automático UCI	http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html	Conjunto de datos
Emulador Mininet	Proyecto Mininet	Mininet 2.3.1	Emulación de red para topología SDN, ancho de banda y simulación de ataques mixtos.
VSwitch abierto (OVS)	Open vSwitch Org	OVS 3.2.2	Conmutador virtual que implementa control por tabla de flujo y redirección de tráfico de ataque.
Plataforma de Nube OpenStack	Fundación de Infraestructura Abierta	https://www.openstack.org/	Software en la nube
Python 3.x	Fundación de Software Python	https://www.python.org/downloads/	Lenguaje de programación
Controlador SDN de Ryu	NTT R& D	Ryu 4.34	Controlador SDN para captura de tráfico de red en tiempo real y conciencia situacional.
Marco de Streaming Spark	Fundación Apache	https://spark.apache.org/docs/latest/streaming-programming-guide.html	Software
Compilador Visual C++ (VC++)	Microsoft	https://visualstudio.microsoft.com/	Software
Estación de trabajo Windows 11	Microsoft	Windows 11 Pro 23H2	El sistema operativo se utiliza para compilación, entrenamiento y pruebas de modelos.