Utilisation d’algorithmes d’apprentissage automatique adaptatif pour l’alerte aux risques liés à l’information et la sensibilisation aux scénarios de sécurité réseau dans les environnements de cloud computing

Summary

L’article propose une solution novatrice basée sur l’apprentissage automatique (ML) pour la sécurité des réseaux adaptatifs dans un système cloud qui intègre une classification hiérarchique multi-étiquettes et un système dynamique d’évaluation de la confiance afin d’améliorer la précision de la détection des menaces et de réduire le nombre de faux positifs.

Abstract

Cette étude propose un cadre novateur pour la conscience situationnelle et l’alerte des risques en sécurité réseau dans les environnements de cloud computing, intégrant l’apprentissage automatique adaptatif (ML), la classification hiérarchique multi-étiquettes (HMC) et un mécanisme dynamique d’évaluation de la confiance basé sur le modèle cloud. La complexité, la diversité et la nature en temps réel des cyberattaques émergentes — telles que les exploits zero-day, le déni de service distribué (DDoS) et les botnets — posent des défis majeurs aux méthodes traditionnelles de détection statique et basées sur des règles. Pour relever ces défis, nous avons développé une architecture cloud efficace basée sur SDN utilisant le contrôleur Ryu OpenFlow et les commutateurs OpenFlow. Cette architecture permet la collecte en temps réel des informations sur les liaisons, la planification dynamique et la transmission de données évolutive et fiable. Le cadre de classification hiérarchique suggéré peut diviser les problèmes multiclasses en tâches binaires, atténuant l’effet du déséquilibre d’échantillon et améliorant la reconnaissance des attaques à basse fréquence, y compris User to Root (U2R). Les techniques d’apprentissage en ensemble, incluant AdaBoost et Bagging, améliorent encore la précision de détection pour les types d’attaques très précis. Des expériences menées sur des ensembles de données DDoS, des données de trafic cloud et des simulations dans Mininet et EstiNet démontrent que l’approche combinée ML-HMC-trust améliore significativement la précision de la détection, réduit les faux positifs et permet une réponse en temps réel. Ces résultats confirment que l’intégration de l’apprentissage adaptatif, de la classification hiérarchique et de l’évaluation dynamique de la confiance offre une solution robuste et évolutive pour sécuriser des plateformes cloud à grande échelle.

Introduction

Avec l’application généralisée de la technologie de cloud computing dans divers secteurs, l’échelle et la quantité de données dans les systèmes d’information augmentent rapidement, et les menaces réseau deviennent plus complexes, cachées et^{dynamiques 1,2}. Les mécanismes de défense de sécurité traditionnels, basés sur des règles et des modèles statiques, ne sont plus capables de répondre aux exigences de détection en temps réel avec une alerte précoce précise face à des stratégies d’attaque changeantes, des vulnérabilités zero-day et des attaques distribuées à grande^{échelle 3}. Par conséquent, tirer parti des algorithmes d’apprentissage automatique adaptatif pour intégrer pleinement les capacités de traitement distribué des données et d’analyse intelligente au sein des plateformes d’informatique cloud afin d’obtenir une perception globale de la situation de sécurité réseau et un avertissement précoce efficace des risques informationnels représente un défi crucial dans le paysage actuel de la sécurité de^{l’information 4}. Cette recherche revêt non seulement une importance théorique importante pour améliorer le système de protection de sécurité existant, mais offre également un solide soutien pour garantir la sécurité de l’infrastructure nationale clé de l’information et des données centrales^{de l’entreprise 5}.

Il existe de multiples défis pour réaliser la connaissance de la situation de sécurité réseau et l’alerte aux risques d’information dans un environnement cloud computing : les types de données agrégés sur la plateforme cloud sont nombreux et les sources complexes, rendant le prétraitement des données, l’extraction de fonctionnalités et les tâches de fusion de plus en plus ardues ; Face à l’augmentation du trafic réseau et aux scénarios d’attaque en rapide évolution, le système doit répondre en très peu de temps, et la détection et l’alerte en temps réel sont devenues des goulots d’étranglement techniques ; la quantité de trafic normal est très différente de celle du trafic d’attaque, et les algorithmes traditionnels ont une faible précision lors du traitement de petites catégories d’échantillons (comme U2R, attaques réseau, etc.), ce qui présente un grand risque de mauvaise estimation ; Dans un environnement réseau complexe, les relations de confiance sont affectées par plusieurs facteurs et sont aléatoires et incertaines ^6,7. Les méthodes traditionnelles d’évaluation de la confiance basées sur des seuils fixes sont difficiles à refléter dans la réalité et sont facilement perturbées par des données anormales. Pour répondre à ces limites multidimensionnelles, cette recherche présente un cadre intégré qui synergise l’apprentissage automatique adaptatif, la classification hiérarchique multi-étiquettes et un mécanisme dynamique d’évaluation de confiance basé sur un modèle cloud. Cette fusion de techniques appliquées dans un environnement cloud piloté par SDN va au-delà du simple raffinement incrémental en permettant une reconnaissance fine des attaques basse fréquence, une adaptation de confiance en temps réel et une conscience situationnelle évolutive, ce que les méthodes existantes n’ont pas encore permis simultanément.

Les environnements de cloud computing générent un trafic réseau massif, très dynamique et hétérogène, rendant les systèmes traditionnels de détection d’intrusion (IDS) incapables d’identifier avec précision les types d’attaques sophistiqués et minoritaires tels que U2R et R2L. Les solutions IDS existantes basées sur l’apprentissage profond (DL) améliorent la précision de la détection mais souffrent toujours d’une forte surcharge de calcul, d’une réponse en temps réel lente et d’une mauvaise gestion des relations de confiance incertaines ou évolutives entre entités réseau. De plus, la plupart des modèles actuels fonctionnent comme des classificateurs plats et manquent de mécanismes pour une prise de décision hiérarchique fine ou une évaluation dynamique de la confiance. Ces limitations créent une lacune critique dans le développement d’un IDS capable d’assurer simultanément une détection en temps réel, une reconnaissance précise des classes minoritaires et une évaluation fiable des risques conscientes de la confiance dans des environnements cloud à grande échelle.

Dans les recherches existantes sur la conscience de la situation de sécurité réseau et l’alerte aux risques d’information, de nombreuses études utilisent des méthodes telles que K-nearest neighbor (KNN) et la machine à vecteurs de support (SVM) pour classifier et détecter le trafic réseau. Ces algorithmes présentent les avantages d’une grande efficacité de calcul et d’une implémentation facile, notamment lors d’un criblage préliminaire de grandes quantités de^{données 8,9}. Cependant, leurs principales lacunes se reflètent dans plusieurs aspects : face à la plupart du trafic normal et à un petit nombre d’échantillons d’attaques dans un environnement cloud, ces méthodes traditionnelles d’apprentissage automatique ignorent souvent les informations de quelques catégories, ce qui entraîne de faibles taux de reconnaissance pour des attaques fines (telles que U2R, attaques de vulnérabilité réseau, etc.) ; Les modèles individuels sont généralement sensibles au bruit et aux valeurs aberrantes de données, manquent de capacité à s’adapter à des scénarios d’attaque dynamiquement changeants, et sont sujets au surapprentissage ou à une généralisation^{insuffisante 10,11}.

Ces dernières années, les méthodes DL telles que le perceptron multi-couches (MLP), le CNN, le réseau de neurones récurrents (RNN), le réseau de mémoire longue et courte durée (LSTM) et l’unité récurrente à portes (GRU) ont été de plus en plus appliquées dans le domaine de la sécurité des réseaux. Grâce aux puissantes capacités d’apprentissage des caractéristiques et de cartographie non linéaire des réseaux de neurones profonds, ces méthodes ont considérablement amélioré la précision de la détection et la capacité de capturer des comportements d’attaque complexes par rapport au ML¹² traditionnel. Cependant, ils ont des exigences élevées en matière de ressources informatiques et de données d’entraînement. Surtout dans le contexte du trafic de big data en environnements de cloud computing, il reste encore une marge de progression en termes de surcharge d’entraînement et de vitesse d’inférence en temps réel. Lors de l’identification des classes avec peu d’échantillons, en raison d’un déséquilibre de données, les modèles DL ont de faibles taux de détection pour certaines attaques fines (comme U2R, botnets) en raison du biais de classe¹³. Pour compenser les limites d’un seul modèle dans la gestion du déséquilibre des données et de l’identification des attaques multiclasses, certaines études ont proposé des solutions basées sur l’apprentissage par ensemble, telles que le Bagging et le Boosting, qui élargissent la précision globale des prédictions en combinant les décisions de plusieurs^{classificateurs 14}. Parallèlement, l’architecture de classification multiclasse hiérarchique (HMC) décompose le problème de classification multiclasse en sous-problèmes de classification binaire multiple, permettant ainsi une reconnaissance plus affinée pour les classes avec moins d’échantillons. Cependant, les modèles intégrés rencontrent souvent des problèmes tels qu’une forte utilisation des ressources informatiques et un temps de réponse accru lors du déploiement, notamment dans les systèmes de surveillance en temps réel de l’informatique en cloud, où les exigences en temps réel augmentent la pression sur les ressources système¹⁵.

En réponse au problème de l’évaluation dynamique des relations de confiance dans le réseau, certaines études ont introduit la théorie des modèles de nuages, qui construit un nuage d’affiliation de confiance en décrivant le flou et l’aléatoire des attributs de confiance de chaque entité, puis utilise les gouttelettes de nuage, l’entropie, la super-entropie et d’autres indicateurs pour l’évaluation^{quantitative 16}. Face à des données de confiance réseau mises à jour en temps réel, le taux de mise à jour et l’efficacité computationnelle des méthodes existantes du modèle cloud peuvent avoir du mal à répondre aux exigences d’alerte dynamique haute fréquence ; Le modèle est très sensible aux données d’évaluation, et des données anormales ou des informations bruyantes peuvent interférer significativement avec l’évaluation globale de la confiance, affectant les décisions ultérieures d’alerte aux risques.

Compte tenu des nombreuses lacunes de la recherche actuelle en matière de précision de détection, de performance en temps réel, de traitement de l’équilibre des données et d’évaluation de la confiance, cet article propose un nouveau système de défense qui utilise de manière globale des algorithmes d’apprentissage automatique adaptatif, des stratégies de classification multiclasses hiérarchique et l’évaluation de la confiance des modèles cloud pour la conscience de la situation de sécurité réseau et l’alerte aux risques d’information dans les environnements^{de cloud computing 17}.

La recherche aborde la cybersécurité en temps réel pour les réseaux navals intelligents en tirant parti de la technologie de cloud^{computing 18}. Il suggère un cadre multi-nœuds pour examiner les données à la recherche d’attaques malveillantes et utilise des nœuds de stratégie de protection auto-exécutables pour intercepter les menaces. Les résultats démontrent une détection d’intrusion et un taux de défense de virus de 85 à 95 %, ainsi qu’un taux de faux positifs de 2,56 %, surpassant nettement les autres algorithmes. Cependant, cette approche nécessite des ressources informatiques élevées et des restrictions d’infrastructure cloud dans le déploiement pratique. Aslan et ^al.19 fournissent un système intelligent de détection de logiciels malveillants basé sur le comportement dans un environnement de cloud computing. Il a produit un ensemble de données de malwares à travers des machines virtuelles et a utilisé certaines fonctionnalités avec des agents de détection basés sur l’apprentissage et les règles pour classer les malwares et les échantillons bénins. L’évaluation sur 10 000 échantillons de programme a montré une performance élevée avec un taux de détection et un FPR améliorés. Néanmoins, la méthode présentait des problèmes de scalabilité avec des variantes de malwares en constante évolution et des déploiements cloud à grande échelle et en temps réel.

Malgré les contributions significatives de ces études, une comparaison plus détaillée révèle que la majorité des solutions existantes ne répondent pas aux hypothèses et exigences de la conscience de situation en temps réel ou du modèle de confiance dynamique dans les environnements cloud. Les techniques conventionnelles d’apprentissage automatique supposent des limites de caractéristiques fixes dans l’espace et échouent en cas de déséquilibre de classe et de dynamiques de trafic^{très dynamiques 8,9,10}. Les modèles DL sont associés à d’excellentes capacités d’extraction de caractéristiques mais consomment une grande puissance de calcul, ce qui rend le processus d’inférence lent et peu pratique en surveillance en^{temps réel 12,13}. Les approches d’ensemble et basées sur le HMC sont plus précises, mais nécessitent encore plus de latence et de ressources, et ne sont actuellement pas déployées dans des nuages à grande^{échelle 14,15}. Par ailleurs, les techniques d’évaluation de la confiance du modèle cloud captent bien l’incertitude mais restent très sensibles aux données bruitées et ne peuvent pas mettre à jour efficacement les valeurs de confiance sous les flux d’attaque à haute^{fréquence 16, 17, 18, 19}. Même les frameworks IDS récents basés sur le cloud manquent de support robuste et intégré à la fois pour la détection en temps réel et la prise de décision consciente de la^{confiance 20,21}. Ces restrictions soulignent collectivement la nécessité d’un cadre de détection d’intrusion efficace, unifié et habilité par la confiance. Cette recherche surmonte ces limites en intégrant l’évaluation dynamique de la confiance basée sur le modèle adaptatif ML, HMC et le modèle cloud dans une architecture cloud compatible SDN, permettant la détection en temps réel, une meilleure précision des classes minoritaires et une évaluation des risques consciente de l’incertitude.

Les innovations de cet article se reflètent principalement dans les aspects suivants : une architecture réseau distribuée efficace basée sur le contrôleur Ryu OpenFlow et le commutateur OpenFlow est construite pour permettre la collecte en temps réel et la planification dynamique des informations de liens, améliorant ainsi considérablement l’efficacité et le traitement de la transmission des données.

Compte tenu des difficultés posées par le déséquilibre des données et l’identification des attaques par peu d’échantillons, un cadre HMC descendant est conçu, et des méthodes d’apprentissage intégrées telles que AdaBoost et Bagging sont introduites pour améliorer significativement la précision de détection des catégories d’attaques à grain précis.

La théorie du modèle cloud est utilisée pour construire un cloud d’affiliation de confiance. Grâce au générateur inverse et au calcul de similarité, l’évaluation dynamique du statut de confiance de chaque entité du réseau est réalisée, fournissant une base quantitative pour l’alerte aux risques et supprimant efficacement la spéculation de crédit causée par des transactions anormales à bas ou hauts prix.

Protocol

REMARQUE : Ce protocole décrit comment construire un système de sécurité réseau basé sur le cloud et mettre en œuvre une classification hiérarchique avec une évaluation dynamique de la confiance. Suivez les étapes ci-dessous pour concevoir la topologie du réseau cloud, collecter et annoter les flux de données, et déployer les modules hiérarchiques de classification multiclasse et d’évaluation de confiance. La figure 1 illustre le cadre SDN-cloud proposé intégrant l’apprentissage automatique adaptatif, la classification hiérarchique et l’évaluation de la confiance pour la détection d’attaques en temps réel.

1. Conception de topologie de réseau cloud

REMARQUE : Assurez-vous d’avoir accès administrateur à OpenStack, Ryu et Mininet avant de procéder.

1. Déploie le système sur une plateforme cloud construite par OpenStack. Utilisez la technologie de virtualisation pour créer plusieurs hôtes virtuels et configurez un environnement réseau défini par logiciel (SDN) pour la gestion unifiée des ressources et la planification isolée.
2. Déploie et configure Ryu et Open vSwitch (OVS) pour fonctionner avec le contrôle SDN et la gestion du trafic.
3. Construisons une topologie à trois couches où le contrôleur Ryu est le cœur et les commutateurs OVS sont les nœuds de transmission, composée d’une couche de contrôle, d’une couche de transmission réseau et d’une couche de service de données.
   1. Configuration de la couche de contrôle : implémentez un contrôleur SDN centralisé avec Ryu. Activez la surveillance de l’état réseau en temps réel en utilisant l’API REST de Ryu et connectez-la au module de détection de sécurité pour répondre rapidement au trafic anormal.
   2. Configuration de la couche de transfert réseau : Configurez plusieurs nœuds de commutation virtuels OVS avec des hôtes virtuels et des passerelles externes. Définissez des politiques de table de flux sur OVS pour permettre des changements dynamiques de chemin, la séparation du trafic et la redirection du flux lorsque le trafic d’attaque est détecté.
   3. Configuration de la couche de service de données : Configurez plusieurs hôtes virtuels sur la plateforme OpenStack. Créer des machines virtuelles agissant comme serveurs web, de bases de données et de fichiers pour générer un trafic de données réaliste et supporter les flux d’attaque injectés.
4. Ajoutez plusieurs valeurs de saut et différents chemins. Simulez des conditions hétérogènes de bande passante et de latence réseau en utilisant la commande Mininet.
5. Installez Mininet pour déployer et simuler la topologie. Isoler les locataires, la segmentation des sous-réseaux et les listes de contrôle d’accès (ACL) à l’aide de la CLI Mininet.
6. Vérifiez la configuration pour garantir que la topologie facilite la capture du trafic en temps réel et a une intégration directe avec le module de détection.
7. Enregistrez l’architecture système complète (Figure 2) et la topologie (Figure 3) avec toutes les interconnexions entre les couches et le flux d’informations.

2. Stratégie de collecte et d’annotation des flux de données

ATTENTION : Veillez à respecter les réglementations sur la confidentialité des données (par exemple, le RGPD, les politiques locales de cybersécurité). Pré-anonymiser les identifiants utilisateurs et les adresses IP.

1. Installez de petits agents de collecte de données sur chaque hôte virtuel et nœud réseau. Configurez chaque agent pour examiner en permanence le trafic réseau, les journaux système et les informations comportementales des utilisateurs.
2. Installez Kafka (v3.5) en file d’attente de données et Apache Spark streaming (v3.4) pour traiter les données en flux en temps réel. Configurez le débit de Kafka à 10 000 événements/s ou plus et l’intervalle micro-batch de Spark à 500 ms ou moins.
3. Traiter les données collectées séquentiellement comme suit :
   1. Nettoyez les données pour éliminer les doublons, les enregistrements incomplets et le bruit. Filtrez les paquets invalides en vérifiant les en-têtes de protocole.
   2. Normaliser les attributs numériques à une plage standard [0,1] en utilisant la normalisation min-max pour une mise à l’échelle cohérente des caractéristiques.
   3. Extraire des caractéristiques importantes, y compris les IP source/destination, les ports, le type de protocole, le nombre de paquets, le nombre d’octets, le délai de transfert et les mesures de variation du trafic.
4. Alimentez le jeu de données traité dans le module de détection assistée par IA pour entraîner et valider.
5. Établir un système de double annotation pour un étiquetage précis des données :
   1. Créez une bibliothèque de modèles d’attaque. Identifier les schémas d’attaque courants (par exemple, balayage de ports, inondation SYN, DoS, U2R) grâce à la correspondance de motifs basée sur des règles.
   2. Vérifiez manuellement les échantillons ambigus pour maintenir la cohérence de l’étiquetage.
6. Utilisez des ensembles de données de référence établis tels que CIC-IDS2017 et NSL-KDD pour la validation croisée. Alignez les étiquettes pour maintenir ≥ 90 % de cohérence entre annotateurs.
7. Effectuer de l’ingénierie des caractéristiques pour construire des vecteurs d’entrée structurés. Encodez les hiérarchies d’attaque en fonction de définitions de catégories multi-niveaux.
8. Divisez les ensembles de données en 80 % d’entraînement et 20 % de tests.

3. Classification hiérarchique et architecture intégrée d’évaluation de la confiance

1. Construisez une architecture de perception intelligente intégrant la classification multiclasse hiérarchique (HMC) et un mécanisme dynamique d’évaluation de la confiance (Figure 4).
2. Mettre en œuvre le module HMC selon une stratégie « grossière à fine » :
   1. Utilisez des fonctionnalités de connexion légères (par exemple, fréquence, distribution de port, type de protocole) pour classer le trafic en catégories « normales » et « anormales ».
   2. Pour le trafic « anormal », effectuer une classification de second niveau en catégories d’attaque telles que DDoS, U2R, R2L et Probe en utilisant des caractéristiques statistiques de niveau intermédiaire telles que l’intervalle de paquets et la taille de la charge utile.
   3. Identifier des sous-types précis (par exemple, TCP SYN Flood, SQL Injection, Brute Force Attack) en analysant les signatures d’attaque et les attributs cibles.
3. Optimisez le module de classification.
   1. Appliquez les méthodes d’apprentissage d’ensemble AdaBoost et Bagging, en construisant 5 à 8 classificateurs faibles à chaque niveau hiérarchique (par exemple, arbre de décision, régression logistique).
   2. Combinez les résultats des classificateurs en utilisant un vote majoritaire pondéré basé sur les scores de précision.
4. Implémentez le module d’évaluation dynamique de la confiance en utilisant la théorie du modèle cloud :
   1. Gardez un contrôle constant des indicateurs comportementaux de l’hôte, par exemple la stabilité passée, la fréquence de communication et la variation des cibles d’accès.
   2. Inclure la crédibilité des résultats du modèle dans le calcul de la confiance. Estimez le score de confiance réel (0 à 1) à l’aide des paramètres d’espérance (Ex), d’entropie (En) et d’hyper-entropie (He).
5. Configurez le mécanisme de rétroaction de liaison entre HMC et modules de confiance.
   1. Systèmes d’ordonnancement automatique basés sur des valeurs de confiance : isolez les hôtes avec ≤ de confiance 0,3 et réduisez les privilèges des hôtes ayant une confiance 0,3-0,6.
   2. Réentraîner le classificateur avec des données hôtes avec un ≥ de confiance 0,8 afin d’augmenter la détection et la flexibilité face aux attaques inconnues.
6. Testez la capacité de réponse à jour zéro. Injectez du trafic malveillant non étiqueté et confirmez que les alertes et l’isolement sont déclenchés dans les 10 minutes.

4. Calcul et mise en œuvre du modèle de nuage de confiance (Figure 5)

1. Génération standard de cloud de confiance :
   1. Divisez les valeurs de confiance en n niveaux distincts (par exemple, « Faible », « Moyen », « Élevé », « Très bas » et « Très élevé »).
   2. Calculez l’espérance (Ex_k) pour le niveau k à partir de la moyenne des évaluations de confiance pour les entités de ce niveau à l’aide de l’équation 1 :
      
      où T_ik représente les valeurs de confiance individuelles des entités classées sous le niveau de confiance_{L k}.
   3. Calculez l’entropie (En_k) pour quantifier le flou des valeurs de confiance au niveau L_k à l’aide de l’équation 2 :
      
      où α est une constante qui contrôle le niveau de flou.
   4. Calculons l’hyper-entropie (He_k) à l’aide de l’équation 3 pour quantifier l’instabilité de l’entropie au fil du temps :
      
      où β est un paramètre qui ajuste le niveau d’incertitude.
   5. Sortez l’ensemble des nuages de confiance standards C_{1,C 2},...,_{C n} correspondant aux n niveaux de confiance.
2. Génération inverse de cloud d’attributs de confiance :
   1. Normaliser les attributs de confiance d’entrée A_i à la plage [0,1] en utilisant l’équation 4 :
      
      Appliquez une analyse statistique pour estimer les paramètres correspondants du modèle de nuages (Ex, En, He) pour chaque attribut normalisé A_i'.
      Générez le cloud d’attribut de confiance C_i pour chaque attribut.
3. Évaluation complète de la fiducie :
   1. Calculez les propriétés numériques du nuage de confiance composite (Ex_com,_{En com}, He_com) à l’aide d’une synthèse pondérée (Équations 5-7) :
      
      
      
      où
   2. Calculez la similarité entre le nuage de confiance actuel C_i et un nuage_{C k} standard à l’aide de l’équation 8 :
      
      Déterminez le niveau de confiance final L^* en trouvant la similarité maximale à l’aide de l’équation 9 :
      
4. Mise à jour de confiance dynamique
   1. Mettez à jour la valeur de confiance pour refléter l’évolution dans le temps en utilisant le modèle de désintégration temporelle dans l’équation 10 :
      
      où λ∈[0,1] contrôle la pondération de la confiance récente par rapport à celle historique.
   2. Appliquer le mécanisme de pénalité de fiducie si des écarts spécifiques surviennent. Calculez la déviation (ΔA) et le facteur de pénalité_(pénalité P) à l’aide des équations 11 et 12 :
      
      
   3. Calculez la valeur de confiance mise à jour à l’aide de l’équation 13 :
      

5. Validation expérimentale de la performance de détection d’attaque

1. Configurez l’environnement expérimental et préparez le jeu de données.
   1. Utilisez une station de travail Windows 11 équipée d’outils Visual C++ pour la compilation et les tests d’algorithmes.
   2. Obtenez l’ensemble de données KDDCUP_10 % auprès de sources vérifiées et prétraitez-le en suivant les directives institutionnelles de protection des données.
   3. Définir les paramètres de l’algorithme : intervalle de temps T = 10s, rondes d’échantillonnage h = 20, et échantillons de données n = 1000.
   4. Divisez les données en ensembles d’entraînement (80 %) et de tests (20 %) par échantillonnage stratifié.
2. Validez la performance de classification binaire.
   1. Effectuer une validation croisée en 5 fois pour la fiabilité.
   2. Entraînez et testez huit classificateurs : Arbre de décision (DT), Naive Bayes (NB), Forêt aléatoire (RF), K-Voisin le plus proche (KNN), Boosting adaptatif (AdaBoost), Machine à vecteurs de support (SVM), Sagging et Gradient Boosting.
   3. Exécutez 100 époques par modèle et enregistrez la précision, la précision, le rappel et le score F1.
3. Validez la performance de la classification multiclasse.
   1. Des classificateurs de train pour détecter DDoS, U2R, R2L, Probe et le trafic normal.
   2. Implémenter cinq architectures DL (MLP, CNN, GRU, RNN et LSTM) en utilisant les paramètres spécifiés dans le Tableau 1.
   3. Comparez les performances à l’aide de courbes de rappel précis et de matrices de confusion pour chaque classe.
4. Validez l’algorithme HMC.
   1. Mettez en place HMC avec AdaBoost et Sagging comme stratégies d’ensemble.
   2. Décomposer les problèmes multiclasses en sous-classifications binaires par logique hiérarchique.
   3. Comparez les résultats avec les modèles de référence pour les types d’attaques minoritaires (U2R, R2L).
5. Implémentez la simulation d’attaque.
   1. Déploie le modèle entraîné de détection de confiance sur le banc d’essai cloud.
   2. Créer des attaques UDP Flood et SYN Flood en utilisant des hôtes multi-virtuels pour cibler les serveurs assignés.
   3. Gardez le trafic d’attaque autour de 30 % du débit réseau.
   4. Suivez les statistiques du réseau (débit de transmission, durée de session, fréquence d’accès aux ports, connexions anormales).
   5. Mesurer l’erreur de détection, les faux positifs et le temps moyen de réponse du système.

Results

Validation expérimentale et analyse de performance

Validation basée sur le cloud

Pour tester l’efficacité et la faisabilité de l’algorithme proposé, des tests de simulation ont été réalisés dans un laboratoire en réseau contrôlé. La vérification a été effectuée sur le système d’exploitation Windows, et l’algorithme de base est codé dans des outils de programmation VC (Visual C++).

Discussion

Un déploiement efficace de ce protocole repose sur des étapes critiques au sein de l’architecture basée sur le cloud. Une configuration correcte du contrôleur OpenFlow de Ryu, une configuration correcte des règles OpenvSwitch et la formation robuste d’une topologie multi-couches sont essentielles pour garantir une capture complète du trafic. Le choix de Ryu comme contrôleur et d’Open vSwitch comme plateforme de commutation renforce considérablement la valeur pratique du système ; Leurs c...

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
AdaBoost (Bibliothèque d’apprentissage en ensemble)	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.AdaBoostClassifier.html	Logiciels
Classificateur de sachage	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.BaggingClassifier.html	Logiciels
Code d’évaluation de confiance du modèle cloud	Implémentation personnalisée	N/A	Algorithme/Logiciel
Réseau de neurones convolutionnel (CNN)	TensorFlow / PyTorch	https://www.tensorflow.org/tutorials/images/cnn	Logiciels
Cadres d’apprentissage profond (MLP, RNN, LSTM, GRU)	TensorFlow / PyTorch		Logiciels
Simulateur de réseau EstiNet	EstiNet Technologies	https://sites.google.com/view/estinet-network-simulator	Logiciels
Kafka (plateforme de diffusion de données)	Fondation Apache	https://kafka.apache.org/	Logiciels
Jeu de données KDD CUP 10 %	Dépôt d’apprentissage automatique UCI	http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html	Jeu de données
Émulateur Mininet	Projet Mininet	Mininet 2.3.1	Émulation réseau pour la topologie SDN, la bande passante et la simulation d’attaques mixtes.
Open vSwitch (OVS)	Open vSwitch Org	OVS 3.2.2	Commutateur virtuel implémentant le contrôle par table de flux et la redirection du trafic d’attaque.
Plateforme CloudStack Cloud	Fondation Open Infrastructure	https://www.openstack.org/	Logiciels cloud
Python 3.x	Fondation Python Software	https://www.python.org/downloads/	Langage de programmation
Contrôleur SDN Ryu	NTT R& D	Ryu 4.34	Contrôleur SDN pour la capture en temps réel du trafic réseau et la connaissance de la situation.
Cadre de diffusion Spark	Fondation Apache	https://spark.apache.org/docs/latest/streaming-programming-guide.html	Logiciels
Compilateur Visual C++ (VC++)	Microsoft	https://visualstudio.microsoft.com/	Logiciels
Station de travail Windows 11	Microsoft	Windows 11 Pro 23H2	OS utilisé pour la compilation, l’entraînement et les tests de modèles.