Utilizzo di algoritmi di machine learning adattivo per l'allerta di rischio informativo e la consapevolezza degli scenari di sicurezza di rete negli ambienti di cloud computing

Summary

L'articolo propone una soluzione innovativa basata su Machine Learning (ML) per la sicurezza di rete adattiva in un sistema cloud che integra la classificazione gerarchica multi-etichetta e un sistema dinamico di valutazione della fiducia per migliorare l'accuratezza del rilevamento delle minacce e ridurre il numero di falsi positivi.

Abstract

Questo studio propone un nuovo quadro per la consapevolezza situazionale della sicurezza di rete e l'allerta dei rischi negli ambienti di cloud computing, integrando Machine Learning (ML) adattivo, Hierarchical Multi-Label Classification (HMC) e un meccanismo dinamico di valutazione della fiducia basato sul modello cloud. La complessità, la diversità e la natura in tempo reale degli attacchi informatici emergenti — come gli exploit zero-day, il distributed denial-of-service (DDoS) e le botnet — rappresentano sfide significative ai metodi tradizionali di rilevamento statico e basati su regole. Per affrontare queste sfide, abbiamo sviluppato un'efficace architettura cloud basata su SDN utilizzando il controller Ryu OpenFlow e gli switch OpenFlow. Questa architettura consente la raccolta in tempo reale delle informazioni sui collegamenti, la programmazione dinamica e la trasmissione di dati scalabile e affidabile. Il framework di classificazione gerarchica suggerito può suddividere i problemi multiclass in compiti binari, alleviando l'effetto dello squilibrio del campione e migliorando il riconoscimento degli attacchi a bassa frequenza, incluso User to Root (U2R). Le tecniche di apprendimento in ensemble, tra cui AdaBoost e Bagging, migliorano ulteriormente la precisione di rilevamento per tipi di attacco a grana fine. Esperimenti condotti su dataset DDoS, dati di traffico cloud e simulazioni in Mininet ed EstiNet dimostrano che l'approccio combinato ML-HMC-trust migliora significativamente la precisione della rilevazione, riduce i falsi positivi e consente una risposta in tempo reale. Questi risultati confermano che l'integrazione dell'apprendimento adattivo, della classificazione gerarchica e della valutazione dinamica della fiducia offre una soluzione robusta e scalabile per la sicurezza di piattaforme cloud su larga scala.

Introduction

Con l'ampia applicazione della tecnologia cloud computing in vari settori, la scala e la quantità di dati nei sistemi informativi stanno aumentando rapidamente, e le minacce di rete stanno diventando più complesse, nascoste e^{dinamiche 1,2}. I meccanismi tradizionali di difesa di sicurezza basati su regole e modelli statici non sono più in grado di soddisfare i requisiti di rilevamento in tempo reale con un accurato allarme precoce di fronte a strategie di attacco in cambiamento, vulnerabilità zero-day e attacchi distribuiti su larga^{scala 3}. Pertanto, sfruttare algoritmi di ML adattivo per integrare pienamente le capacità di elaborazione dati distribuite e analisi intelligenti all'interno delle piattaforme di cloud computing, al fine di ottenere una percezione completa della situazione della sicurezza di rete e un efficace allerta precoce dei rischi informativi rappresenta una sfida critica nell'attuale panorama della sicurezza^{informatica 4}. Questa ricerca non solo ha un importante significato teorico per il miglioramento del sistema di protezione della sicurezza esistente, ma offre anche un forte supporto per garantire la sicurezza dell'infrastruttura informativa nazionale chiave e dei dati centrali^{aziendali 5}.

Ci sono molteplici sfide nel realizzare la consapevolezza della situazione della sicurezza di rete e l'allarme di rischio informativo in un ambiente di cloud computing: i tipi di dati aggregati nella piattaforma cloud sono numerosi e le sorgenti sono complesse, rendendo la preelaborazione dei dati, l'estrazione di funzionalità e i compiti di fusione sempre più ardui; Di fronte all'aumento del traffico di rete e agli scenari di attacco in rapido cambiamento, il sistema è tenuto a rispondere in tempi molto brevi, e il rilevamento e l'avviso in tempo reale sono diventati colli di bottiglia tecnici; la quantità di traffico normale è molto diversa da quella del traffico d'attacco, e gli algoritmi tradizionali hanno bassa precisione nell'elaborazione di categorie di campioni piccoli (come U2R, attacchi di rete, ecc.), e c'è un alto rischio di errori di valutazione; In un ambiente di rete complesso, le relazioni di fiducia sono influenzate da molteplici fattori e sono casuali e^{incerte 6,7}. I metodi tradizionali di valutazione della fiducia basati su soglie fisse sono difficili da riflettere lo stato reale e sono facilmente interferiti da dati anomali. Per affrontare queste limitazioni multidimensionali, questa ricerca presenta un quadro integrato che sinergizza il machine learning adattivo, la classificazione gerarchica multi-etichetta e un meccanismo dinamico di valutazione della fiducia basato su modello cloud. Questa fusione di tecniche applicate all'interno di un ambiente cloud guidato da SDN va oltre il semplice raffinamento incrementale, consentendo un riconoscimento dettagliato di attacchi a bassa frequenza, l'adattamento della fiducia in tempo reale e una consapevolezza situazionale scalabile, che i metodi esistenti non hanno ancora raggiunto contemporaneamente.

Gli ambienti di cloud computing generano un traffico di rete massiccio, altamente dinamico ed eterogeneo, rendendo i sistemi tradizionali di rilevamento intrusioni (IDS) incapaci di identificare accuratamente tipi di attacco sofisticati e minoritari come U2R e R2L. Le soluzioni IDS esistenti basate su deep learning (DL) migliorano la precisione del rilevamento ma soffrono ancora di un alto sovraccarico computazionale, risposta in tempo reale lenta e scarsa gestione delle relazioni di fiducia incerte o in evoluzione tra entità di rete. Inoltre, la maggior parte dei modelli attuali funziona come classificatori piatti e manca di meccanismi per decisioni gerarchiche e finemente definite o per la valutazione dinamica della fiducia. Queste limitazioni creano una lacuna critica nello sviluppo di un IDS che possa offrire simultaneamente rilevamento in tempo reale, riconoscimento accurato delle classi minoritarie e valutazione affidabile del rischio consapevole della fiducia in ambienti cloud su larga scala.

Nelle ricerche esistenti sulla consapevolezza della situazione di sicurezza di rete e sull'allerta del rischio informativo, molti studi utilizzano metodi come K-nearest neighbor (KNN) e support vector machine (SVM) per classificare e rilevare il traffico di rete. Questi algoritmi hanno i vantaggi di un'elevata efficienza computazionale e una facile implementazione, specialmente durante lo screening preliminare di grandi quantità di^{dati 8,9}. Tuttavia, le loro principali carenze si riflettono in diversi aspetti: quando si trovano di fronte alla maggior parte del traffico normale e a un numero ridotto di campioni di attacco in un ambiente cloud, questi metodi tradizionali di ML spesso ignorano informazioni provenienti da alcune categorie, causando bassi tassi di riconoscimento per attacchi a grana fine (come U2R, attacchi a vulnerabilità di rete, ecc.); I singoli modelli sono solitamente sensibili a rumori e outlier di dati, non hanno la capacità di adattarsi a scenari di attacco dinamici e tendono a sovraattaccamento o a una generalizzazione^{insufficiente 10,11}.

Negli ultimi anni, metodi DL come Multi-Layer Perceptron (MLP), CNN, Recurrent Neural Network (RNN), Long Short-Term Memory Network (LSTM) e Gated Recurrent Unit (GRU) sono stati sempre più applicati nel campo della sicurezza di rete. Grazie alle potenti capacità di apprendimento delle caratteristiche e mappatura non lineare delle reti neurali profonde, questi metodi hanno migliorato significativamente la precisione del rilevamento e la capacità di catturare comportamenti di attacco complessi rispetto al tradizionale ML¹². Tuttavia, hanno requisiti elevati per risorse di calcolo e dati di addestramento. Soprattutto nel contesto del traffico big data negli ambienti di cloud computing, c'è ancora margine di miglioramento nella spesa di addestramento e nella velocità di inferenza in tempo reale. Quando si identificano classi con pochi campioni, a causa di uno squilibrio dei dati, i modelli DL hanno bassi tassi di rilevamento per alcuni attacchi a grana fine (come U2R, botnet) a causa del bias di classe¹³. Per compensare i limiti di un singolo modello nel gestire lo squilibrio dei dati e l'identificazione degli attacchi multiclasse, alcuni studi hanno proposto soluzioni basate sull'apprendimento in ensemble, come Bagging e Boosting, che ampliano l'accuratezza complessiva della previsione combinando decisioni su più^{classificatori 14}. Allo stesso tempo, l'architettura di Classificazione Multiclasse Gerarchica (HMC) scompone il problema della classificazione multiclasse in sotto-problemi di classificazione binaria multipla, ottenendo così un riconoscimento più raffinato per classi con meno campioni. Tuttavia, i modelli integrati spesso affrontano problemi come un alto utilizzo delle risorse di calcolo e un aumento dei tempi di risposta durante la implementazione, specialmente nei sistemi di monitoraggio in tempo reale del cloud computing, dove i requisiti in tempo reale aumentano la pressione sulle risorse di^{sistema 15}.

In risposta al problema della valutazione dinamica delle relazioni di fiducia nella rete, alcuni studi hanno introdotto la teoria dei modelli di nuvola, che costruisce una nube di affiliazione di fiducia descrivendo la fuzziness e la casualità degli attributi di trust di ciascuna entità, e poi utilizza gocce di nuvola, entropia, super entropia e altri indicatori per la valutazione^{quantitativa 16}. Quando si affrontano dati di fiducia di rete aggiornati in tempo reale, il tasso di aggiornamento e l'efficienza computazionale dei metodi esistenti del modello cloud possono trovare difficile soddisfare i requisiti di avviso dinamico ad alta frequenza; Il modello è altamente sensibile ai dati di valutazione e dati anomali o informazioni di rumore possono interferire significativamente con la valutazione complessiva della fiducia, influenzando le successive decisioni di allerta del rischio.

In considerazione delle numerose carenze della ricerca attuale in accuratezza del rilevamento, prestazioni in tempo reale, elaborazione del bilanciamento dei dati e valutazione della fiducia, questo articolo propone un nuovo sistema di difesa che utilizza in modo completo algoritmi di ML adattivo, strategie di classificazione gerarchica multiclass e valutazione della fiducia dei modelli cloud per la consapevolezza della situazione della sicurezza di rete e l'allerta del rischio informativo negli ambienti di cloud^{computing 17}.

La ricerca affronta la cybersecurity in tempo reale per le reti di navi intelligenti sfruttando la tecnologia di cloud^{computing 18}. Suggerisce un framework multi-sensore per esaminare i dati in caso di attacchi dannosi e utilizza nodi di strategia di protezione auto-eseguibili per intercettare le minacce. I risultati dimostrano un tasso di rilevamento e difesa dell'intrusione virus dell'85-95% e un tasso di falsi positivi del 2,56%, superando significativamente altri algoritmi. Tuttavia, l'approccio richiede elevate risorse computazionali e restrizioni sull'infrastruttura cloud per la implementazione pratica. Aslan et ^al.19 forniscono un sistema intelligente di rilevamento malware basato sul comportamento in un ambiente di cloud computing. Ha prodotto un dataset di malware su macchine virtuali e ha utilizzato funzionalità selezionate con agenti di rilevamento basati sull'apprendimento e su regole per classificare malware e campioni benigni. La valutazione su 10.000 campioni di programma ha mostrato alte prestazioni con tasso di rilevamento e FPR migliorati. Tuttavia, il metodo presentava problemi di scalabilità a causa di varianti malware in costante cambiamento e implementazioni cloud su larga scala e in tempo reale.

Nonostante i contributi significativi di questi studi, un confronto più dettagliato rivela che la maggior parte delle soluzioni esistenti non risponde alle assunzioni e ai requisiti della consapevolezza della situazione in tempo reale o del modello di fiducia dinamica negli ambienti basati sul cloud. Le tecniche ML convenzionali assumono confini di caratteristiche fissi nello spazio e falliscono nello squilibrio di classe e dinamiche del^{traffico altamente dinamiche 8,9,10}. I modelli DL sono associati a eccellenti capacità di estrazione delle caratteristiche ma consumano grande potenza di calcolo, il che rende il processo di inferenza lento e poco pratico nel monitoraggio in tempo^{reale 12,13}. Gli approcci basati su ensemble e HMC sono più accurati, ma richiedono ancora più latenza e risorse, e attualmente non sono distribuiti in grandi nuvole^14,15. Nel frattempo, le tecniche di valutazione della fiducia dei modelli cloud catturano bene l'incertezza ma rimangono altamente sensibili ai dati rumorosi e non possono aggiornare i valori di fiducia in modo efficiente sotto flussi di attacco ad alta^{frequenza 16, 17, 18, 19}. Anche i recenti framework IDS basati su cloud non hanno un supporto robusto e integrato sia per il rilevamento in tempo reale sia per il processo decisionale consapevole della^{fiducia 20,21}. Queste restrizioni sottolineano insieme la necessità di un sistema efficiente, unificato e abilitato dalla fiducia per il rilevamento delle intrusioni. Questa ricerca supera queste limitazioni integrando ML adattivo, HMC e valutazione dinamica della fiducia basata su modelli cloud all'interno di un'architettura cloud abilitata a SDN, consentendo il rilevamento in tempo reale, una maggiore accuratezza delle classi minoritarie e una valutazione del rischio consapevole dell'incertezza.

Le innovazioni di questo articolo si riflettono principalmente nei seguenti aspetti: è costruita un'architettura di rete distribuita efficiente basata sul controller Ryu OpenFlow e sull'interruttore OpenFlow per consentire la raccolta in tempo reale e la programmazione dinamica delle informazioni del collegamento, migliorando notevolmente l'efficienza della trasmissione dei dati e l'elaborazione.

In considerazione delle difficoltà poste dallo squilibrio dei dati e dall'identificazione degli attacchi con pochi campioni, viene progettato un framework HMC top-down e vengono introdotti metodi di apprendimento integrati come AdaBoost e Bagging per migliorare significativamente la precisione di rilevamento delle categorie di attacco a grana fine.

La teoria del modello cloud viene utilizzata per costruire una cloud di affiliazione fiduciaria. Attraverso il generatore inverso e il calcolo di similarità, si ottiene la valutazione dinamica dello stato di fiducia di ciascuna entità nella rete, fornendo una base quantitativa per l'allerta del rischio e sopprimendo efficacemente la speculazione creditizia causata da transazioni anomale a prezzi bassi o alti.

Protocol

NOTA: Questo protocollo descrive come costruire un sistema di consapevolezza situazionale basato su sicurezza di rete basato sul cloud e implementare una classificazione gerarchica con valutazione dinamica della fiducia. Segui i passaggi seguenti per progettare la topologia della rete cloud, raccogliere e annotare i flussi di dati e distribuire i moduli gerarchici di classificazione multiclasse e valutazione della fiducia. La Figura 1 illustra il framework SDN-cloud proposto che integra ML adattivo, classificazione gerarchica e valutazione della fiducia per il rilevamento degli attacchi in tempo reale.

1. Progettazione della topologia della rete cloud

NOTA: Assicurati l'accesso amministrativo a OpenStack, Ryu e Mininet prima di procedere.

1. Distribuisci il sistema su una piattaforma cloud costruita da OpenStack. Utilizzare la tecnologia di virtualizzazione per creare più host virtuali e configurare un ambiente di rete definita dal software (SDN) per la gestione unificata delle risorse e la pianificazione isolata.
2. Distribuisci e configura Ryu e Open vSwitch (OVS) per lavorare con il controllo SDN e la gestione del traffico.
3. Costruire una topologia a tre livelli in cui il controller Ryu è il core e gli switch OVS sono i nodi di inoltro, costituiti da un livello di controllo, un livello di inoltro di rete e un livello di servizio dati.
   1. Configurazione del livello di controllo: Implementa un controller SDN centralizzato con Ryu. Abilita il monitoraggio dello stato della rete in tempo reale utilizzando l'API REST di Ryu e collegalo al modulo di rilevamento della sicurezza per rispondere rapidamente al traffico anomalo.
   2. Configurazione del livello di inoltro di rete: Configurare un certo numero di nodi di commutazione virtuali OVS con host virtuali e gateway esterni. Imposta le policy della tabella di flusso su OVS per consentire cambiamenti dinamici di percorso, separazione del traffico e reindirizzamento del flusso quando viene rilevato traffico di attacco.
   3. Configurazione a livello di servizio dati: Configura diversi host virtuali sulla piattaforma OpenStack. Creare macchine virtuali che fungano da web, database e server di file per generare traffico dati realistico e supportare flussi di attacco iniettati.
4. Aggiungi diversi valori di salto e percorsi diversi. Simula condizioni eterogenee di banda e latenza di rete utilizzando il comando Mininet.
5. Installa Mininet per distribuire e simulare la topologia. Isolare i tenant, la segmentazione delle sottoreti e le liste di controllo degli accessi (ACL) utilizzando la CLI Mininet.
6. Verifica la configurazione per garantire che la topologia faciliti la cattura del traffico in tempo reale e abbia un'integrazione diretta con il modulo di rilevamento.
7. Registra l'architettura di sistema completa (Figura 2) e la topologia (Figura 3) con tutte le interconnessioni tra i livelli e il flusso di informazioni.

2. Strategia di raccolta e annotazione del flusso di dati

ATTENZIONE: Assicurati di rispettare le normative sulla privacy dei dati (ad esempio, GDPR, politiche locali di cybersecurity). Pre-anonimizzare gli identificatori utente e gli indirizzi IP.

1. Installa piccoli agenti di raccolta dati su ogni host virtuale e nodo di rete. Configura ogni agente per esaminare costantemente il traffico di rete, i log di sistema e le informazioni comportamentali degli utenti.
2. Installa Kafka (v3.5) come data queue e Apache Spark streaming (v3.4) per elaborare i dati del flusso in tempo reale. Configura la velocità di Kafka a 10.000 eventi/s o superiore e l'intervallo micro-batch di Spark a 500 ms o meno.
3. Elaborare i dati raccolti in ordine sequenziale come segue:
   1. Pulisci i dati per eliminare record duplicati, record incompleti e rumore. Filtra i pacchetti non validi controllando le intestazioni del protocollo.
   2. Normalizzare gli attributi numerici in un intervallo standard [0,1] usando la normalizzazione min-max per una scala coerente delle caratteristiche.
   3. Estrarre caratteristiche importanti, inclusi IP sorgente/destinazione, porte, tipo di protocollo, numero di pacchetti, numero di byte, ritardo di inoltro e misure di variazione del traffico.
4. Inserire il dataset elaborato nel modulo di rilevamento assistito dall'IA per addestrarlo e validarlo.
5. Stabilire un sistema di doppia annotazione per un'etichettatura accurata dei dati:
   1. Crea una libreria di template di attacco. Identificare i pattern di attacco comuni (ad esempio, scansione delle porte, flood SYN, DoS, U2R) con pattern matching basato su regole.
   2. Controlla manualmente i campioni ambigui per mantenere la coerenza nell'etichettatura.
6. Utilizzare dataset di benchmark consolidati come CIC-IDS2017 e NSL-KDD per la validazione incrociata. Allinea le etichette per mantenere ≥90% di coerenza tra annotatori.
7. Eseguire ingegneria delle caratteristiche per costruire vettori di input strutturati. Codificare le gerarchie degli attacchi basate su definizioni di categoria multilivello.
8. Dividere i dataset in 80% addestramento e 20% test.

3. Architettura integrata di classificazione gerarchica e valutazione della fiducia

1. Costruire un'architettura di percezione intelligente che integra la Classificazione Gerarchica Multiclass (HMC) e un meccanismo dinamico di valutazione della fiducia (Figura 4).
2. Implementare il modulo HMC seguendo una strategia "grossolana a fine":
   1. Utilizzare funzionalità di connessione leggere (ad esempio, frequenza, distribuzione di porta, tipo di protocollo) per classificare il traffico in categorie "normale" e "anomala".
   2. Per traffico "anomalo", eseguire una classificazione di secondo livello in categorie di attacco come DDoS, U2R, R2L e Probe utilizzando caratteristiche statistiche di medio livello come intervallo di pacchetti e dimensione del payload.
   3. Identificare sottotipi a grana fine (ad esempio, TCP SYN Flood, SQL Injection, Brute Force Attack) analizzando le firme degli attacchi e gli attributi del bersaglio.
3. Ottimizza il modulo di classificazione.
   1. Applicare metodi di apprendimento per ensemble AdaBoost e Bagging, costruendo 5-8 classificatori deboli a ogni livello gerarchico (ad esempio, albero decisionale, regressione logistica).
   2. Combinare i risultati dei classificatori usando il voto a maggioranza ponderata basato sui punteggi di accuratezza.
4. Implementa il modulo di valutazione dinamica della fiducia usando la teoria dei modelli cloud:
   1. Tieni un controllo costante sugli indicatori comportamentali dell'ospite, ad esempio la stabilità passata, la frequenza di comunicazione e la variazione degli obiettivi di accesso.
   2. Includere la credibilità dell'output del modello nel calcolo della fiducia. Stima il punteggio effettivo di fiducia (0 a 1) con l'aiuto dei parametri di aspettativa (Ex), entropia (En) e iper-entropia (He).
5. Configurare il meccanismo di feedback di collegamento tra HMC e moduli di fiducia.
   1. Sistemi di auto-programmazione basati su valori di trust: isolare host con trust ≤ 0.3 e ridurre i privilegi degli host con trust 0.3-0.6.
   2. Riaddestrare il classificatore con dati host con trust ≥ 0.8 per aumentare la rilevazione e la flessibilità contro attacchi sconosciuti.
6. Testare la capacità di risposta zero-day. Inietta traffico malevolo non etichettato e conferma che avvisi e isolamento vengano attivati entro 10 minuti.

4. Calcolo e implementazione del modello trust cloud (Figura 5)

1. Generazione standard di cloud fiduciaria:
   1. Dividere i valori di fiducia in n livelli distinti (ad esempio, "Basso", "Medio", "Alto", "Molto Basso" e "Molto Alto").
   2. Calcola l'aspettativa (Ex_k) per il livello k basandosi sulla media delle valutazioni di trust per entità di quel livello usando l'Equazione 1:
      
      dove T_ik rappresenta i valori di trust individuali delle entità classificate sotto il livello di trust_{L k}.
   3. Calcola l'entropia (En_k) per quantificare la fuzziness dei valori di fiducia all'interno del livello L_k usando l'Equazione 2:
      
      dove α è una costante che controlla il livello di sfocatura.
   4. Calcolare l'iper-entropia (He_k) usando l'Equazione 3 per quantificare l'instabilità dell'entropia nel tempo:
      
      dove β è un parametro che regola il livello di incertezza.
   5. Emettere l'insieme dei cloud di trust standard C_{1,C 2},...,_{C n} corrispondenti ai n livelli di trust.
2. Generazione inversa di nuvole di attributi fiduciari:
   1. Normalizzare gli attributi di trust in input A_i all'intervallo [0,1] usando l'Equazione 4:
      
      Applicare l'analisi statistica per stimare i corrispondenti parametri del modello cloud (Ex, En, He) per ciascun attributo normalizzato A_i'.
      Genera il cloud di trust attributo C_i per ogni attributo.
3. Valutazione completa del trust:
   1. Calcola le proprietà digitali della nube di fiducia composita (Ex_com,_{En com}, He_com) usando la sintesi pesata (Equazioni 5-7):
      
      
      
      dove
   2. Calcola la somiglianza tra l'attuale cloud di fiducia C_i e una cloud standard C_k usando l'Equazione 8:
      
      Determinare il livello di fiducia finale L^* trovando la massima somiglianza usando l'Equazione 9:
      
4. Aggiornamento della fiducia dinamica
   1. Aggiorna il valore di fiducia per riflettere l'evoluzione nel tempo usando il modello di decadimento temporale nell'Equazione 10:
      
      dove λ∈[0,1] controlla il peso della fiducia recente rispetto a quella storica.
   2. Applica il meccanismo di penalità per trust se si verificano deviazioni specifiche. Calcola la deviazione (ΔA) e il fattore di penalità_(penalità P) usando le Equazioni 11 e 12:
      
      
   3. Calcola il valore di fiducia aggiornato usando l'Equazione 13:
      

5. Validazione sperimentale delle prestazioni di rilevamento degli attacchi

1. Configura l'ambiente sperimentale e prepara il dataset.
   1. Utilizza una workstation Windows 11 dotata di strumenti Visual C++ per la compilazione e il test degli algoritmi.
   2. Ottieni il dataset KDDCUP_10% da fonti verificate e pre-elaborarlo seguendo le linee guida istituzionali per la protezione dei dati.
   3. Impostare i parametri dell'algoritmo: intervallo di tempo T = 10s, round di campionamento h = 20 e campioni dati n = 1000.
   4. Dividere i dati in set di addestramento (80%) e test (20%) tramite campionamento stratificato.
2. Validare le prestazioni della classificazione binaria.
   1. Effettuare una validazione incrociata in 5 volte per l'affidabilità.
   2. Addestrare e testare otto classificatori: Albero Decisionale (DT), Naive Bayes (NB), Foresta Casuale (RF), K-Vicino Più Prossimo (KNN), Boosting Adattivivo (AdaBoost), Macchina a Vetori di Supporto (SVM), Sacco e Aumento del Gradiente.
   3. Esegui 100 epoche per modello e registra precisione, accuratezza, richiamo e punteggio F1.
3. Valida le prestazioni della classificazione multiclasse.
   1. Classificatori di treni per rilevare DDoS, U2R, R2L, Probe e traffico normale.
   2. Implementare cinque architetture DL (MLP, CNN, GRU, RNN e LSTM) utilizzando i parametri specificati nella Tabella 1.
   3. Confronta le prestazioni usando curve di richiamo di precisione e matrici di confusione per ogni classe.
4. Valida l'algoritmo HMC.
   1. Implementa HMC con AdaBoost e Bagging come strategie di ensemble.
   2. Scompone i problemi multiclasse in sotto-classificazioni binarie tramite logica gerarchica.
   3. Confrontare i risultati con i modelli di base per i tipi di attacco delle minoranze (U2R, R2L).
5. Implementa la simulazione degli attacchi.
   1. Distribuire il modello addestrato di rilevamento della fiducia sul banco di prova cloud.
   2. Creare attacchi UDP Flood e SYN Flood utilizzando host multi-virtuali per colpire i server assegnati.
   3. Mantieni il traffico di attacco intorno al 30% della velocità di rete.
   4. Tieni traccia delle statistiche di rete (velocità di trasmissione, durata della sessione, frequenza di accesso alle porte, connessioni anomale).
   5. Misurare l'errore di rilevamento, i falsi positivi e il tempo medio di risposta del sistema.

Results

Validazione sperimentale e analisi delle prestazioni

Validazione basata sul cloud

Per testare l'efficienza e la fattibilità dell'algoritmo proposto, sono stati eseguiti test di simulazione in un laboratorio di rete controllato. La verifica è stata effettuata sul sistema operativo Windows e l'algoritmo di base è codificato in strumenti di programmazione VC (Visual C++).

Ne...

Discussion

Un implementazione efficace di questo protocollo si basa su passaggi critici all'interno dell'architettura cloud-basata. Una corretta configurazione del controller Ryu OpenFlow, la corretta configurazione delle regole Open vSwitch e la formazione robusta di una topologia multilivello sono essenziali per garantire la piena cattura del traffico. La scelta di Ryu come controller e OpenvSwitch come piattaforma di switching rafforza significativamente il valore pratico del sistema; Le loro ca...

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
AdaBoost (Libreria di Apprendimento Ensemble)	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.AdaBoostClassifier.html	Software
Classificatore di Raccolta	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.BaggingClassifier.html	Software
Codice di valutazione della fiducia dei modelli cloud	Implementazione personalizzata	N/A	Algoritmo/Software
Rete Neurale Convoluzionale (CNN)	TensorFlow / PyTorch	https://www.tensorflow.org/tutorials/images/cnn	Software
Framework per il Deep Learning (MLP, RNN, LSTM, GRU)	TensorFlow / PyTorch		Software
EstiNet Network Simulator	Tecnologie EstiNet	https://sites.google.com/view/estinet-network-simulator	Software
Kafka (Piattaforma di Streaming Dati)	Apache Foundation	https://kafka.apache.org/	Software
KDD CUP 10% Dataset	UCI Machine Learning Repository	http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html	Dataset
Emulatore Mininet	Progetto Mininet	Mininet 2.3.1	Emulazione di rete per topologia SDN, larghezza di banda e simulazione di attacco misto.
Open vSwitch (OVS)	Open vSwitch Org	OVS 3.2.2	Switch virtuale che implementa il controllo a tavolo di flusso e la reindirizzazione del traffico di attacco.
Piattaforma CloudStack Cloud	Open Infrastructure Foundation	https://www.openstack.org/	Cloud Software
Python 3.x	Python Software Foundation	https://www.python.org/downloads/	Linguaggio di programmazione
Ryu SDN Controller	NTT R& D	Ryu 4.34	Controller SDN per la cattura in tempo reale del traffico di rete e la consapevolezza della situazione.
Spark Streaming Framework	Apache Foundation	https://spark.apache.org/docs/latest/streaming-programming-guide.html	Software
Compilatore Visual C++ (VC++)	Microsoft	https://visualstudio.microsoft.com/	Software
Stazione di lavoro Windows 11	Microsoft	Windows 11 Pro 23H2	Sistema operativo utilizzato per la compilazione, l'addestramento e il test dei modelli.