Использование адаптивных алгоритмов машинного обучения для предупреждения об информационных рисках и осведомлённости о сценариях сетевой безопасности в облачных вычислениях

Summary

В статье предлагается новое решение адаптивной сетевой безопасности на основе машинного обучения (ML) в облачной системе, интегрирующее иерархическую многометочную классификацию и систему динамической оценки доверия для повышения точности обнаружения угроз и снижения числа ложноположительных результатов.

Abstract

В данном исследовании предлагается новая концепция для ситуационной осведомлённости и предупреждения о рисках в облачных вычислениях с интеграцией адаптивного машинного обучения (ML), иерархической многометочной классификации (HMC) и динамического механизма оценки доверия на основе облачной модели. Сложность, разнообразие и реальный характер новых кибератак — таких как эксплойты нулевого дня, распределённый отказ в обслуживании (DDoS) и ботнеты — создают серьёзные вызовы для традиционных методов обнаружения на основе правил и статического обнаружения. Для решения этих проблем мы разработали эффективную облачную архитектуру на базе SDN, используя контроллер Ryu OpenFlow и коммутаторы OpenFlow. Эта архитектура обеспечивает сбор информации о каналах в реальном времени, динамическое планирование и масштабируемую, надёжную передачу данных. Предлагаемая иерархическая система классификации может разбивать задачи мультикласса на бинарные задачи, смягчая эффект дисбаланса выборок и улучшая распознавание низкочастотных атак, включая User to Root (U2R). Методы ансамблевого обучения, включая AdaBoost и Bagging, дополнительно повышают точность обнаружения мелких типов атак. Эксперименты, проведённые на DDoS-наборах данных, облачных данных и симуляциях в Mininet и EstiNet, демонстрируют, что совместный подход ML-HMC-trust значительно повышает точность обнаружения, снижает ложные срабатывания и обеспечивает реагирование в реальном времени. Эти результаты подтверждают, что интеграция адаптивного обучения, иерархической классификации и динамической оценки доверия обеспечивает надёжное и масштабируемое решение для обеспечения безопасности крупномасштабных облачных платформ.

Introduction

С широким применением облачных вычислений в различных отраслях масштаб и объём данных в информационных системах быстро растут, а сетевые угрозы становятся всё более сложными, скрытыми и динамичными ^1,2. Традиционные механизмы защиты безопасности, основанные на правилах и статических моделях, больше не способны удовлетворять требованиям обнаружения в реальном времени с точным ранним предупреждением при столкновении с изменяющимися стратегиями атак, уязвимостями нулевого дня и крупномасштабными распределёнными^{атаками 3}. Таким образом, использование адаптивных алгоритмов машинного обучения для полной интеграции возможностей распределённой обработки данных и интеллектуального анализа в облачных вычислительных платформах с целью достижения комплексного понимания ситуации с сетевой безопасностью и эффективного раннего предупреждения о информационных рисках представляет собой критическую задачу в современном ландшафте информационной^{безопасности 4}. Это исследование не только имеет важное теоретическое значение для улучшения существующей системы защиты, но и обеспечивает сильную поддержку для обеспечения безопасности национальной ключевой информационной инфраструктуры и корпоративных основных^{данных 5}.

Существует множество проблем при реализации осведомлённости о ситуации сетевой безопасности и предупреждения о рисках информации в облачных вычислениях: типы данных, агрегированные в облачной платформе, многочисленны, а источники сложны, что делает задачи предварительной обработки данных, извлечения функций и слияния всё более сложными; В условиях растущего сетевого трафика и быстро меняющихся сценариев атак система обязана реагировать в очень короткие сроки, а обнаружение и предупреждение в реальном времени стали техническими узкими местами; объём обычного трафика сильно отличается от трафика атаки, а традиционные алгоритмы имеют низкую точность при обработке небольших выборочных категорий (таких как U2R, сетевые атаки и т.д.), и существует большой риск ошибок; В сложной сетевой среде доверительные отношения зависят от множества факторов и являются случайными и^{неопределёнными 6,7}. Традиционные методы оценки доверия, основанные на фиксированных порогах, трудно отразить реальное состояние и легко мешают аномальные данные. Для решения этих многомерных ограничений исследование представляет интегрированный фреймворк, который синергирует адаптивное машинное обучение, иерархическую многометочную классификацию и динамический механизм оценки доверия на основе облачных моделей. Это слияние методов, применяемых в облачной среде, управляемой SDN, выходит за рамки постепенной доработки, позволяя тонко распознавать низкочастотные атаки, адаптировать доверие в реальном времени и масштабировать ситуационную осведомлённость, чего существующие методы не достигли одновременно.

Облачные вычислительные среды генерируют огромный, высокодинамичный и разнородный сетевой трафик, из-за чего традиционные системы обнаружения вторжений (IDS) не способны точно определить сложные и меньшинственные типы атак, такие как U2R и R2L. Существующие решения IDS на базе глубокого обучения (DL) повышают точность обнаружения, но при этом страдают от больших вычислительных затрат, медленного реагирования в реальном времени и плохой обработки неопределённых или меняющихся доверительных отношений между сетевыми сущностями. Кроме того, большинство современных моделей работают как плоские классификаторы и не имеют механизмов для детального, иерархического принятия решений или динамической оценки доверия. Эти ограничения создают критический разрыв в разработке IDS, способного одновременно обеспечивать обнаружение в реальном времени, точное распознавание меньшинств и надежную оценку рисков с учётом доверия в крупномасштабных облачных средах.

В существующих исследованиях осведомлённости о ситуации безопасности сети и предупреждении о информационных рисках многие исследования используют такие методы, как K-ближайший сосед (KNN) и поддерживающая векторная машина (SVM), для классификации и обнаружения сетевого трафика. Эти алгоритмы обладают преимуществами высокой вычислительной эффективности и простотой реализации, особенно при предварительном скрининге больших объёмов данных ^8,9. Однако их основные недостатки проявляются в нескольких аспектах: при работе с большинством обычного трафика и небольшим количеством образцов атак в облачной среде традиционные методы машинного обучения часто игнорируют информацию из нескольких категорий, что приводит к низкому уровню распознавания мелких атак (таких как U2R, сетевые уязвимости и др.); Отдельные модели обычно чувствительны к шумам и выбросам данных, не способны адаптироваться к динамически меняющимся сценариям атак и склонны к перенагону или недостаточному^{обобщению 10,11}.

В последние годы методы DL, такие как многоуровневый перцептрон (MLP), CNN, рекуррентная нейронная сеть (RNN), сеть с долгой краткосрочной памятью (LSTM) и управляемый рекуррентный блок (GRU), всё чаще применяются в области сетевой безопасности. Благодаря мощным возможностям обучения функциям и нелинейного отображения в глубоких нейронных сетях, эти методы значительно повысили точность обнаружения и повысили возможность фиксировать сложные действия атак по сравнению с традиционным^{ML 12}. Однако у них высокие требования к вычислительным ресурсам и обучающим данным. Особенно в контексте трафика больших данных в облачных вычислениях есть потенциал для улучшения накладных расходов на обучение и скорость вывода в реальном времени. При выявлении классов с небольшим количеством выборок из-за дисбаланса данных модели DL имеют низкие показатели обнаружения некоторых мелких атак (например, U2R, ботнетов) из-за смещения^{классов 13}. Чтобы компенсировать ограничения одной модели при работе с дисбалансом данных и идентификацией мультиклассовых атак, некоторые исследования предлагали решения на основе ансамблевого обучения, такие как Bagging и Boosting, которые увеличивают общую точность прогнозирования за счёт объединения решений нескольких^{классификаторов 14}. В то же время архитектура Иерархической многоклассовой классификации (HMC) разбивает задачу классификации мультиклассов на несколько подзадач бинарной классификации, что обеспечивает более утончённое распознавание классов с меньшим числом выборок. Однако интегрированные модели часто сталкиваются с такими проблемами, как высокое использование вычислительных ресурсов и увеличение времени отклика во время развертывания, особенно в облачных системах мониторинга в реальном времени, где требования в реальном времени увеличивают нагрузку на^{системные ресурсы 15}.

В ответ на проблему динамической оценки доверительных отношений в сети некоторые исследования ввели теорию облачных моделей, которая строит облако принадлежности доверия, описывая нечеткость и случайность атрибутов доверия каждого объекта, а затем использует капли облака, энтропию, суперэнтропию и другие индикаторы для количественной^{оценки 16}. При работе с обновленными данными доверия сети в реальном времени скорость обновления и вычислительная эффективность существующих методов облачных моделей могут быть затруднены для выполнения требований высокочастотного динамического предупреждения; Модель высокочувствительна к оценочным данным, и аномальные данные или информация о шуме могут существенно влиять на общую оценку доверия, что влияет на последующие решения о предупреждении о рисках.

Учитывая многочисленные недостатки современных исследований в области точности обнаружения, производительности в реальном времени, обработки баланса данных и оценки доверия, в данной статье предлагается новая система защиты, которая комплексно использует адаптивные алгоритмы машинного обучения, иерархические стратегии многоклассовой классификации и оценку доверия облачных моделей для осведомлённости о ситуации сетевой безопасности и предупреждения о информационных рисках в облачных^{вычислениях 17}.

Исследование направлено на кибербезопасность в реальном времени для интеллектуальных корабельных сетей с использованием облачных вычислений¹⁸. Он предлагает многосенсорную структуру узлов для анализа данных на предмет вредоносных атак и использует самоисполняющиеся узлы стратегии защиты для перехвата угроз. Результаты показывают уровень обнаружения и защиты от проникновения вирусов на уровне 85-95%, а уровень ложноположительных результатов — 2,56%, что значительно превосходит другие алгоритмы. Однако такой подход требует больших вычислительных ресурсов и ограничений облачной инфраструктуры на практике. Аслан и ^др.19 предоставляют интеллектуальную систему обнаружения вредоносного ПО на основе поведения в облачных вычислениях. Он создал набор данных о вредоносном ПО на виртуальных машинах и использовал отдельные функции с агентами обнаружения на основе обучения и правил для классификации вредоносных и безобидных образцов. Оценка на 10 000 образцов программ показала высокую производительность с улучшением частоты обнаружения и FPR. Тем не менее, метод испытывал проблемы с масштабируемостью из-за постоянно меняющихся вариантов вредоносного ПО и облачных развертываний в масштабах и в реальном времени.

Несмотря на значительный вклад этих исследований, более подробное сравнение показывает, что большинство существующих решений не учитывают предположения и требования осведомленности о ситуации в реальном времени или модели динамического доверия в облачных средах. Традиционные методы машинного обучения предполагают фиксированные границы признаков, которые фиксированы в пространстве и не выполняют дисбаланс классов и высокодинамичную динамику^{трафика 8,9,10}. Модели DL связаны с отличными возможностями извлечения признаков, но потребляют большую вычислительную мощность, что делает процесс вывода медленным и непрактичным в мониторинге^{в реальном времени 12,13}. Подходы на основе ансамбля и HMC более точны, но требуют ещё большей задержки и ресурсов, и в настоящее время не внедряются в крупномасштабных^{облаках 14, 15}. В то же время методы оценки доверия к облачным моделям хорошо фиксируют неопределённость, но остаются очень чувствительными к шумным данным и не могут эффективно обновлять значения доверия при потоках атак^{с высокой частотой 16, 17, 18, 19}. Даже современные облачные IDS-фреймворки не имеют надёжной, интегрированной поддержки как обнаружения в реальном времени, так и принятия решений с учётом^{доверия 20,21}. Эти ограничения в совокупности подчёркивают необходимость эффективной, единой и доверительной системы обнаружения вторжений. Это исследование преодолевает эти ограничения, интегрируя адаптивную оценку динамического доверия на основе ML, HMC и облачных моделей в облачную архитектуру с поддержкой SDN, обеспечивая обнаружение в реальном времени, повышение точности для меньшинств и оценку рисков с учётом неопределённости.

Инновации этой статьи в основном отражены в следующих аспектах: эффективная распределённая сетевая архитектура на базе контроллера Ryu OpenFlow и коммутатора OpenFlow создана для обеспечения сбора и динамического планирования информации о каналах в реальном времени, что значительно повышает эффективность передачи и обработку данных.

Учитывая трудности, связанные с дисбалансом данных и идентификацией атак по малочисленным выборкам, разрабатывается фреймворк HMC сверху вниз, а также внедрены интегрированные методы обучения, такие как AdaBoost и Bagging, что значительно повышает точность обнаружения мелкозернистых категорий атак.

Теория облачной модели используется для создания облака аффилиации доверия. С помощью обратного генератора и расчёта сходства реализуется динамическая оценка статуса доверия каждого субъекта в сети, что обеспечивает количественную основу для предупреждения о рисках и эффективно подавляет кредитные спекуляции, вызванные аномальными операциями по низким или высоким ценам.

Protocol

ПРИМЕЧАНИЕ: Этот протокол описывает, как построить облачную систему ситуационной осведомлённости сетевой безопасности и реализовать иерархическую классификацию с помощью динамической оценки доверия. Следуйте следующим шагам для проектирования топологии облачной сети, сбора и аннотирования потоков данных, а также развертывания иерархических модулей многоклассовой классификации и оценки доверия. Рисунок 1 иллюстрирует предлагаемую SDN-облачную структуру, интегрирующую адаптивное машинное обучение, иерархическую классификацию и оценку доверия для обнаружения атак в реальном времени.

1. Проектирование топологии облачной сети

ПРИМЕЧАНИЕ: Перед продолжением работы убедитесь, что административный доступ к OpenStack, Ryu и Mininet.

1. Развернуть систему на облачной платформе, созданной на OpenStack. Используйте технологии виртуализации для создания нескольких виртуальных хостов и настройки программно-определённой сетевой среды (SDN) для унифицированного управления ресурсами и изолированного планирования.
2. Развернуть и настроить Ryu и Open vSwitch (OVS) для работы с управлением SDN и управлением трафиком.
3. Постройте трёхслойную топологию, где контроллер Ryu является ядром, а коммутаторы OVS — узлами пересылки, состоящими из уровня управления, уровня пересылки сети и уровня сервиса передачи данных.
   1. Конфигурация уровня управления: реализовать централизованный контроллер SDN с помощью Ryu. Включить мониторинг состояния сети в реальном времени с помощью REST API Ryu и подключить его к модулю обнаружения безопасности для быстрого реагирования на ненормальный трафик.
   2. Конфигурация слоя пересылки сети: Настройте несколько виртуальных коммутационных узлов OVS с виртуальными хостами и внешними шлюзами. Настройте политики таблицы потоков на OVS для обеспечения динамических изменений пути, разделения трафика и перенаправления потока при обнаружении трафика атаки.
   3. Конфигурация уровня сервисов данных: Настройте несколько виртуальных хостов на платформе OpenStack. Создавать виртуальные машины, выступающие в роли веб-, баз данных и файловых серверов для генерации реалистичного трафика данных и поддержки инжекционных потоков атак.
4. Добавьте несколько значений переходов и разные пути. Моделировать гетерогенные условия пропускной способности и задержки сети с помощью команды Mininet.
5. Установите Mininet для развертывания и моделирования топологии. Изолировать арендаторов, сегментацию подсетей и списки контроля доступа (ACL) с помощью CLI Mininet.
6. Проверьте конфигурацию, чтобы топология облегчала захват трафика в реальном времени и имела прямую интеграцию с модулем обнаружения.
7. Запишите завершённую архитектуру системы (рисунок 2) и топологию (рисунок 3) со всеми взаимосвязями между слоями и потоком информации.

2. Стратегия сбора потоков данных и аннотации

ВНИМАНИЕ: Обязательно соблюдайте требования по защите данных (например, GDPR, локальные политики кибербезопасности). Заранее анонимизируйте идентификаторы пользователей и IP-адреса.

1. Устанавливайте небольшие агенты сбора данных на каждый виртуальный хост и сетевой узл. Настройте каждого агента для постоянного анализа сетевого трафика, системных журналов и информации о поведении пользователей.
2. Установите Kafka (v3.5) в качестве очереди данных и Apache Spark streaming (v3.4) для обработки потоковых данных в реальном времени. Настройте пропускную способность Kafka на уровне 10 000 событий/с и выше, а микропакетный интервал Spark — 500 мс или меньше.
3. Обрабатывайте собранные данные последовательно следующим образом:
   1. Очищайте данные, чтобы устранить дублирующиеся записи, неполные записи и шум. Фильтруйте недействительные пакеты, проверяя заголовки протокола.
   2. Нормализуйте численные атрибуты до стандартного диапазона [0,1] с помощью минимальной нормировки для согласованного масштабирования признаков.
   3. Извлекать важные характеристики, включая IP-адреса источника/назначения, порты, тип протокола, количество пакетов, количество байт, задержку пересылки и измерения вариаций трафика.
4. Введите обработанный набор данных в модуль обнаружения с помощью искусственного интеллекта для обучения и валидации.
5. Создать систему двойной аннотации для точной маркировки данных:
   1. Создайте библиотеку шаблонов атак. Выявляйте распространённые паттерны атак (например, сканирование портов, SYN-флуд, DoS, U2R) с помощью сопоставления шаблонов на основе правил.
   2. Проверяйте неоднозначные образцы вручную, чтобы сохранить согласованность маркировки.
6. Используйте устоявшиеся эталонные наборы данных, такие как CIC-IDS2017 и NSL-KDD, для перекрёстной валидации. Выравнивайте метки для поддержания ≥90% согласованности между аннотаторами.
7. Выполните инженерию признаков для построения структурированных входных векторов. Кодировать иерархии атак на основе многоуровневых определений категорий.
8. Разделите наборы данных на 80% обучение и 20% тестирование.

3. Интегрированная архитектура иерархической классификации и оценки доверия

1. Постройте интеллектуальную архитектуру восприятия, интегрирующую иерархическую многоклассовую классификацию (HMC) и динамический механизм оценки доверия (рисунок 4).
2. Реализуйте модуль HMC по стратегии «грубый к мелкому»:
   1. Используйте лёгкие функции соединения (например, частоту, распределение портов, тип протокола) для классификации трафика на «нормальные» и «ненормальные» категории.
   2. Для «аномального» трафика выполняйте классификацию второго уровня в категории атак, такие как DDoS, U2R, R2L и Probe, используя статистические характеристики среднего уровня, такие как интервал пакетов и размер полезной нагрузки.
   3. Выявляйте детализированные подтипы (например, TCP SYN Flood, SQL Injection, Brute Force Attack) анализируя подписи атак и атрибуты целей.
3. Оптимизируйте модуль классификации.
   1. Применяйте методы ансамблевого обучения AdaBoost и Bagging, строя 5-8 слабых классификаторов на каждом уровне иерархии (например, дерево решений, логистическая регрессия).
   2. Объединяйте результаты классификаторов с использованием взвешенного большинства голосования на основе точных показателей.
4. Реализовать модуль оценки динамического доверия с использованием теории облачных моделей:
   1. Постоянно следите за поведенческими индикаторами хозяина, например, прошлой стабильностью, частотой коммуникации и вариациями целей доступа.
   2. Включить достоверность выходных моделей в расчёт доверия. Оцените фактический рейтинг доверия (от 0 до 1) с помощью параметров ожидания (Ex), энтропии (En) и гиперэнтропии (He).
5. Настройте механизм обратной связи между модулями HMC и доверия.
   1. Системы автоматического планирования на основе значений доверия: изолировать хосты с доверием ≤ 0.3 и уменьшить привилегии хостов с доверием 0.3-0.6.
   2. Переобучите классификатор с данными хоста с доверительным ≥ 0.8, чтобы повысить обнаружение и гибкость к неизвестным атакам.
6. Проверьте возможность реагирования в режим нулевого дня. Внедрите немаркированный вредоносный трафик и убедитесь, что оповещение и изоляция активированы в течение 10 минут.

4. Расчёт и реализация модели доверия облака (рисунок 5)

1. Генерация стандартного доверия в облаке:
   1. Разделите значения доверия на n отдельных уровней (например, «Низкий», «Средний», «Высокий», «Очень низкий» и «Очень высок»).
   2. Вычислите ожидание (Ex_k) для уровня k на основе среднего значения оценок доверия для сущностей этого уровня с помощью уравнения 1:
      
      где T_ik представляет индивидуальные значения доверия сущностей, классифицированных под уровнем доверия L_k.
   3. Вычислите энтропию (En_k) для количественной оценки нечеткости значений доверия в пределах уровня L_k с помощью уравнения 2:
      
      где α — это константа, контролирующая уровень размытости.
   4. Вычислите гиперэнтропию (He_k) с помощью уравнения 3 для количественной оценки нестабильности энтропии во времени:
      
      где β — параметр, регулирующий уровень неопределённости.
   5. Выведите набор стандартных облаков доверия C₁,_{C 2},...,C_n , соответствующих n уровням доверия.
2. Обратная генерация облака атрибута доверия:
   1. Нормализуйте входные атрибуты доверия A_i в диапазоне [0,1] с помощью уравнения 4:
      
      Применим статистический анализ для оценки соответствующих параметров модели облака (Ex, En, He) для каждого нормализованного атрибута A_i'.
      Сгенерируйте облако атрибута доверия C_i для каждого атрибута.
3. Комплексная оценка доверия:
   1. Вычислите цифровые свойства композитного облака доверия (Ex_com, En_com, He_com) с помощью взвешенного синтеза (уравнения 5-7):
      
      
      
      где
   2. Вычислите сходство между текущим облаком доверия C_i и стандартным облаком C_k с помощью уравнения 8:
      
      Определите окончательный уровень доверия L^* , найдя максимальное сходство с помощью уравнения 9:
      
4. Обновление динамического доверия
   1. Обновите значение доверия, чтобы отражать эволюцию во времени с помощью модели затухания во времени в уравнении 10:
      
      где λ∈[0,1] определяет вес недавнего и исторического доверия.
   2. Применяйте механизм штрафа за траст, если возникают конкретные отклонения. Вычислите отклонение (ΔA) и коэффициент штрафа_{(штраф P}) с помощью уравнений 11 и 12:
      
      
   3. Вычислите обновлённое значение доверия с помощью уравнения 13:
      

5. Экспериментальная валидация эффективности обнаружения атак

1. Настройте экспериментальную среду и подготовьте набор данных.
   1. Используйте рабочую станцию Windows 11, оснащённую инструментами Visual C++ для компиляции и тестирования алгоритмов.
   2. Получите набор данных KDDCUP_10% из проверенных источников и предварительно обработайте его в соответствии с рекомендациями по защите данных учреждения.
   3. Задайте параметры алгоритма: интервал времени T = 10s, раунды выборки h = 20, а выборки данных n = 1000.
   4. Разделить данные на обучающие (80%) и тестовые (20%) наборы с помощью стратифицированной выборки.
2. Валидация производительности бинарной классификации.
   1. Проведите пятикратную перекрёстную валидацию на надёжность.
   2. Обучайте и протестируйте восемь классификаторов: Дерево принятия решений (DT), Наивное Байес (NB), Случайный лес (RF), K-ближайший сосед (KNN), Адаптивное бустинг (AdaBoost), Машина опорного вектора (SVM), Пакетирование и Градиентное усиление.
   3. Запускайте по 100 эпох на каждую модель и фиксируйте точность, точность, воспоминание и результат F1.
3. Проверьте производительность мультиклассовой классификации.
   1. Используйте классификаторы для обнаружения DDoS, U2R, R2L, зонда и обычного трафика.
   2. Реализовать пять архитектур DL (MLP, CNN, GRU, RNN и LSTM) с использованием параметров, указанных в Таблице 1.
   3. Сравнивайте производительность с помощью кривых точности воспоминания и матриц путаницы для каждого класса.
4. Проверьте алгоритм HMC.
   1. Реализуйте HMC с AdaBoost и Bagging как ансамблевые стратегии.
   2. Разбивайте задачи с множеством классов на бинарные подклассификации с помощью иерархической логики.
   3. Сравните результаты с базовыми моделями для типов атак меньшинств (U2R, R2L).
5. Реализуйте симуляцию атак.
   1. Развернуть обученную модель обнаружения доверия на облачной тестовой платформе.
   2. Создавать атаки UDP Flood и SYN Flood с использованием мультивиртуальных хостов для атаки на назначенные серверы.
   3. Держите трафик атаки в пределах 30% от пропускной способности сети.
   4. Отслеживайте статистику сети (скорость передачи, длительность сессии, частота доступа к порту, аномальные соединения).
   5. Измеряйте ошибку обнаружения, ложноположительные результаты и среднее время отклика системы.

Results

Экспериментальная валидация и анализ производительности

Облачная валидация

Для проверки эффективности и целесообразности предлагаемого алгоритма симуляционные тесты проводились в лабораторных условиях контролируемой сети. Проверка проводилась на операционной системе Windows, а основной алгоритм запрограммирован в инструментах программирования VC (Visual C++).

В случае экспериментальных данных мы выбрали общедоступный KDDCUP_10% набор данных(http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html), который часто используется при обнаружении вторжений и моделировании поведения сети. Общий экспериментальный процесс очень похож на подход, описанный^{ранее, для} обеспечения сопоставимости и достоверности результатов.

Основные параметры алгоритма были установлены так: интервал времени T = 10 с; количество раундов отбора проб h = 20; Выборки данных n = 1000.

Рассчитали цифровые характеристики модели облака доверия с использованием этих параметров. Затем алгоритм облачного сходства использовался для выявления наиболее похожего облака доверия среди кандидатов, что дало возможность классифицировать и оценивать состояния сети.

Таблица 2 показывает значения выбранной выборки системы и результаты ситуации сетевого анализа. Это подтверждает, что предлагаемая облачная система оценки доверия обладает потенциалом эффективно представлять и инкапсулировать динамику и неопределённости многогранных сетевых настроек.

Эксперимент подтверждает возможность внедрения облачных моделей в сочетании с оценкой доверия в реальном времени и предоставляет основу для дальнейшего применения в адаптивной системе управления безопасностью.

Проверка атак

Для проведения тщательной проверки эффективности предлагаемого алгоритма в этом эксперименте необходимо оценить возможности обнаружения атак бинарной классификации, мультиклассификации и HMC в облачной среде. Экспериментальная оценка разделена на три основных этапа: применение данных DDoS-атак для проверки функциональности AI-модуля, оценка функциональности различных алгоритмов машинного обучения и анализ функциональности DL-моделей для прогнозирования атак.

Проверка производительности бинарной классификации

На первом этапе эксперимента для проверки модуля ИИ использовался набор данных о DDoS-атаках, основной целью которого было проверить точность прогнозирования модели в облачных вычислениях. Мы использовали пятикратный метод перекрёстной валидации, и соотношение обучающих к тестовым данным было установлено на 8:2, то есть 80% данных использовалось для обучения, а 20% — для тестирования. В каждом эксперименте использовался разный тестовый набор для проверки модели, чтобы убедиться, что каждый образец один раз появляется как тестовый набор. Процесс обучения длился 5 эпох, и средний результат был взят.

Набор данных делится на две группы: нормальные и ненормальные. Для сравнения производительности различных классификаторов были выбраны следующие восемь распространённых ML-классификаторов: дерево принятия решений (DT), случайный лес (RF), наивный Байес (NB), K-ближайший сосед (KNN), опорная векторная машина (ядро RBF) (SVM-RBF), линейная опорная векторная машина (L-SVM) и алгоритмы Bagging и Boosting для ансамблевого обучения. Результаты сравнения производительности показаны на рисунке 6. С помощью сравнения производительности этих классификаторов их эффективность в обнаружении DDoS-атак можно комплексно ^{оценить на 20,21}.

Многоклассифицированная проверка производительности

На втором этапе эксперимента набор данных был расширен до задач мультиклассификации, включающих различные типы сетевых атак, включая DDoS, U2R (атака пользователя на root), R2L (удалённая атака на локальный режим), обычные данные и др. Задачи мультиклассификации проверяют способность модели выявлять и организовывать несколько типов атак.

Для валидации использовалось пять классификаторов DL, включая MLP, CNN, RNN, сеть долгой краткосрочной памяти (LSTM) и сеть GRU. Конкретные параметры каждой модели представлены в Таблице 1, Таблице 3 и Таблице 4. При проведении многоклассификационной валидации точность и воспоминание модели по нескольким категориям оценивались подробно.

Проверка многоклассифицированной эффективности HMC

На третьем этапе алгоритм HMC использовался для сравнения производительности всех вышеуказанных моделей ML и DL в задачах многоклассовой классификации. Алгоритм HMC значительно повышает точность обнаружения мелких атак (таких как U2R, R2L и др.), разбивая сложные многоклассовые задачи на несколько подзадач бинарной классификации. Преимущества HMC подтверждались повышением точности обнаружения атак по сравнению с традиционными методами классификации.

Экспериментальные результаты и анализ

В ходе экспериментов на предыдущих трёх этапах мы получили показатели эффективности каждого классификатора и модели DL при различных типах атак. Таблица 3 показывает показатели эффективности, такие как точность, скорость воспоминания, значение F1 и др. в различных методах классификации. В эксперименте HMC показал высокую точность и устойчивость в обнаружении многоклассовых атак, особенно при работе с атаками U2R и R2L. По сравнению с традиционными методами SVM и RF, HMC достиг значительных улучшений.

Благодаря этим экспериментальным результатам мы подтвердили эффективность предлагаемого модуля ИИ для обнаружения атак в облачных вычислениях и предоставили надёжную основу для последующего оптимизации моделей и развертывания приложений.

Экспериментальные результаты показывают, что среди моделей машинного обучения дерево принятия решений (DT), случайный лес (RF) и ансамблевые методы (пакетирование, бустинг) достигли более высокой производительности, при этом оценки F1 достигли 1,0. Это подтверждает их надёжность и точность в отличии DDoS-паттернов от обычного трафика. В отличие от этого, наивная модель Байеса (NB) показала плохие результаты в прогнозировании аномальных пакетов, имея F1-балл 0,62, что указывает на определённый риск ошибочной классификации при столкновении со сложными типами атак.

Рисунок 7 показывает результаты MLP, CNN, RNN, LSTM и GRU. После оптимизации параметров бинарные оценки F1 моделей DL составили соответственно 0,93 и 0,98, что свидетельствует о том, что DL-модели эффективно захватывают глубокие особенности данных, особенно при обработке временных рядов и сложного распознавания шаблонов, и они работают лучше, чем традиционные модели машинного обучения.

Комплексный анализ показывает, что деревья решений, методы ансамблевого обучения и модели нейронных сетей демонстрируют отличную эффективность в обнаружении DDoS-атак, однако в конкретных приложениях выбор подходящей модели всё ещё должен учитывать такие факторы, как тип атаки, объем данных и вычислительные ресурсы. Для дальнейшего улучшения возможностей обнаружения модели в будущем можно интегрировать несколько моделей для достижения большей точности и снижения уровня ложных тревог.

Рисунок 8 демонстрирует превосходящую производительность моделей DL по сравнению с традиционными базовыми значениями машинного обучения, сохраняя значения F1 от 0,96 до 0,99, особенно на несбалансированных наборах данных. Однако прогнозные показатели класса U2R всё ещё уступают в тонких категориях, а классификация кибератак составляет всего 0,49. Производительность распознавания нескольких примерочных категорий (включая U2R, кибератаки, BFA и ботнеты) необходимо улучшить, согласно совокупным результатам рисунка 9 и рисунка 10.

На третьем этапе для сравнения эффективности HMC использовалось 13 одиночных классификаторов, идентичных предыдущим, но сосредоточенных на классе меньшинства. Согласно результатам, дизайн HMC на базе AdaBoost превосходит упаковку. В классе U2R HMC на базе AdaBoost имеет результат F1 0,5 (начальная F1 равна 0), тогда как HMC, основанная на Bagging, имеет результат F1 0,67 (с 0,4 как начальный F1) для класса меньшинств. HMC на базе AdaBoost получил F1 0,88 (оригинальный F1 был 0,71), тогда как HMC на базе Bagging получил F1 0,9 (оригинальный F1 был 0) для класса сетевых атак. Эти результаты показывают, что стратегии ансамблевого обучения (такие как AdaBoost и Bagging) значительно улучшают предсказательные способности нескольких классификаторов по классам меньшинств.

Случай симуляции атак

Для дальнейшей проверки практичности и надёжности предлагаемой модели в реальной сетевой среде в этой статье был разработан и реализован случай симуляции атак и проведен эксперимент по сценарию DDoS-атаки. Среда симуляции построена на виртуальной облачной платформе, использующей несколько виртуальных хостов для моделирования взаимодействия между обычными пользователями и злоумышленниками. Сценарий симуляции включает смешанную сетевую среду, где обычный бизнес-доступ и вредоносный трафик сосуществуют.

В эксперименте злоумышленник запускал атаки UDP flood и SYN Flood на целевой сервер через несколько IP-источников, пытаясь исчерпать ресурсы целевой системы и повлиять на доступность обычных сервисов. Система постоянно собирает информацию о сетевом трафике, а также используются основные характерные параметры, связанные со скоростью передачи, продолжительностью сессий, частотой доступа к порту и подсчётом аномальных соединений.

Предлагаемая модель оценки доверия и обнаружения атак реализуется в мониторинговом узле для анализа и категоризации трафика в реальном времени. Система может записывать успешную идентификацию на ранних этапах атаки с помощью модели облака доверия и механизма мультиклассификационной дискриминации, а также эффективно отмечать подозрительные объекты как низкодоверенные и активировать механизм реагирования.

Результаты симуляции показывают, что при симулировании трафик атаки составляет более 30% от общего трафика. Предлагаемая система достигла точности обнаружения 96%, низкий уровень ложноположительных результатов — 3%, а задержка ответа менее 2 секунд в условиях имитации DDoS. Этот результат подтверждает, что эта модель обладает перспективными возможностями применения для борьбы с распределёнными атаками и повышения возможностей системы безопасности.

Кроме того, этот эксперимент расширил тестирование многораундовых и ненепрерывных атак. Модель сохраняет высокую устойчивость обнаружения, что свидетельствует о её хорошей универсальной способности в сложных условиях динамической сети. Типы атак будут расширены в будущем, включая инъекции данных, фишинговые атаки и т.д., чтобы полностью проверить гибкость и масштабируемость модели с учётом различных угроз.

Таблица 5 показывает статистическую значимость улучшений производительности. В этой таблице представлены результаты парных t-тестов, которые сравнивают базовые модели с предлагаемой адаптивной структурой ML-HMC-Trust с точки зрения основных показателей производительности. Таблица состоит из средних и стандартных значений отклонения, t-значений, p-значений и уровней значимости точности, результата F1, обнаружения по классу меньшинств, частоты ложноположительных результатов и задержки обнаружения.

Рисунок 1: Представление методологического потока. Блок-схема, иллюстрирующая предлагаемый фреймворк SDN-облака, интегрирующий адаптивное машинное обучение, иерархическую классификацию и оценку доверия для обнаружения атак в реальном времени. Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этого рисунка.

Рисунок 2: Архитектура облачных сервисов. На рисунке демонстрируется общая модель облачных сервисов, применяемая в исследованиях: уровень управления, слой пересылки данных и уровень сервиса. Архитектура состоит из контроллера Ryu OpenFlow, узлов Open vSwitch и виртуализированных облачных хостов. Соединения — это все взаимодействия потока данных в реальном времени и состояния связи. Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этой фигуры.

Рисунок 3: Модель топологии сети. На рисунке показана трёхслойная топология виртуальной сети, встроенная в облачную среду. Это включает узлы-хосты, уровни коммутации, имитируемые задержки канала, а также ограничения пропускной способности. Топология позволяет разделять трафик, маршрутизацию по нескольким путям и перенаправлять потоки атак (в реальном времени). Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этой фигуры.

Рисунок 4: Архитектура обнаружения безопасности на основе HMC. На рисунке демонстрируется иерархия иерархии мультиклассовой классификации, объединяющей ансамблевое обучение, оценку доверия и многоуровневое обнаружение угроз. Блоки представляют фазы классификации, показывая переход от крупнозернистого к мелкозернистому обнаружению атак. Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этой фигуры.

Рисунок 5: Процесс оценки доверия на основе облачных моделей. На рисунке представлены шесть этапов процесса оценки доверия: обычная генерация облака доверия, извлечение атрибутов, формирование облака атрибутов, расчёт сходства облака, классификация на уровне доверия и динамическое обновление доверия. Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этой фигуры.

Рисунок 6: Производительность машинного обучения на наборе данных DDoS. На рисунке показано, как восемь классических моделей машинного обучения работают в бинарной структуре нормального и DDoS-трафика атак. Показатели включают отзыв, точность, результат F1 и общую точность. Индикаторы ошибок отражают вариабельность через пятикратную перекрёстную валидацию. Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этой фигуры.

Рисунок 7: Производительность модели глубокого обучения на DDoS-наборе данных. На рисунке показана бинарная классификационная эффективность моделей MLP, CNN, RNN, LSTM и GRU. Измерения показывают производительность модели в серии обучающих циклов. Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этой фигуры.

Рисунок 8: производительность классификатора HMC и одного классификатора машинного обучения. На рисунке показано сравнение иерархической мультиклассификации и традиционного классификатора меньшинственных атак, таких как U2R и R2L. Представлены оценки F1, включая полоски ошибок, указывающие на вариации между повторными экспериментами. Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этой фигуры.

Рисунок 9: Производительность классификаторов HMC против глубокого обучения. Это значение указывает на улучшение мультиклассового обнаружения с помощью HMC на моделях DL. Выделена производительность меньшинства, которая значительно улучшилась по сравнению с моделями с одним DL. Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этой фигуры.

Рисунок 10: Результаты симуляции DDoS-атак. На рисунке показаны результаты мониторинга эксперимента в реальном времени по симуляции атаки, которые указывают скорость трафика, количество аномальных соединений, время отклика метода обнаружения и выход классификации системы. Шкалы указывают время (в секундах) и объём трафика. Пожалуйста, нажмите здесь, чтобы увидеть увеличенную версию этой фигуры.

Модель	Скорость обучения	Размер партии	Эпохи	Функция активации
MLP	0.001	64	30	ReLU
CNN	0.0005	32	50	LeakyReLU
RNN	0.001	64	40	Тань
LSTM	0.0001	128	60	Сигмоид
ГРУ	0.001	64	45	ReLU

Таблица 1: Настройки параметров модели глубокого обучения. В этой таблице приведены гиперпараметры экспериментов по глубокому обучению: размер пакета, скорость обучения, количество эпох и спецификации архитектуры.

Идентификатор образца	Время отбора проб (секунды)	Степень доверия ExExEx	Entropy EnEnEn	Гиперэнтропия HeHeHe	Оценка сходства	Уровень доверия
1	10	0.75	0.65	0.8	0.85	Высокий
2	20	0.8	0.6	0.75	0.82	Высокий
3	30	0.68	0.7	0.85	0.8	Среда
4	40	0.6	0.72	0.9	0.78	Среда
5	50	0.5	0.8	0.95	0.7	Низкий
6	60	0.45	0.85	0.96	0.65	Низкий

Таблица 2: Значения выборки системы и анализ ситуации в сети. В этой таблице приведены некоторые выборочные значения облачной среды, такие как статистика трафика, значения доверия и результаты классификации.

Классификатор	Точность	Точность	Отзыв	Счёт F1
Дерево решений (DT)	85.20%	84.30%	86.10%	85.20%
Случайный лес (RF)	90.10%	89.30%	91.00%	90.10%
Наивный Байес (NB)	82.50%	81.70%	83.40%	82.50%
K — ближайшие соседи (KNN)	87.40%	86.80%	88.10%	87.40%
SVM-RBF	88.90%	88.10%	89.50%	88.80%
Линейный SVM (L-SVM)	87.80%	87.20%	88.50%	87.80%
Упаковка	91.20%	90.50%	91.70%	91.10%
Ускорение	92.30%	91.90%	92.60%	92.20%

Таблица 3: Сравнение производительности классификаторов машинного обучения. В таблице представлены показатели отзыва, точности, точности и результатов F1 для всех тестируемых моделей машинного обучения.

Модель	Точность	Точность	Отзыв	Счёт F1
MLP	89.50%	88.70%	90.30%	89.50%
CNN	91.20%	90.70%	91.50%	91.10%
RNN	88.30%	87.60%	88.80%	88.20%
LSTM	92.10%	91.80%	92.40%	92.10%
ГРУ	91.80%	91.40%	92.10%	91.70%

Таблица 4: Сравнение производительности классификаторов глубокого обучения. В этой таблице представлены метрики производительности моделей MLP, CNN, RNN, LSTM и GRU на основе мультиклассового обнаружения.

Метрика производительности	Базовое среднее значение (SD)	Предлагаемое среднее значение модели (SD)	t-значение	p-значение	Значение
Точность	0.89 (0.04)	0.96 (0.02)	8.72	<0.001	Значимость
F1-Score	0.84 (0.05)	0.94 (0.03)	9.15	<0.001	Значимость
Обнаружение класса меньшинства (U2R/R2L)	0.52 (0.08)	0.81 (0.06)	10.44	<0.001	Значимость
Процент ложноположительных результатов	0.11 (0.03)	0.04 (0.02)	–7.98	<0.001	Значимость
Задержка обнаружения (секунды)	3.10 (0.41)	1.82 (0.33)	–9.27	<0.001	Значимость

Таблица 5: Статистическая значимость улучшений производительности. В этой таблице представлены результаты парных t-тестов, которые сравнивают базовые модели с предлагаемым фреймворком Adaptive ML -HMC-Trust с точки зрения основных показателей производительности. Таблица состоит из средних и стандартных значений отклонения, t-значений, p-значений и уровней значимости точности, результата F1, обнаружения по классу меньшинств, частоты ложноположительных результатов и задержки обнаружения.

Discussion

Эффективное внедрение этого протокола зависит от критически важных шагов внутри облачной архитектуры. Правильная конфигурация контроллера Ryu OpenFlow, правильная настройка правил Open vSwitch и надёжное формирование многоуровневой топологии необходимы для полного захвата трафика. Выбор Ryu в качестве контроллера и Open vSwitch в качестве платформы для коммутации значительно усиливает практическую ценность системы; Их лёгкие, модульные и полностью программируемые характеристики делают их идеальными для мониторинга сети в реальном времени, динамического управления потоками и масштабируемого управления безопасностью в облачных инфраструктурах. Аналогично, конвейер предварительной обработки — включая очистку, нормализацию и аннотации — должен выполняться точно для предотвращения смещения при иерархической классификации, решая присущие сложности аналитики безопасности облака.

Во время развертывания потребовалось несколько корректировок для обеспечения оптимальной работы. Ансамблевые модели изначально демонстрировали переподгонку в меньшинственных классах, требуя настройки глубины и голосования слабого учащегося, что повторяет сложности, встречающиеся при обнаружении аномалий. Для снижения волатильности доверия, вызванной шумным трафиком, были перекалиброваны параметры энтропии и распада облачной модели. Кроме того, узкие места потока в конвейерах Kafka-Spark были устранены путём масштабирования раздела тем для поддержки высокопроизводительных облачных сред.

Экспериментальные результаты симуляций в Mininet и EstiNet, а также оценки с использованием реального облачного трафика и наборов данных DDoS, показывают, что предлагаемый подход слияния ML-HMC-trust обеспечивает явные улучшения точности обнаружения, снижения ложноположительных результатов и оперативности в реальном времени. Это подтверждает эффективность согласования алгоритмов адаптивного обучения с иерархической моделью классификации для разложения сложных задач обнаружения мультиклассовых атак. Такой подход обладает значительными преимуществами по сравнению с традиционными нереактивными и основанными на правилах системах, которые испытывают трудности с динамическими атаками и угрозами из категории меньшинств. В частности, объединяя HMC с AdaBoost и Bagging, протокол достигает более высокой точности в детализированном обнаружении редких классов атак, таких как U2R и R2L, устраняя ограничения классового дисбаланса отдельных моделей машинного обучения. Кроме того, модель динамического доверия повышает возможности принятия решений в неопределённых ситуациях.

Несмотря на эти достижения, протокол подвержен определённым ограничениям, описанным в связанных работах. Методы машинного обучения по-прежнему испытывают вызовы из-за сильного дисбаланса данных, особенно в атаках U2R и^{R2L. 8}. Модели глубокого обучения, хотя и мощны, требуют значительных вычислительных ресурсов и могут демонстрировать задержку в облачных сценариях^{реального времени 12, 13}. Ансамблевое обучение улучшает обобщение, но увеличивает расход ресурсов и время^{вывода 14}. Аналогично, системы доверия облачных моделей показали уязвимость к шумным или динамически меняющимся поведенческим входам, что соответствует предыдущим данным¹⁶. Предлагаемый метод отличается модульной конструкцией, подходящей для больших облачных и периферийных сред, что позволяет интегрироваться с федеративным обучением, туманными вычислениями и распределёнными IoT-облачными системами. В то время как текущее исследование было сосредоточено на функциональной валидации в сценариях среднего масштаба, будущие исследования будут расширены на крупномасштабные, высокораспределённые облачные среды и многоконтроллерные архитектуры SDN для повышения отказоустойчивости. Планируемые расширения также включают исследование адаптации доверия на основе обучения с подкреплением, возможностей zero-day и более глубокой интеграции с каналами разведки угроз для противодействия новым угрозам, таким как фишинг и ботнеты. Объединяя адаптивное машинное обучение, HMC и оценку доверия в рамках экосистемы SDN, это исследование открывает стратегический путь к более интеллектуальным, устойчивым и проактивным системам облачной обороны.

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
AdaBoost (Библиотека ансамблевого обучения)	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.AdaBoostClassifier.html	Программное обеспечение
Классификатор упаковки	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.BaggingClassifier.html	Программное обеспечение
Код оценки доверия к облачным моделям	Пользовательская реализация	Н/Д	Алгоритм/Программное обеспечение
Сверточная нейронная сеть (CNN)	TensorFlow / PyTorch	https://www.tensorflow.org/tutorials/images/cnn	Программное обеспечение
Фреймворки глубокого обучения (MLP, RNN, LSTM, GRU)	TensorFlow / PyTorch		Программное обеспечение
Симулятор сети EstiNet	EstiNet Technologies	https://sites.google.com/view/estinet-network-simulator	Программное обеспечение
Kafka (платформа потоковой передачи данных)	Фонд Apache	https://kafka.apache.org/	Программное обеспечение
Набор данных KDD CUP 10%	Репозиторий машинного обучения UCI	http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html	Набор данных
Эмулятор Mininet	Проект Mininet	Mininet 2.3.1	Эмуляция сети для топологии SDN, пропускной способности и симуляции смешанных атак.
Open vSwitch (OVS)	Open vSwitch Org	OVS 3.2.2	Виртуальный коммутатор, реализующий управление таблицей потоков и перенаправление трафика атаки.
Облачная платформа OpenStack	Фонд открытой инфраструктуры	https://www.openstack.org/	Облачное программное обеспечение
Python 3.x	Фонд программного обеспечения Python	https://www.python.org/downloads/	Язык программирования
Контроллер Ryu SDN	NTT R& D	Рю 4.34	SDN-контроллер для фиксации сетевого трафика в реальном времени и осведомлённости о ситуации.
Spark Streaming Framework	Фонд Apache	https://spark.apache.org/docs/latest/streaming-programming-guide.html	Программное обеспечение
Visual C++ (VC++) Compiler	Microsoft	https://visualstudio.microsoft.com/	Программное обеспечение
Рабочая станция Windows 11	Microsoft	Windows 11 Pro 23H2	ОС используется для компиляции, обучения и тестирования моделей.