Verbesserung der Eindringungserkennung mit Merkmalsauswahlmethoden

Cybersecurity ist mega wichtig, um Daten und Systeme vor Angriffen zu schützen. Intrusion Detection Systems (IDS) sind Tools, die helfen, solche Bedrohungen zu erkennen und zu verhindern. Diese Systeme analysieren Computer- und Netzwerkdaten, um Anzeichen von schädlichem Verhalten zu finden. In letzter Zeit wurden Machine Learning (ML) und Deep Learning (DL) Techniken verwendet, um IDS-Modelle zu verbessern. Beliebte Methoden sind Random Forest (RF) und Deep Neural Networks (DNN).

Ein wichtiger Aspekt beim Bau effektiver IDS-Modelle ist die Merkmalsauswahl, bei der die relevantesten Datenpunkte für die Analyse gewählt werden. Wenn man die richtigen Features auswählt, können die Modelle schneller laufen und genauere Ergebnisse liefern. Dieser Artikel vergleicht drei verschiedene Methoden zur Merkmalsauswahl: RF Informationsgewinn, Korrelationsmerkmalsauswahl mit einem Bat-Algorithmus und Korrelationsmerkmalsauswahl mit dem Aquila-Optimizer.

Unsere Forschung zeigt, dass die merkmalsauswahlbasierte Methode mit dem Bat-Algorithmus am effizientesten ist und nur 55% der Zeit benötigt, die das beste Random Forest-Modell braucht, bei fast gleicher Genauigkeit. Da Cyberbedrohungen weiterhin zunehmen, ist es entscheidend, effektive und effiziente Methoden zur Intrusionserkennung zu finden.

#Überblick über Cybersecurity

Cybersecurity ist ein wachsendes Thema, weil die Anzahl der Cyberbedrohungen ständig steigt. Zum Beispiel wurden 2022 mehr als 1,3 Milliarden Malware-Programme identifiziert. Zudem können Datenpannen richtig teuer werden; die durchschnittlichen Kosten eines Datenlecks betragen etwa 4,24 Millionen Dollar. Ein wesentlicher Bestandteil der Cybersecurity ist die Bedrohungserkennung, die schädliche Aktivitäten identifiziert. Netzwerkbasierte IDS (NIDS) zielen darauf ab, Netzwerkverbindungen auf Anzeichen von schädlichem Datenverkehr zu überwachen. Da viele ernsthafte Angriffe über Netzwerke auf Organisationen abzielen, ist die Entwicklung von NIDS ein wichtiges Forschungsgebiet.

#Arten von Intrusion Detection Systems

Intrusion Detection Systems lassen sich allgemein in zwei Typen unterteilen: signaturbasierte und anomaliebasierte Systeme. Signaturbasierte IDS suchen nach bekannten Angriffsmustern. Sie erstellen ein Modell basierend auf vergangenen Daten und nutzen dieses Modell, um aktuelle Bedrohungen zu identifizieren, ähnlich wie Antivirus-Software funktioniert. Allerdings haben diese Systeme Schwierigkeiten mit neuen oder unbekannten Angriffen.

Im Gegensatz dazu identifizieren anomaliebasierte IDS ungewöhnliche Muster in den Daten. Diese Methode kann effektiver sein, um neuartige Angriffe aufzudecken, besonders bei grossen Datensätzen, die keine klaren Korrelationen haben. Hybride Systeme kombinieren beide Ansätze, um die Gesamtleistung zu verbessern.

#Datenquellen für die Forschung

In unserer Forschung haben wir echte oder simulierte Netzwerkdaten verwendet, um verschiedene IDS-Modelle zu testen. Zu den gängigen Datensätzen gehören NSL-KDD, KDD-Cup'99, UNSW-NB15 und CSE-CIC-IDS2018. Unser Fokus lag auf dem CSE-CIC-IDS2018-Datensatz, da dieser eine Vielzahl von Angriffen enthält, einschliesslich Zero-Day-Angriffen, die häufig in neu eingerichteten Netzwerken vorkommen. Dieser Datensatz ist wegen seiner Vielfalt und der aktuellen Updates wertvoll für die Forschung.

#Machine Learning Techniken

Um effiziente Intrusion Detection Systems zu bauen, kommen Machine Learning und Deep Learning Techniken zum Einsatz. Machine Learning konzentriert sich auf statistische Methoden, die Muster aus bekannten Verhaltensweisen ableiten. In diesem Bereich sind Klassifikationsmethoden entscheidend, um herauszufinden, ob ein Nutzer einen Angriff versucht und welche Art von Angriff es ist. Da die Daten oft unausgewogen sind, haben wir uns entschieden, Random Forest für unsere Analyse zu verwenden.

Random Forest funktioniert, indem mehrere Entscheidungsbäume erstellt werden, die Datenpunkte basierend auf bestimmten Entscheidungsgrenzen klassifizieren. Es balanciert niedrige Varianz und niedrige Verzerrung, was es zu einer nützlichen Methode für unsere Zwecke macht.

Deep Neural Networks zielen darauf ab, komplexe Beziehungen zu modellieren, indem sie Schichten von Knoten durch Aktivierungsfunktionen miteinander verbinden. Sie sind vorteilhaft für das Training mit grossen Datensätzen und liefern im Vergleich zu traditionellen Machine Learning Techniken konstant starke Leistungen.

#Methoden der Merkmalsauswahl

Die Merkmalsauswahl ist entscheidend für die Verbesserung der Leistung von Intrusion Detection Systems. Indem wir die Merkmale, die in das Modell eingespeist werden, eingrenzen, können wir Geschwindigkeit und Effektivität verbessern. Es gibt drei Haupttypen von Methoden zur Merkmalsauswahl: Filtermethoden, Wrapper-Methoden und eingebettete Methoden.

Filtermethoden wenden vordefinierte Kriterien an, um die Nützlichkeit von Features zu bewerten. Wrapper-Methoden beinhalten das Erstellen und Vergleichen vieler Modelle basierend auf Teilmengen von Features. Eingebettete Methoden trainieren ein Modell, das dann bestimmt, welche Merkmale wertvoll sind.

In unserer Studie konzentrierten wir uns auf zwei Filtermethoden (CFS-BA und CFS-AO) und eine eingebettete Methode (RF Informationsgewinn). CFS-BA ist eine korrelationsbasierte Methode, die schnell die Beziehungen zwischen den Features bewertet.

#Bat-Algorithmus

Der Bat-Algorithmus ist eine metaheuristische Optimierungstechnik, die darauf basiert, wie Fledermäuse Echolokation nutzen, um zu jagen. Dieser Algorithmus funktioniert in zwei Hauptphasen: Exploration, die darauf abzielt, ein breites Spektrum möglicher Lösungen abzudecken, und Exploitation, die sich auf das Finden der besten Lösung in einem bestimmten Bereich konzentriert.

In unserer Studie haben wir den Bat-Algorithmus angewendet, um die beste Teilmenge von Features basierend auf ihrer Korrelation mit der Zielvariablen zu finden. Diese Methode lieferte hervorragende Ergebnisse, als sie mit dem CSE-CIC-IDS2018-Datensatz getestet wurde.

#Aquila-Optimizer

Der Aquila-Optimizer ist ein neuerer metaheuristischer Algorithmus, der darauf abzielt, frühere Methoden in Bezug auf Geschwindigkeit und Effizienz zu übertreffen. Obwohl es länger dauern kann, die beste Lösung zu finden, hat er starke Ergebnisse in der Merkmalsauswahl über verschiedene Benchmarks gezeigt.

In dieser Forschung haben wir die Leistung des Aquila-Optimizers mit dem Bat-Algorithmus verglichen, um ihre Effektivität bei der Auswahl von Features für Intrusion Detection Systems zu bewerten.

#Bewertungsmetriken

Um den Erfolg unserer Intrusion Detection Modelle zu messen, haben wir eine Reihe von Leistungsmetriken analysiert. Dazu gehörten Genauigkeit, Präzision, F1-Score und die Fehlalarmrate (FAR). Für die binäre Klassifikation verwendeten wir eine Verwirrungsmatrix, um zu bestimmen, wie gut unsere Modelle bei der Vorhersage von schädlichem versus harmlosigem Verhalten abgeschnitten haben.

Für die Mehrklassenklassifikation berechneten wir Metriken, indem wir jede Klasse einzeln behandelten und die Gesamtgenauigkeit bestimmten. Ziel war es, ein umfassendes Verständnis davon zu bekommen, wie gut jedes Modell mit verschiedenen Teilmengen von Features abgeschnitten hat.

#Datenvorbereitung

Wir verwendeten den CSE-CIC-IDS2018-Datensatz, der erstellt wurde, um Netzwerkdaten für die Forschung im Bereich Intrusion Detection Systems zu simulieren. Der Datensatz enthält simulierte Angriffe über zehn Tage und zahlreiche numerische Eingaben.

Vor der Analyse haben wir die Daten bereinigt, indem wir irrelevante Merkmale entfernt und die verbleibenden Prädiktoren normalisiert haben. Wir wählten einen 50/50 Train-Test-Split, um sicherzustellen, dass wir genügend Daten für gründliche Tests und Validierungen hatten.

#Ergebnisse und Analyse

Nachdem wir unsere Modelle mit verfeinerten Feature-Teilsets ausgeführt hatten, fanden wir heraus, dass sowohl der Bat-Algorithmus als auch die RF Informationsgewinn-Methoden die Modelle mit dem vollständigen Set an Features erheblich übertroffen haben. Der Bat-Algorithmus reduzierte die Modellbauzeit erheblich, während er hohe Genauigkeitslevels beibehielt.

In Bezug auf die Leistung erreichte das Random Forest-Modell die höchste Genauigkeit mit den wenigsten Features. Das Deep Neural Network-Modell schnitt ebenfalls gut ab, hatte aber bei bestimmten Arten von Angriffen einige Herausforderungen.

Verwirrungsmatrizen zeigten Muster der Fehlklassifikation zwischen bestimmten Angriffstypen, wie Denial-of-Service- und Brute-Force-Angriffen, was auf Bereiche hinweist, in denen sich Modelle verbessern könnten.

#Fazit

Diese Forschung hat gezeigt, dass Methoden zur Merkmalsauswahl, insbesondere der Bat-Algorithmus und RF Informationsgewinn, bedeutende Vorteile für Intrusion Detection Systems bieten. Die Modelle, die diese Methoden beinhalteten, reduzierten die Anzahl der Features erheblich und verbesserten die Klassifikationsleistung.

Da Cybersecurity-Bedrohungen weiterhin evolvieren, ist es entscheidend, effiziente und effektive IDS-Modelle einzusetzen. Zukünftige Forschungen könnten weitere verschiedene Methoden zur Merkmalsauswahl, neuronale Netzwerkarchitekturen und Bewertungsmetriken untersuchen, um die Leistung und Erklärbarkeit von Intrusion Detection Systems zu verbessern. Mit fortlaufenden Fortschritten können wir unsere digitalen Umgebungen besser gegen aufkommende Bedrohungen schützen.