Un Nuovo Approccio all'Analisi del Traffico di Rete

L'Analisi del traffico di rete è importante per gestire e mettere in sicurezza le informazioni online. Per migliorare questo, molti usano modelli complessi di machine learning (ML). Tuttavia, con la crescita dei dati su internet e l'aumento della crittografia, può essere difficile analizzare il traffico di rete rapidamente. A volte, la velocità con cui i dati fluiscono è più veloce di quella con cui i modelli riescono a lavorare.

In questo articolo, presentiamo una nuova soluzione pensata per ridurre i ritardi nell'analisi del traffico di rete. Il nostro approccio seleziona con attenzione quanti pacchetti di dati guardare e quali modelli usare per diversi tipi di dati. Bilanciando velocità, tasso di servizio e precisione, puntiamo a migliorare le performance.

#Contesto

I modelli basati sui dati del machine learning possono migliorare significativamente compiti di analisi del traffico di rete come l'identificazione dei servizi e il rilevamento delle intrusioni. Per questi compiti, classificare rapidamente i flussi di rete in categorie è fondamentale. Ad esempio, riconoscere i servizi e controllare la qualità dell'esperienza (QoE) deve avvenire in tempo reale, tipicamente con l'obiettivo di mantenere la Latenza sotto i 50 millisecondi.

Anche se i metodi di machine learning si sono dimostrati più accurati rispetto ai metodi tradizionali-come l'uso dei numeri di porta TCP/UDP-implementali in tempo reale può essere molto difficile. Il modello deve analizzare i flussi di dati rapidamente o gestire molti flussi in parallelo. È un continuo equilibrarsi tra ottenere risultati in fretta e mantenere l'accuratezza.

#Flusso di Lavoro per la Classificazione di Rete

Diamo un'occhiata a un flusso di lavoro tipico per la classificazione di rete. Prima, catturiamo e segmentiamo i flussi di rete (raccolta dati). Poi, convertiamo questi flussi in caratteristiche numeriche (featurization). Queste caratteristiche vengono poi usate dal modello per generare risultati di classificazione (inferenza). Il passo di inferenza è spesso il collo di bottiglia principale nel processo.

Varie tecniche, come il potatura del modello e la compressione dei dati, possono ridurre il tempo impiegato per l'inferenza. Tuttavia, semplicemente velocizzare questi passi potrebbe non risolvere il problema completamente, poiché la raccolta iniziale dei dati può aggiungere ritardi significativi. Il sistema deve classificare i flussi mentre sono ancora attivi in modo che le risposte possano essere immediate-come cambiare le priorità su certi flussi o fermare traffico non desiderato.

#Architettura del Modello Veloce-Lento

Analizzando il traffico, ci rendiamo conto che non tutti i flussi richiedono la stessa quantità di informazioni per essere classificati. Ad esempio, un pacchetto potrebbe essere sufficiente per una semplice richiesta di navigazione web, mentre flussi più complessi potrebbero aver bisogno di dati aggiuntivi per un'analisi accurata. Per sfruttare questo, proponiamo un'architettura di modello veloce-lento.

In questa architettura, usiamo modelli più veloci che possono fornire previsioni rapide ma meno accurate. Questi modelli veloci valutano prima il traffico in arrivo. Se il modello veloce non è sicuro riguardo a una previsione, il flusso viene inviato a un modello più lento e più accurato per un'analisi più dettagliata. Questo approccio aiuta a bilanciare la necessità di velocità con quella di accuratezza.

#Algoritmo di Assegnazione del Traffico

Non è sempre efficiente inviare tutte le richieste di flusso al modello lento. Facendo così, può impattare negativamente le performance complessive. Il modello veloce può fare previsioni rapidamente su molti flussi. In base al suo output, abbiamo bisogno di un modo intelligente per decidere quali flussi richiedono ulteriori elaborazioni da parte del modello più lento.

Introduciamo un meccanismo di assegnazione che pesa la probabilità che le previsioni del modello veloce siano corrette. Questo processo garantisce che solo i flussi che necessitano realmente di un'analisi più approfondita vengano inviati al modello lento. In sostanza, puntiamo a massimizzare l'efficienza mantenendo al contempo l'accuratezza.

#Architettura del Sistema

Per supportare l'architettura veloce-lento, dobbiamo gestire efficacemente lo stato del flusso di traffico. Il nostro sistema cattura i pacchetti di rete in tempo reale e li trasforma in una rappresentazione standard chiamata nPrint. Questo metodo consente una classificazione efficiente con vettori di caratteristiche ad alta dimensione.

Quando arriva una nuova richiesta di flusso, il sistema estrae le caratteristiche rilevanti e le dirige alla coda di elaborazione appropriata. Usando una gestione intelligente delle code, ci assicuriamo che nessun dato importante venga perso o ritardato eccessivamente. Col tempo, man mano che i flussi arrivano, il nostro sistema si regola per gestirli in un modo che migliora le performance.

#Scalabilità e Parallelismo

Il sistema è progettato per l'elaborazione parallela su vari setup hardware. Astrarre i compiti di elaborazione ci permette di gestire più richieste simultaneamente. Questa flessibilità è essenziale, soprattutto quando si hanno a che fare con grandi quantità di traffico di rete.

Anche se ci sono più consumatori coinvolti, il sistema ha un meccanismo per scalare su o giù in base alle richieste attuali. Questo consente una gestione efficiente di grandi flussi e aiuta a ridurre i ritardi durante i periodi di punta.

#Valutazione

Per valutare quanto bene funzioni il modello veloce-lento, abbiamo condotto esperimenti utilizzando dataset del mondo reale. Abbiamo guardato vari compiti, come il riconoscimento dei servizi, l'identificazione dei dispositivi e la misurazione della qualità dell'esperienza per le applicazioni video.

In ogni caso, abbiamo confrontato il nostro sistema con approcci tradizionali. Abbiamo scoperto che l'architettura veloce-lento aumenta il tasso di servizio-significa che può elaborare più flussi al secondo-mentre mantiene le latenze molto più basse rispetto ai modelli tradizionali.

#Risultati

Le nostre scoperte mostrano che, utilizzando il modello veloce-lento, possiamo ottenere un significativo aumento della velocità con cui classifichiamo i flussi di rete. L'architettura ci consente di servire un alto numero di flussi al secondo senza compromettere l'accuratezza.

Ad esempio, nei nostri test, siamo riusciti a raggiungere un tasso di servizio che supera i 48.5k nuovi flussi al secondo, mantenendo una bassa percentuale di flussi non classificati. La latenza mediana nell'elaborazione di questi flussi è stata drasticamente ridotta, dimostrando l'efficienza del nostro approccio.

#Conclusione

L'architettura del modello veloce-lento presentata in questo articolo è un significativo passo avanti nell'analisi del traffico di rete. Assegnando strategicamente i flussi a diversi modelli, miglioriamo le performance riducendo i ritardi. La nostra soluzione è in grado di gestire i tassi di flusso visti nelle reti delle grandi città, sottolineando il suo potenziale per applicazioni in tempo reale.

Lavori futuri potrebbero esplorare ulteriormente l'adattamento di queste tecniche ad altri settori, inclusa l'analisi video in tempo reale e i sistemi di edge computing. La natura adattabile della nostra architettura apre molte possibilità per migliorare l'efficienza in vari compiti di machine learning.