МЕТОД ОБНАРУЖЕНИЯ КОМПЬЮТЕРНЫХ АТАК НА ОСНОВЕ МОДЕЛИ АУГМЕНТАЦИИ ДАННЫХ СЕТЕВОГО ТРАФИКА H-DDPM

Аннотация

Рассматривается задача повышения выявления компьютерных атак (КА) системой обнаружения вторжений при значительном дисбалансе данных сетевого трафика. На основе проведенного анализа методов снижения дисбаланса данных сделан вывод, что классические методы балансировки и генеративной аугментации не обеспечивают сохранение статистической структуры многомерных табличных данных, в том числе их фрактальных свойств и самоподобия, что снижает качество обучения классификатора. В работе предлагается метод обнаружения компьютерных атак (КА) на основе модели аугментации данных H-DDPM, представляющей собой модификацию диффузионной вероятностной модели DDPM, в которой дисперсия добавляемого гауссова шума в прямом процессе зависит от показателя Херста H для каждого класса КА. Метод включает предобработку данных, формирование временных рядов по скользящим окнам, оценку H методами DFA и R/S и генерацию синтетических данных для обучения классификатора LSTM. Метод оценивается по общим метрикам эффективности Accuracy, Recall, F1, ROC-AUC и G-means, а также Precision, Recall и F1-score для классов. Эксперименты проведены на наборах CSE-CSE-CIC-IDS2018 и UNSW-NB15. Выполнено сравнение с другими методами, такими как SMOTE, GAN и DDPM. Результаты экспериментов показывают, что H-DDPM повышает эффективность обнаружения КА, превосходя аналогичные методы по метрикам, чувствительным к дисбалансу. Также, на основе экспериментальных проверок показано, что непосредственно применение показателей Херста H для классов КА в модели H-DDPM повышает полноту и сбалансированное качество обнаружения КА. Отмечено, что H-DDPM оказывает влияние на классификацию КА, проявляющееся в росте ложноположительных срабатываний и снижении метрики ROC-AUC, что требует дополнительной настройки гиперпараметров модели классификатора и фильтрации синтетических данных