MSML: Ein neuartiges mehrstufiges semi-supervised Machine Learning Framework für Intrusion Detection Systeme

Die Technologie zur Intrusionserkennung hat in den letzten Jahren zunehmend an Aufmerksamkeit gewonnen. Viele Forscher haben verschiedene Systeme zur Intrusionserkennung mit Methoden des maschinellen Lernens (ML) vorgeschlagen. Es gibt jedoch zwei bemerkenswerte Faktoren, die die Robustheit des Modells beeinflussen. Der eine ist das schwere Ungleichgewicht des Netzwerkverkehrs in verschiedenen Kategorien und der andere ist die nicht identische Verteilung zwischen Trainingssatz und Testsatz im Merkmalsraum. In diesem Papier wird ein mehrstufiges Intrusionserkennungsmodell vorgestellt, das als multilevel semi-supervised ML (MSML) bezeichnet wird, um diese Probleme anzugehen. Das MSML-Framework umfasst vier Module: 1) reine Clusterextraktion; 2) Mustersuche; 3) feinmaschige Klassifikation (FC); und 4) Modellaktualisierung. Im reinen Clustermodul führen wir ein Konzept des „reinen Clusters“ ein und schlagen einen hierarchischen semi-supervised k-means Algorithmus vor, um alle reinen Cluster zu finden. Im Modul der Mustersuche definieren wir das „unbekannte Muster“ und wenden eine clusterbasierte Methode an, um diese unbekannten Muster zu finden. Dann wird eine Testprobe einem beschrifteten bekannten Muster oder einem unbeschrifteten unbekannten Muster zugeordnet. Das FC-Modul kann die FC für diese unbekannten Mustermuster erreichen. Das Modul der Modellaktualisierung bietet einen Mechanismus für das Retraining. Der KDDCUP99-Datensatz wird verwendet, um MSML zu bewerten. Die experimentellen Ergebnisse zeigen, dass MSML anderen bestehenden Intrusionserkennungsmodellen in Bezug auf die Gesamtgenauigkeit, den F1-Score und die Fähigkeit zur Erkennung unbekannter Muster überlegen ist.