Untersuchung der Effizienz von Dual-Flow-Deep-Learning-Modellen LSTM-FCN und GRU-FCN im Vergleich zu Single-Flow-CNN-Modellen für die hostbasierte Intrusionserkennung und Malwareerkennung auf univariaten Zeitreihendaten

Die Aufgaben der Intrusionserkennung und Malwareerkennung auf Host-Ebene sind ein kritischer Bestandteil der gesamten Informationssicherheitsinfrastruktur eines modernen Unternehmens. Während klassische hostbasierte Intrusionserkennungssysteme (HIDS) und Antiviren (AV)-Ansätze auf der Überwachung von Änderungen kritischer Dateien und Malware-Signaturen basieren, haben einige aktuelle Studien, die relativ einfache Deep-Learning (DL)-Methoden nutzen, vielversprechende anomaliebasierte Erkennungsergebnisse gezeigt, die aufgrund der niedrigen Fehlalarmrate (FPR) bereits praktische Anwendbarkeit haben. Komplexere DL-Methoden bieten typischerweise bessere Ergebnisse bei Aufgaben der natürlichen Sprachverarbeitung und Bilderkennung. In diesem Papier analysieren wir die Anwendbarkeit komplexerer Dual-Flow-DL-Methoden wie Long Short-Term Memory Fully Convolutional Network (LSTM-FCN), Gated Recurrent Unit (GRU)-FCN und mehrere andere für die im Angriff verursachten Windows OS-Systemaufruf-Spuren-Dataset-Aufgabe (AWSCTD) und vergleichen sie mit einfachen Single-Flow-Convolutional-Neural-Network (CNN)-Modellen. Die erzielten Ergebnisse zeigen keine Vorteile der Dual-Flow-Modelle bei der Verarbeitung univariater Zeitreihendaten und führen zu einer unnötigen Komplexität, die die Trainings- und Anomalie-Erkennungszeit erhöht, was im Prozess der Eindämmung von Eindringlingen entscheidend ist. Andererseits zeigte das neu getestete AWSCTD-CNN-statisch (S) Single-Flow-Modell dreimal bessere Trainings- und Testzeiten bei gleichbleibend hoher Erkennungsgenauigkeit.