Ein neuartiger semi-supervidierter Ansatz zur Clusterbildung von Netzwerkverkehr

Die Klassifikation von Netzwerkverkehr ist ein wesentlicher Bestandteil für Netzwerkmanagement und Sicherheitssysteme. Um die Einschränkungen traditioneller portbasierter und payloadbasierter Methoden zu überwinden, konzentrieren sich aktuelle Studien auf alternative Ansätze. Eine vielversprechende Richtung ist die Anwendung von Machine-Learning-Techniken zur Klassifizierung von Verkehrsflüssen basierend auf Paket- und Flussstatistiken. Insbesondere haben frühere Arbeiten gezeigt, dass Clusterbildung hohe Genauigkeit erreichen und unbekannte Anwendungsarten entdecken kann. In dieser Arbeit präsentieren wir eine neuartige semi-supervised Lernmethode, die mithilfe von eingeschränkten Clustering-Algorithmen arbeitet. Die Motivation dahinter ist, dass im Netzwerkbereich viele Hintergrundinformationen zusätzlich zu den Dateninstanzen selbst verfügbar sind. Zum Beispiel könnten wir wissen, dass die Flüsse f1 und f2 dasselbe Anwendungsprotokoll verwenden, weil sie gleichzeitig die gleiche Hostadresse am gleichen Port besuchen. In diesem Fall sollten f1 und f2 idealerweise in dasselbe Cluster gruppiert werden. Daher beschreiben wir diese Korrelationen in Form von paarweisen „must-link“-Einschränkungen und integrieren sie in den Clusterungsprozess. Wir haben drei eingeschränkte Varianten des K-Means-Algorithmus angewendet, die eine harte oder weiche Erfüllung der Einschränkungen und ein Lernen von Metriken aus den Einschränkungen durchführen. Zahlreiche reale Verkehrstraces wurden verwendet, um die Verfügbarkeit der Einschränkungen zu zeigen und den vorgeschlagenen Ansatz zu testen. Die experimentellen Ergebnisse zeigen, dass durch die Integration von Einschränkungen im Verlauf der Clusterbildung die Gesamgenauigkeit und die Clusterreinheit erheblich verbessert werden kann.