Le choix des données d'entraînement et la généralisabilité des modèles d'apprentissage automatique pour les systèmes de détection d'intrusions réseau

Les systèmes de détection d'intrusions réseau (NIDS) basés sur des algorithmes d'apprentissage automatique (ML) sont généralement formés à partir de jeux de données disponibles publiquement, composés d'échantillons de trafic étiquetés, où les étiquettes se réfèrent à des classes de trafic, généralement une bénigne et plusieurs nuisibles. Cet article étudie la généralisabilité des modèles formés sur de tels jeux de données. Ce problème est crucial étant donné l'application d'un tel modèle au trafic Internet réel, car des mesures de performance élevées obtenues sur des jeux de données n'impliquent pas nécessairement une efficacité similaire sur le trafic réel. Nous proposons une procédure composée de validation croisée utilisant divers ensembles partageant certaines classes de trafic standard combinées à la visualisation t-SNE. Nous l'appliquons pour enquêter sur quatre jeux de données bien connus et largement utilisés : UNSW-NB15, CIC-CSE-IDS2018, BoT-IoT et ToN-IoT. Notre enquête révèle que la haute précision d'un modèle obtenue sur un ensemble utilisé pour l'entraînement est reproductible sur d'autres seulement dans une mesure limitée. De plus, la généralisabilité des classes de trafic bénin diffère de celle du trafic nocif. Étant donné son application dans l'environnement réseau actuel, cela implique qu'il est nécessaire de sélectionner soigneusement les données utilisées pour entraîner le modèle ML afin de déterminer dans quelle mesure les classes présentes dans l'ensemble de données utilisé pour l'entraînement sont similaires à celles dans l'environnement de trafic cible réel. D'autre part, la fusion de jeux de données peut entraîner une collecte de données plus exhaustive, composées d'un spectre d'échantillons d'entraînement plus diversifié.