رتبه بندی ویژگی ها و تجزیه و تحلیل طبقه بندی ماشین بردار پشتیبان توسط سیستم تشخیص نفوذ NSL-KDD Feature Ranking and Support Vector Machines Classification: Analysis of the NSL-KDD Intrusion Detection Corpus

مقدمه

در حال حاضر، رویکرد های سیستم تشخیص نفوذ مبتنی بر امضا (IDS) برای پرداختن به تهدیدات مطرح شده توسط سیستم های شبکه ای سوء استفاده روز صفر مناسب نیستند. سیستم های آماریIDS  هنگامی که نقض شدند، می توانند با ایجاد امضاهایی از رفتار طبیعی سیستم ها، به مدیر سیستم در مورد نفوذی که ممکن است پیش آید هشدار دهند و فرصتی عالی برای کاهش این تهدید ارائه نمایند. این امر در هنگام بررسی نفوذ های ناشناخته، ارزش ویژه ای دارد. با این حال، در این نقطه، در مورد کوراپس های مورد استفاده در تجزیه و تحلیل یادگیری ماشین IDS توافقی وجود ندارد. مجموعهDARPA 98 Corpus  به طور گسترده ای مورد استفاده قرار گرفته است(کندال، 1999). با این حال، این کوراپس دارای مشکلات فراوانی نظیر نمونه های تکراری در آژمون و مجموعه های آموزشی می باشد (مک هاف، 2000). اخیراً، تاوالایی و همکاران (2009) زیر مجموعه از این کوراپس توسعه داده اندکه به برخی از این چالش ها می پردازد. نتایج اخیر آنها نوید هایی داد اما در عین حال کاستی هایی را نیز نشان داد. به طور خاص، مطالعه آنها (تاوالایی و همکاران 2009) رتبه بندی دقیق  ویژگی های این کوراپس را ارائه نکرد و نتوانست به وسیله ماشین بردار پشتیبان (SVM) به نتایج خوبی دست یابد. ماشین بردار پشتیبان، یک طبقه بندی کننده قدرتمند نظری و آزمایشگاهی می باشد که در روش های یادگیری ماشینی از آن استفاده می شود. SVM  به دلیل ضعف در تنظیم پارامتر و عدم تعادل طبقه بندی داده ها در عدم توازن داده کمتر مورد استفاده قرار گرفت. اما زمانی که توسط پارامترهای بهینه بکار گرفته شد، توانست به نتایج خوبی دست یابد.

جهت مشاهده متن کامل، فایل ترجمه را دانلود نمایید.

مروری بر مطالعات انجام شده

بسیاری از مطالعات نظیر پردیسکی 2006؛ سیسلاک و همکاران. (2006)؛ کایاسیک و همکاران، 2005؛ کایاسیک و زینکیر-هیوود (2005)؛ و خان ​​و همکاران، 2007 در مورد چگونگی اجرای یادگیری ماشینی براساس تشخیص نفوذ در سیستم های شبکه انجام شده اند. تا همین اواخر کوراپسDARPA 98 (کندال 1999) برای تجزیه و تحلیلIDS  و ماشین یادگیری یک کوراپس استاندارد بوده است. با این حال، این کوراپس به دلیل بسیاری از مسائل که در اینجا مورد بحث قرار گرفته، مورد انتقاد قرار گرفت (مک هاف، 2000). نویسندگان این مطالعه (تاوالایی  و همکاران 2009) زیرمجموعه ای از کوراپس ها ایجاد نمودند که به برخی از این مسائل می پردازد. پردیسکی (2006) پیشنهاد کرده است که می توان طراحی یک سیستم IDS را به عنوان راه حلی برای مشکل تشخیص الگو مشاهده نمود. در مطالعه پردیسکی (2006)، سه مشکل مورد بحث قرار گرفته است: یادگیری اطلاعات برچسب گذاری نشده، یادگیری در محیط های رقابتی و اجرا در محیط های رقابتی. نویسنده این مطالعه، به دلیل چالش های ذاتی در بهره اطلاعات مشروح و قابل اعتماد شبکه برای تشخیص الگوی IDS از اطلاعات برچسب گذاری نشده استفاده می کند. پردیسکی (2006) برای تشخیص ناهنجارهایی که سیستم شبکه های کامپیوتری را تهدید می کند، از  یک سیستم طبقه کننده چندگانه مدولار با داده های برچسبگذاری نشده استفاده می کند. نتایج مطالعه آنها نشان داد که دقت این رویکرد را در صورت مقایسه با سایر رویکرد های «یکپارچه» می توان بهبود بخشید. نویسندگان در مطالعه  سیسلاک و همکاران (2006)، به مسئله عدم تعادل طبقه می پردازند و این مشکل در یادگیری ماشین شناخته شده می باشد و می تواند بر نتایج تشخیص تاثیر بگذارد. آنها برای ایجاد مجموعه داده ای از داده نامتعادلIDS  از SNORT استفاده نمودند. رویکرد آنها با استفاده از افزایش نرخ نمونه گیری و کاهش نرخ نمونه گیری به بهبود نتایج کمک کرد.

مطالعه کایاسیک و همکاران(2005)، یک مطالعه مهم در ارتباط با ویژگی تجزیه و تحلیل داده IDS برای تجزیه و تحلیل یادگیری ماشینی می باشد. این نویسندگان در مطالعه، از بهره اطلاعات برای رتبه بندی ویژگی های اصلی Darpa 98 Corpus  استفاده کردند. تجزیه و تحلیل آنها شامل رتبه بندی ویژگی ها بر اساس انواع اتصال فردی نظیر اسکنNMAP، حمله اسمورف یا اتصال FTP می باشد. بررسی ارائه شده در این مقاله نیز برای مقایسه از رتبه بندی بهره اطلاعات استفاده می نماید. این مقایسه در صورت سازگاری رتبه بندی ویژگی های کوراپس NSL-KDD با رتبه بندی کوراپس DARPA 98 موجب درک بهتر خواهد شد. کایاسیک و زینسیر- هیوود (2005) نیز از کوراپسDarpa 98  استفاده نمودند، اما آن را با کوراپس مصنوعی خود مقایسه کردند. آنها برای انجام تجزیه و تحلیل از خوشه بندی و شبکه های عصبی مصنوعی استفاده نمودند. انتقاد اصلی آنها این بود که مجموعه داده های آنها به نظر واقعی تر از مجموعه داده اصلی DARPA 98 می باشد. در مطالعه مک هاف (2000) شاهد بحث و بررسی بیشتر در مورد این مسائل هستیم. روش هایی نظیر ماشین بردار پشتیبان همواره بهترین روش در تشخیص  مشکلات و تشخیص الگو می باشند. در این مطالعه خان و همکاران (2007)،ازSVM  برای تشخیص نفوذ استفاده شد. نتایج مطالعه آنها نشان داد که SVM  در کورپس DARPA 98 به دقت تشخیص خوبی دست یافت.

سیستم های تشخیص نفوذ به فن آوری مورد استفاده برای تشخیص رفتار غیر طبیعی در سیستم های شبکه ای اشاره می نماید، این رفتار ها محرمانگی، یکپارچگی و در دسترس بودن منابع را تهدید می کنند. در حال حاضر، سیستم های IDS عمدتاً به عنوان رویکرد های مبتنی بر امضا اجرا شده اند. مکانیسم اصلی دارای قوانینی دارد که از آنها برای تشخیص امضاهای مخرب در اتصال استفاده می شود. SNORT، یکی از سیستم های تشخیص نفوذ به طور گسترده مورد استفاده می باشد (روسچ، ام، 1999). SNORT از مقررات اکتشافی برای شناسایی نرم افزارهای مخرب یا اقدامات نفوذی استفاده می کند. با این حال، این رویکرد برای تشخیص الگوهای نفوذی که  در بخش زیرین اسنورت قرار دارند و استفاده از سایر سیستم های IDS در بهره برداری های ناشناخته به دانش قبلی نیاز دارد. می توان از آن بر روی کامپیوتر میزبان استفاده کرد یا آن را از روترهای منبع بازی نظیر PackerProtectorدانلود نمود. روترهای اینترپرایز نظیر سنسورهای CISCO IDS را می توان با مکانیزمی یکسان با دانلود امضای وب بکار برد. یک مسئله کلیدی در مورد این دستگاه ها این است که آنها حافظه و قدرت پردازش محدودی دارند. سنسورهای اینترپرایز (Enterprise sensors) تا حد زیادی دستگاه دارای بیشترین حافظه و قدرت پردازش می باشند. با این حال، مشخص است که روش های یادگیری ماشینی به آموزش مدلسازی مجموعه ای از داده های بزرگ کوراپس و همچنین قدرت پردازش بالا نیاز دارد. بنابراین، یافتن روش های یادگیری ماشینیکارآمد تر امری ضروری می باشد. ماشین بردار پشتیبان روشی است که توسط کورتس و واپنیک (1995) مطرح شده و تلاش دارد تا مرز تفکیک داده دو کلاس مختلف را به حداکثر برساند. این امر مبتنی برنظریه یادگیری آماری می باشد. هدف آن به حداقل رساندن ریسک تجربی و ساختاری می باشد. این امر ریسک تجربی را بواسطه به حداقل رساندن خطاهای مربع (اصطلاحEi) و ریسک ساختاری را با به حداقل رساندن بردار وزنی به حداقل می رساند. در این مطالعه، در رابطه با WEKA در آموزش و آزمون مدلسازی از LibSVM  استفاده شد(چانگ و لین 2001).

روش شناسی

در این مقاله ماشین بردار پشتیبان، روشی می باشد که برای رتبه بندی ویژگی و تشخیص تجزیه و تحلیل ارائه شده و مورد بحث قرار گرفته است. برای انجام تحلیل بهینه تشخیص، بر روی مجموعه آموزشی تعیین شده برای به دست آوردن پارامترهای بهینه برای استفاده با کرنل تابع شعاعی پایهSVM (RBF) از جستجوی شبکه استفاده شده است. پس از تعیین پارامترهای بهینه آموزش دیده و مورد آزمون قرار گرفته توسط مدل SVM و نتایج مورد بحث قرار گرفته اند.

پس از این مرحله، رتبه بندی ویژگی با استفاده از رتبه بندی ویژگی بهره اطلاعات انجام شده است. تشخیص توسط مجموعه ویژگی های کاهشی و با استفاده از SVM تکرار شده و نتایج مورد بحث قرار گرفته اند. در نهایت، مجموعه داده ها با استفاده از سایر روش های تشخیص از جمله روش های مورد بحث (تاوالایی و همکاران 2009) و روش هایی که قبلاً انجام نشده مورد تجزیه و تحلیل قرار گرفته اند. امید است که این مقاله به عنوان یک کار مبنا برای مطالعات مبتنی بر یادگیری ماشینی در کوراپس KDD–NLS بکار رود (تاوالایی و همکاران 2009). برای بررسی داده های غیر خطی، برای ترسیم داده های غیر خطی در فضای خطی با بعد بالاتر از یک ترفند کرنل استفاده شده است. کرنل های معمول شامل هسته خطی، تابع پایه ای شعاعی (RBF)، چند جمله ای و سیگموئیدی می باشند. برای به دست آوردن نتایج بهینه از تشخیص SVM نرمال شده و هسته RBF استفاده می شود.

برای تجزیه و تحلیل از مجموعه ای 41 ویژگی استفاده شده است. این ویژگی ها بسته به نحوه استخراج اطلاعات از اتصال به 3 حوزه اصلی گروه بندی شده اند (تاوالایی و همکاران 2009). گروه اول شامل ویژگی هایی می باشد که در آن اطلاعات توسط پارامترهای شناسایی اتصال TCP/IP استخراج شده اند. گروه دوم مشخص های اتصال جاری را نشان می دهد و آن را با اتصالات قبلی ارائه شده در پنجره زمان مقایسه می کند. رفتار پورت ها و خدمات مقایسه شده اند. گروه سوم ویژگی ها بر رفتار عجیبی نظیر تلاش بیش از حد شکست خورده در ورود به سیستم تمرکز می نماید. شرح مفصل تر این ویژگی و نحوه استخراج آنها را می توان در مطالعات (تاوالایی و همکاران 2009) یافت. تجزیه و تحلیل ویژگی با استفاده از قابلیت رتبه بندی بهره اطلاعات انجام شده است (یانگ و پدرسون،1997). این تجزیه و تحلیل در مطالعات وکا انجام شد و عمل کات اف بطور دستی در تمام ویژگی ها با بهره اطلاعاتی بیشتر از 0.14 در نظر گرفته شد. هنگامی که ویژگی ها رتبه بندی شدند، تشخیص با استفاده از مجموعه ای از ویژگی های کاهشی انجام می شود.

تجزیه و تحلیل و نتایج

یرای ارائه آمارهای تکمیلی در مورد مجموعه داده ها، چندین طبقه کننده آموزش داده شدند و با استفاده مجموعه داده های Train+ و Test+ از کوراپسNSL-KDD مورد آزمایش قرار گرفتند و نتایج در جدول 1 قابل مشاهده است. جدول 3 با استفاده از مجموعه KDDTrain+_20Percent که برای مقاصد آموزشی و مجموعه های KDDTest+ وKDDTest-21  که برای اهداف آزمون تعیین شده تجزیه و تحلیل SVM را ارائه می نماید. این تجزیه و تحلیل با روش های ماشین بردار پشتیبان و بتوسط هسته RBF انجام شد و در آن پارامترهای گاما برابر 0.03125 و هزینه برابر 8 بودند.

جدول 1 .تجزیه و تحلیل تشخیص

جهت مشاهده متن کامل، فایل ترجمه را دانلود نمایید.

نتایج تجزیه و تحلیل ماتریس درهم ریختگی بواسطه مجموعه های آموزش و آزمون Train+ و Test+ (تاوالایی و همکاران 2009) را می توان در جدول 2 مشاهده نمود. دیده این نتایج نشان می دهد که، به طور کلی این مدل به شناسایی عیوب نمونه های غیر عادی بیشتر از نمونه های عادی گرایش دارد. در نتیجه، سیستم تمایل دارد تا منفی های کاذب بیشتری داشته باشد. این نتیجه نشان می دهد که نمونه های خطرناک از طریق چیزی غیرمطلوب تصدیق می شوند. بنابراین، برای بهبود طرح تشخیص لازم است تا ویژگی های مربوط به حملات مشخص شود.

جدول 2.  ماتریس درهم ریختگی(Confusion Matrix)

جهت مشاهده متن کامل، فایل ترجمه را دانلود نمایید.

وقتی نتایج SVM در جدول 3 با نتایج بدست آمده از مطالعه تاوالایی و همکاران (2009) مقایسه شد، نشان داد که پیشرفت هایی در آن حاصل شده است. ممکن است این امر به دلیل کرنل RBF و شبکه جستجو برای تنظیم پارامتر باشد که موجب می شود تا پارامترهای بهینه ای بدست آید. پس از انجام تنظیم پارامتر با استفاده از کرنل تابع پایه شعاعی (RBF) ، پارامترهای بهینه ذیل به دست می آیند: گاما (g) برابر با 0.03125 و هزینه (C) برابر با 8 .

جهت مشاهده متن کامل، فایل ترجمه را دانلود نمایید.