УЗГОДЖЕНА КЛАСИФІКАЦІЯ НОРМАЛЬНОГО ТРАФІКУ ТА ФЛУД-АТАКИ ЗА ПРОТОКОЛОМ UDP У МЕРЕЖАХ П’ЯТОГО ПОКОЛІННЯ МЕТОДОМ HYBRID AWRED

Анотація

У статті було розглянуто задачу багатокласового виявлення мережевих вторгнень у трафіку мереж п’ятого покоління. Основну увагу було приділено не тільки середній якості розпізнавання, а й характеру помилок між нормальним трафіком і флуд-атакою за протоколом UDP. Для практичних систем моніторингу це було важливо, оскільки високе значення узагальненої метрики ще не означало, що модель однаково прийнятно працювала для всіх важливих класів. Вона могла добре виглядати в середньому, але водночас надто часто відносити нормальний трафік до атаки.

Дослідження було виконано на наборі даних 5G-NIDD. Перед фінальним порівнянням було проведено попередній дробний факторний експеримент, який використано для вибору робочої області параметрів Hybrid AWRED. Докладний опис цього етапу було подано в основній частині статті. Фінальне порівняння було виконано для восьми підходів: BoostedTrees, RandomForest, MLP-CE, MLP-Focal, MLP-SupCon, LSTM, Transformer і Hybrid AWRED v8. Перевірку було проведено у п’яти прогонах із початковими станами генератора випадкових чисел 1081–1085.

У роботі Hybrid AWRED було розглянуто не як ще один звичайний класифікатор. Його роль була іншою: це гібридний механізм корекції профілю рішень у критичній парі класів. Він мав зменшити небажане зміщення між нормальним трафіком і флуд-атакою за протоколом UDP, але без втрати загальної якості багатокласового розпізнавання.

За результатами п’яти прогонів Hybrid AWRED v8 досяг значення Macro-F1 0.92747 ± 0.00048, тобто залишився на рівні найсильніших конкурентів. Водночас головний результат полягав не у формальній перевазі за однією метрикою. Метод забезпечив найвищу повноту нормального трафіку 0.66373, найнижчу частку помилки Benign→UDPFlood 0.33490, конкурентну повноту класу UDPFlood 0.73703 та найвищий коридорний індекс 0.77618. Найближчим конкурентом за цим напрямом став MLP-Focal. Він також показав добрий профіль для критичної пари, однак поступився Hybrid AWRED v8 за повнотою нормального трафіку, часткою критичної помилки, Macro-F1 та коридорним індексом.

Отримані результати показали, що Hybrid AWRED доцільно розглядати як засіб формування більш збалансованої класифікації нормального трафіку та флуд-атаки за протоколом UDP у мережах п’ятого покоління.

Ключові слова: мережі п’ятого покоління, виявлення мережевих вторгнень, Hybrid AWRED, багатокласова класифікація, нормальний трафік, флуд-атака за протоколом UDP, критична пара класів