Генерація та використання змагальної вибірки для протидії ухиленню ботнетів від виявлення нейронними мережами (до 100-річчя з дня народження академіка В.М. Глушкова)

• Дата: 2023
• Автор: Panchuk, Bohdan
• Формат: Стаття
• Мова: Ukrainian
• Опубліковано: V.M. Glushkov Institute of Cybernetics of NAS of Ukraine 2023
• Теми: мережеві потоки; нейронні мережі; системи виявлення вторгнень; змагальні атаки; доповнення даних; ботнети
• Онлайн доступ: https://jais.net.ua/index.php/files/article/view/199
• Назва журналу: Problems of Control and Informatics

Описано спосіб проведення оцінки надійності систем виявлення ботнетів на основі нейронних мереж, з точки зору їх вразливості до змагальних атак, і підвищення стійкості таких систем через розширення навчального набору штучними даними. Під «змагальною атакою» мається на увазі цілеспрямована спроба зловмисника штучно модифікувати дані (у даному разі — потоки мережевих пакетів) для спроби ухилення від виявлення класифікатором. Запропонований та реалізований метод генерації змагальних прикладів для системи класифікації трафіку на основі нейронної мережі шляхом адаптації «методу швидкого знаку градієнта», відомого з області обробки зображень, для роботи з мережевими даними, представленими у формі мережевих потоків. Характерними рисами описаного підходу є обчислювальна простота, а також правдоподібність отриманих прикладів трафіку. Правдоподібність штучно створених екземплярів потоків забезпечувалась накладанням глобальних споріднених груп ознак, над якими проводились модифікації. Окрім застосування описаного підходу, для оцінки вразливості моделей класифікації також показана можливість його застосування для доповнення початкової навчальної вибірки штучними даними. Спершу базова модель класифікації була навчена на відкритому наборі даних трафіку ботнетів. Далі початковий набір був розширений змагальними прикладами, згенерованими описаним методом, після цього було експериментально показано, що модель, навчена на розширених даних, більш стійка до змагальних атак порівняно з базовою. При цьому метод не є специфічним лише для області виявлення ботнетів, а може застосовуватися для мережевих атак іншого роду за умови наявності відповідного навчального набору. Запропоновано напрямки для подальшого розвитку цього підходу.