Арафат Заид, доцент, кафедра кибербезопасности
Scopus Author ID 57963547500
Кербала, 56001
Zaid Arafat, Assistant Lecturer, Department of Cybersecurity
Scopus Author ID 57963547500
Kerbala, 56001
Юдина Ольга Вадимовна, к.т.н., доцент, кафедра математического и программного обеспечения ЭВМ
162600, Череповец, пр-т Луначарского, д. 5
Olga V. Yudina, Cand.Sci. (Eng.), Associate Professor, Department of Mathematics and Computer Software
5, Lunacharskogo pr., Cherepovets, 162600
Абдулазиз Зайнаб А., ассистент преподавателя, Колледж образования в области гуманитарных наук
Scopus Author ID 57220186609
Кербала, 56001
Zainab A. Abdulazeez, Assistant Lecturer, College of Education for Human Sciences
Scopus Author ID 57220186609
Kerbala, 56001
Цели. Несбалансированность классов в наборах данных систем обнаружения вторжений (intrusion detection system, IDS) создает сложности для достижения равномерной эффективности обнаружения. В данном исследовании представлен стандартный каркас на основе генеративно-состязательной сети (generative adversarial network, GAN) для синтетической генерации сетевого трафика с целью расширения обучающих наборов данных IDS. Цель работы – оценить качество и практическую ценность сгенерированных GAN образцов для повышения способности IDS к обобщению. Исследование сосредоточено на проверке того, могут ли стандартные GAN генерировать реалистичный синтетический трафик, а не на целевой генерации отдельных малочисленных классов атак.
Методы. При реализации на наборах данных для исследований в области обнаружения вторжений NSL-KDD, CIC-IDS2017 и CIC-IDS2018 структура GAN продемонстрировала высокую точность в воспроизведении распределения реального сетевого трафика, что было подтверждено анализом гистограмм различных характеристик, таких как длительность потоков, объем байтов и частота пакетов.
Результаты. Структура обеспечивает стабильное обучение, поддерживая разнообразие генерируемых образцов и создавая аутентичные синтетические данные. На наборе данных CIC-IDS2017 модель случайного леса, обученная на реальных данных, достигла точности 99,86%. Синтетические данные, сгенерированные с помощью GAN, сохранили тот же уровень точности (99,86%), что подтверждает качество генерации синтетического сетевого трафика для общего расширения данных. Однако стандартная GAN генерирует образцы из общей распределенной выборки данных, не ориентируясь на конкретные классы атак, что означает, что малочисленные атаки (U2R1, R2L2) не были специально учтены.
Выводы. Данное исследование демонстрирует, что стандартные GAN способны генерировать реалистичный синтетический сетевой трафик, сохраняющий общую производительность классификатора, что подтверждает концепцию применения GAN для увеличения данных в системах обнаружения вторжений. Однако стандартная GAN не решает задачу генерации малочисленных атак, поскольку создает выборки из общей распределенной выборки данных без классового контроля. Основные ограничения методологии включают вычислительную сложность и невозможность целенаправленной генерации недостаточно представленных классов атак (U2R, R2L). В дальнейшем требуется использование условных GAN, чтобы обеспечить классово-ориентированную генерацию и напрямую устранить дисбаланс классов в наборах данных IDS.
Objectives. Class imbalance in intrusion detection system (IDS) datasets poses challenges for achieving balanced detection performance. Setting out to evaluate the quality and utility of GAN-generated samples for improving the generalization ability of IDS, this research presents a standard generative adversarial network (GAN) framework as a means of generating synthetic network traffic data for augmenting IDS training datasets. The main focus of the study is an assessment of whether standard GANs can produce realistic synthetic traffic that is not based on targeted generation of minority attack classes.
Methods. When implemented on the NSL-KDD, CIC-IDS2017, and CIC-IDS2018 collections, the GAN displayed precision by mimicking real network traffic distribution. This can be confirmed by inspecting the histograms of different features between flow durations and byte counts and packet rates.
Results. As well as providing stable learning, the presented framework retains diverse sample generation and generates real synthetic data examples. A Random Forest trained on real data achieved 99.86% on the CIC-IDS2017 dataset. This high level of performance was maintained using the GAN-generated synthetic data to confirm the quality of synthetic traffic generation as a tool of overall data augmentation. In contrast, a conventional GAN produces samples based on the total data distribution without focusing on particular attack type, i.e., minority attacks (user-toroot (U2R) and remote-to-local (R2L)) are not explicitly solved.
Conclusions. The paper has shown that conventional GANs have the capability to produce verifiable synthetic network traffic that does not deteriorate overall classifier performance, which validates proof-of-concept of GAN-based data augmentation in IDS. Nonetheless, the conventional GAN is not concerned with minority attack generation, where it produces samples based on the general distribution but without controlling the class. The crucial limitations of the presented methodology are that it is computationally complex and cannot target underrepresented types of attacks (U2R, R2L). Further improvements in conditional GANs should be performed in the future to make them capable of creating class-specific generation and removing class disparity directly in IDS datasets.
The authors declare that there are no conflicts of interest present.