Анализ моделей глубокого обучения для задач обнаружения сетевых аномалий Интернета вещей

Аннотация

Введение: актуальность решения задачи выбора моделей глубокого обучения для обнаружения аномалий в сетевом трафике интернета вещей связана с необходимостью анализа большого числа событий безопасности для выявления аномального поведения умных устройств. Мощной технологией анализа таких данных является машинное и, в частности, глубокое обучение. Цель исследования: выработка рекомендаций по выбору моделей глубокого обучения для обнаружения аномалий в сетевом трафике интернета вещей. Результаты: проведен сравнительный анализ моделей глубокого обучения и предоставлены рекомендации по их использованию для обнаружения аномалий в сетевом трафике интернета вещей. В качестве базовых моделей глубокого обучения были рассмотрены многослойный перцептрон, сверточная нейронная сеть, рекуррентная нейронная сеть, блок долгой краткосрочной памяти, управляемый рекуррентный блок и комбинированная сверточно-рекуррентная нейронная сеть. Дополнительно был осуществлен анализ следующих моделей традиционного машинного обучения: наивный байесовский классификатор, метод опорных векторов, логистическая регрессия, метод k-ближайших соседей, бустинг и случайный лес. Показателями эффективности обнаружения аномалий выступали следующие метрики: аккуратность, точность, полнота и F-мера, а также временные затраты на обучение модели. Построенные в процессе эксперимента модели глубокого обучения продемонстрировали более высокие показатели точности обнаружения аномалий в гетерогенном трафике большого объема, характерного для интернета вещей, по сравнению с методами традиционного машинного обучения. Было выявлено, что с ростом числа слоев в нейронных сетях возрастает полнота обнаружения аномальных соединений, что улучшает распознавание неизвестных аномалий, но влечет за собой рост ложных срабатываний. Подготовка моделей традиционного машинного обучения в ряде случаев занимает меньшее время. Это связано с тем, что применение методов глубокого обучения требует большего количества ресурсов и вычислительных мощностей. Практическая значимость: полученные в исследовании результаты могут быть использованы для построения систем обнаружения сетевых аномалий в Интернете вещей.