SALDIRI TESPİT SİSTEMİ İÇİN VERİ KÜMESİ BİRLEŞTİRME İLE TOPLULUK MAKİNE ÖĞRENMESİ

Abstract

Saldırı Tespit Sistemlerini (Intrusion Detection Systems – IDS) destekleyen makine öğrenmesi algoritmaları; yüksek boyutlu veri, ciddi sınıf dengesizliği ve tek veri kümesine dayalı değerlendirmelerden kaynaklanan sınırlı genellenebilirlik gibi temel zorluklarla karşı karşıyadır. Bu tez, söz konusu zorlukları ele almak amacıyla topluluk öğrenmesine dayalı, çoklu veri kümesi kullanan bir saldırı tespit çerçevesi önermektedir. Bu kapsamda, yaygın olarak kullanılan üç IDS veri kümesi olan CICIDS2017, CICIDS2018 ve UNSW-NB15 ön işleme tabi tutulmuş, saldırı etiketleri birleştirilmiş ve %89,1 normal trafik ile %10,9 saldırı trafiği içeren 10.799.503 ağ akışından oluşan tek bir ikili sınıflandırma veri kümesinde birleştirilmiştir. Veri kümeleri arasında adil bir karşılaştırma yapılabilmesi ve veri kümesine özgü özelliklerin etkisinin azaltılması amacıyla yalnızca tüm veri kümelerinde ortak bulunan beş akış düzeyli özellik kullanılmıştır: Süre (Duration), Kaynak Bayt Sayısı (Source Bytes), Hedef Bayt Sayısı (Destination Bytes), Kaynak Paket Sayısı (Source Packets) ve Hedef Paket Sayısı (Destination Packets). Toplam on bir sınıflandırıcı aynı deneysel koşullar altında üç grupta değerlendirilmiştir: temel modeller (Gaussian Naive Bayes, K-En Yakın Komşu, Doğrusal SVM, Karar Ağacı ve Lojistik Regresyon), bagging tabanlı topluluk modelleri (Random Forest, Bagging ve Extra Trees) ve boosting tabanlı topluluk modelleri (AdaBoost, Gradient Boosting ve XGBoost). Tüm modeller %80/%20 tabakalı eğitim-test bölünmesiyle değerlendirilmiştir. Sonuçlar, ağaç tabanlı ve topluluk öğrenmesi yöntemlerinin doğrusal ve olasılıksal temel modellere göre belirgin biçimde daha başarılı olduğunu göstermiştir. Bagging algoritması %99,21 doğruluk, %96,38 F1-skoru ve %99,91 ROC-AUC değeri ile en yüksek genel performansı elde etmiştir. En yüksek kesinlik değeri (%97,68) XGBoost tarafından, en yüksek duyarlılık değeri (%98,65) ise Random Forest tarafından elde edilmiştir. Bununla birlikte, tek bir Karar Ağacı ve K-En Yakın Komşu modeli de en başarılı topluluk yöntemine oldukça yakın sonuçlar vermiştir. Bu durum, seçilen beş özellikli gösterimde topluluk öğrenmesinin sağladığı performans artışının sınırlı olduğunu göstermektedir. Veri kümesi bazlı değerlendirmeler, temel öğrenici ablasyon çalışmaları, hesaplama maliyeti analizleri ve beş farklı rastgele tohum üzerinde gerçekleştirilen kararlılık analizleri, Bagging yönteminin başarısında varyans azaltımının temel etken olduğunu göstermektedir. Bu çalışma, üç bağımsız veri kümesinden elde edilen küçük ancak ortak bir özellik kümesi kullanılarak etkili saldırı tespiti yapılabileceğini göstermekte ve araştırmacılar için yeniden üretilebilir çoklu veri kümesi tabanlı bir IDS çerçevesi sunmaktadır.