Концептуальная модель принимающего узла компьютерной сети под воздействием сетевых

Анализ атрибутов сетевого пакета

Для того, чтобы детектирование DDoS атак с помощью задачи классификации было точным, необходимо правильно собрать атрибуты и метаданные сетевого пакета. Все данные характеристики могут быть извлечены с помощью анализатора сетевого трафика [156]. Необходимые метаданные для дальнейшего анализа представлены в таблице 2.1.
Таблица 2.1. Основные метаданные сетевого пакета [181]

№	Метаданные пакета	№	Метаданные пакета
1	IP-исходящий	11	Чексумма входящая
2	IP-входящий	12	Чексумма исходящая
3	MAC-исходящий	13	Разница чексуммы
4	MAC-входящий	14	Количество байт в секунду
5	Тип пакета	15	Количество пакетов в секунду
6	Размер пакета	16	Средний размер пакетов
7	Идентификатор формата кадра	17	Время отправления пакета
8	Порядковый номер пакета	18	Время приема пакета
9	Количество пакетов	19	Время отправления первого пакета
10	Количество байт	20	Время отправления последнего пакета

4. Выбор алгоритма машинного обучения с учителем для детектирования известных атак

В первой главе были проанализированы различные подходы с применением тех или иных алгоритмов машинного обучения. В то же время мы не знаем какие наборы данных использовались для оценки работы моделей машинного обучения. Для правильной работы и показателя эффективности нам необходимо создать набор данных, содержащий все известные атаки согласно концептуальной модели принимающего узла компьютерной сети под воздействием DDoS атак. В целях диссертационного исследования применимости алгоритмов необходимо создать модели машинного обучения на различных алгоритмах с последующей оценкой на различных наборах данных, содержащих атаки.

1. Алгоритм k-ближайших соседей

Построение модели классификации на основе алгоритма k-ближайших соседей заключается в запоминании обучающей выборки данных. Для того,

чтобы сделать прогноз для нового экземпляра данных, алгоритм выполняет поиск ближайшей к ней точки обучающей выборки, тем самым находя
«ближайших соседей». Новому экземпляру присваивается метка, принадлежащая ближайшей точке обучающего набора. Алгоритм позволяет рассматривать не только одного ближайшего соседа, но и их произвольное количество (k) [156].
Пусть дана обучающая выборка с парами вида «объект-ответ»:
𝑥^𝑚 − {⁽𝑥₁, 𝑦₂⁾, … , (𝑥_𝑚, 𝑦_𝑚)}. (2.5)
Пусть на множестве объектов задана функция расстояния 𝑝(𝑥, 𝑥^′) [121], которая должна быть достаточно адекватной моделью сходства объектов, то есть чем больше значение этой функции, тем менее схожими являются объекты 𝑥, 𝑥^′. Для произвольного 𝑢 расположим объекты обучающей выборки
𝑥_𝑖 в порядке возрастания расстояния до 𝑢:

𝑝(𝑢, 𝑥_1;𝑢) ≤ 𝑝(𝑢, 𝑥_2;𝑢) ≤ ⋯ ≤ 𝑝(𝑢, 𝑥_𝑚;𝑢), (2.6)

где 𝑥_𝑖,𝑚 – это объект обучающей выборки, который является 𝑖-м соседом объекта 𝑢. Аналогично введем обозначение для 𝑦_𝑖,𝑢 для ответа на 𝑖-м соседе. Алгоритм ближайших соседей в наиболее общем виде выглядит так:

𝑖=1
𝑎⁽𝑢⁾ = 𝑎𝑟𝑔𝑚𝑎𝑥 ^∑𝑚
[𝑥_𝑖,𝑚 = 𝑦]𝑤⁽𝑖, 𝑢⁾,
(2.7)

где 𝑤⁽𝑖, 𝑢⁾ – это заданная весовая функция, оценивающая степень важности 𝑖- го соседа при классификации объекта 𝑢 [122]. Эта функция должна быть неотрицательной и не возрастать по 𝑖-м.

Алгоритм k-ближайших соседей имеет несколько преимуществ, в том числе легкость интерпретации модели, удовлетворительное качество предсказания, которое может быть получено без использования большого количества настроек. Более того, обычно данный алгоритм позволяет построить модель классификации очень быстро. Однако при наличии большой обучающей выборки, модели необходимо дополнительное время, чтобы обучиться. Также стоит отметить, что алгоритм k-ближайших соседей

неэффективен для работы с разряженными наборами данных, в которых имеются нулевые значения, а также с наборами данных, где имеется множество признаков для оценки модели. Таким образом, алгоритм k- ближайших соседей не так часто применяется на практике из-за того, что он обладает относительно низкой скоростью вычислений и не может обрабатывать большое количество признаков [123, 156].

2.