Detección de ataques a redes y sistemas de información empleando técnicas de Deep Learning

Abstract

Con el incremento de la ciberdelincuencia, proteger los sistemas informáticos y construir modelos que detecten de forma precisa los distintos ataques a través de las redes se ha convertido en una prioridad para las organizaciones. Este trabajo está motivado por mejorar las herramientas NIDS (Sistema de detección de intrusiones a redes), introducidas actualmente en los "Next-Generation" firewalls, con diversos modelos de Machine Learning y Deep Learning. El dataset utilizado contenía cuatro tipos de ataques: benigno, ataque fuerza bruta – Web, fuerza bruta - XSS y SQL injection. Se hizo un filtrado de los datos y se aplicó la técnica de SMOTE para igualar las muestras de las clases. Los datos procesados se dividieron en un conjunto de entrenamiento (67% de los datos ) y un conjunto de prueba (33% de los datos). Se entrenó cada modelo y se hizo un ajuste de sus hiperparámetros para obtener la mejor combinación en cada caso, buscando una alta precisión y evitar el sobreajuste. Posteriormente, se obtuvieron las predicciones con el conjunto de prueba y con ello, los resultados del rendimiento del modelo mediante distintas métricas de evaluación como la matriz de confusión o la curva ROC, entre otras. Los modelos analizados fueron: Regresión Logística, SGD (Descenso de gradiente estocástico), Árbol de decisión, Random forest, KNN (K- vecinos más cercanos), Red neuronal y un ensemble de votación por mayoría con los tres modelos con más efectividad. El objetivo de la construcción del ensemble era conseguir un modelo más robusto para la detección de ataques. Con los resultados obtenidos, se concluye que KNN es el modelo con más efectividad para la clasificación (98.9704% precisión), seguido por el ensemble (98.4559%) que prueba ser una mejora para la clasificación de todos los ataques que dos de los tres mejores modelos.

With the increase in cybercrime, protecting computer systems and building models that accurately detect various attacks across networks has become a priority for organizations. This work is motivated by improving NIDS (Network intrusion detection system) tools, currently introduced in "Next-Generation" firewalls, with various Machine Learning and Deep Learning models. The dataset used contained four types of attacks: benign, brute-force - Web, brute-force - XSS and SQL injection. These data were filtered, and the SMOTE technique was applied for balancing the samples of all the classes. The processed data was divided into a training set (67% of the data) and a test set (33% of the data). Each model was trained and its hyperparameters were adjusted to obtain the best combination in each case, always seeking high accuracy and avoiding overfitting. Subsequently, the predictions were obtained with the test set and with it, the results of the model performance by means of different evaluation metrics such as confusion matrix or ROC curve. The models analysed were: Logistic Regression, SGD (Stochastic Gradient Descent), Decision Tree, Random Forest, KNN (K-nearest neighbours), Neural network and a majority voting ensemble with the three most effective models. The purpose of the ensemble was to achieve a more robust model for attack detection. With the results obtained, it is concluded that KNN is the most effective model for classification (98.9704% accuracy), followed by the ensemble (98.4559% accuracy) which proves to be better at classifying all attacks than two of the three best models.