Ανίχνευση Κυβερνοεπιθέσεων με Τεχνικές Μηχανικής Μάθησης: Σύγκριση και Ερμηνεία Αλγόριθμων Ανίχνευσης Ανωμαλιών σε Δεδομένα Δικτύου

Abstract

Η ταχεία αύξηση της κίνησης δεδομένων και ευρεία χρήση ετερογενών τεχνολογιών δικτύου καθιστούν την ανίχνευση κυβερνοεπιθέσεων μια βασική πρόκληση για σύγχρονα συστήματα κυβερνοασφάλειας. Αν και οι μέθοδοι Μηχανικής Μάθησης (ML) έχουν επιτύχει εντυπωσιακά αποτελέσματα στην ταξινόμηση κακόβουλων δραστηριοτήτων, τα περισσότερα μοντέλα παρουσιάζουν σοβαρή αδυναμία σε αυτό που λέμε «γενίκευση», δηλαδή στη διαδικασία κατά την οποία τα μοντέλα αυτά εφαρμόζονται σε δεδομένα διαφορετικά από αυτά με τα οποία εκπαιδεύτηκαν. Το φαινόμενο αυτό, γνωστό και ως Cross-Dataset Generalization Gap, έχει καταγραφεί εκτενώς στη διεθνή βιβλιογραφία, με μελέτες να αναφέρουν χαρακτηριστικές πτώσεις απόδοσης άνω του 50-90% όταν μοντέλα εκπαιδευμένα σε CICIDS2017 ή UNSW-NB15 εφαρμόζονται σε IoT datasets όπως ΙοΤ-23, ΤοΝ-ΙοΤ ή ΒοΤ-ΙοΤ. Επιπλέον, η έλλειψη μίας ενιαίας διαδικασίας προεπεξεργασίας, η ανομοιογένεια των χαρακτηριστικών (features) και τα προβλήματα Labeling δυσκολεύουν περαιτέρω την αξιολόγηση και ακόμη και τη σύγκριση ML τεχνικών. Η παρούσα εργασία εξετάζει εις βάθος το πρόβλημα της ανίχνευσης ανωμαλιών σε πολλαπλά και ανομοιογενή σύνολα δεδομένων, εστιάζοντας στη συγκριτική αξιολόγηση αλγορίθμων ML και στην ερμηνεία των μοντέλων (ΧΑΙ). Αναλύοντας σύγχρονες τεχνικές ταξινόμησης και ανίχνευσης ανωμαλιών σε flow-based traffic, με χρήση δημοφιλών datasets όπως CICIDS2017, UNSW-NB15, BoT-IoT και IoT-23. Παράλληλα διερευνάται ο ρόλος του Explainable ΑΙ ως εργαλείο κατανόησης της συμπεριφοράς των μοντέλων συγκεκριμένα σε περιπτώσεις όπου αποτυγχάνουν να «γενικεύσουν» σε νέα περιβάλλοντα. Στόχος της εργασίας είναι η ανάπτυξη και η αξιολόγηση ενός πλαισίου Explainable Cross-Dataset Intrusion Detection, το οποίο αξιοποιεί τεχνικές ML και ΧΑΙ με στόχο: a) Τη μείωση του cross-dataset performance gap b) Την κατανόηση των παραγόντων που επηρεάζουν τη γενίκευση των μοντέλων και c) Την ενίσχυση της αξιοπιστίας τους μέσω ερμηνεύσιμων εξηγήσεων. Τα αποτελέσματα φιλοδοξούμε να συμβάλουν στην κατανόηση των περιορισμών των ML-based IDS και τη διαμόρφωση πιο ανθεκτικών, επεκτάσιμων και επεξηγήσιμων μηχανισμών ανίχνευσης κυβερνοεπιθέσεων.