ВИЯВЛЕННЯ АНОМАЛІЙ У ЗАШИФРОВАНОМУ МЕРЕЖЕВОМУ ТРАФІКУ ЗА ДОПОМОГОЮ ГЛИБОКОГО НАВЧАННЯ

Анотація

Зростання частки зашифрованого трафіку в сучасних мережевих комунікаціях створює суттєві труднощі для кібербезпеки, особливо для традиційних систем виявлення вторгнень, що базуються на аналізі вмісту пакетів. У цьому дослідженні розглянуто проблему виявлення аномалій у зашифрованому мережевому трафіку за допомогою методів глибокого навчання, які аналізують метадані без необхідності розшифровування. Проведено комплексне експериментальне порівняння трьох архітектур—Autoencoder, CNN+LSTM та ET SSL (модель контрастного самоконтрольованого навчання)—з використанням трьох відкритих наборів даних: CIC-Darknet2020, UNSW-NB15 та QUIC-TLS, які охоплюють різноманітні типи зашифрованих протоколів і атак. Усі набори даних було попередньо оброблено до формату потоків (flows) із 75 стандартизованими числовими ознаками. Оцінка моделей виконувалася за точністю класифікації, F1-мірою та частотою хибнопозитивних спрацьовувань (FPR). Модель ET SSL показала найбільш стабільні та найкращі результати, досягнувши точності до 96,8%, F1-міри 0,961 та низького FPR—лише 1,2%. CNN+LSTM продемонструвала дещо нижчі, але конкурентні результати, тоді як модель Autoencoder виявила обмеження у здатності адаптуватися до високого рівня обфускації трафіку, особливо для потоків на основі протоколу QUIC. Крім того, було проведено аналіз чутливості гіперпараметрів, зокрема вивчався вплив швидкості навчання, розміру часового вікна та регуляризації dropout. Отримані результати підтвердили важливу роль адаптивного налаштування моделей для оптимізації їхньої продуктивності у конкретних умовах застосування. Наприклад, зменшення швидкості навчання покращувало точність, проте збільшувало час навчання, а подовження часового вікна покращувало F1-міру за рахунок підвищених обчислювальних витрат.

Експериментальні результати підтверджують практичну доцільність застосування моделей глибокого навчання для моніторингу зашифрованого трафіку без необхідності його розшифровування. Особливо перспективною є архітектура ET SSL, що може бути використана у системах виявлення загроз у режимі реального часу завдяки своїй стійкості, високій здатності до узагальнення та низькій частоті хибнопозитивних результатів. Крім того, її здатність працювати в умовах обмеженої кількості розмічених даних або взагалі без них завдяки самоконтрольованому навчанню робить її особливо придатною для виявлення атак нульового дня. Майбутні напрямки досліджень включають розширення різноманітності навчальних наборів даних з урахуванням нових стандартів шифрування (наприклад, Encrypted SNI, DoQ), інтеграцію моделей у масштабовані середовища IDS/IPS з низькою затримкою, застосування методів пояснюваного штучного інтелекту (XAI) для підвищення довіри та прозорості, а також створення моделей, стійких до протидії супротивника. Представлені результати є основою для створення наступного покоління адаптивних і контекстно-орієнтованих систем моніторингу кіберзагроз.