FLNET2023: مجموعة بيانات واقعية لكشف الاختراق الشبكي للتعلم الموحد

الورقة: FLNET2023: مجموعة بيانات واقعية لكشف الاختراق الشبكي للتعلم الموحد

مجموعة البيانات: FLNET2023

مقدمة

FLNET2023 هي مجموعة بيانات معيارية حديثة لأنظمة كشف الاختراق، مُخصصة تحديداً لتطبيقات التعلم الموحد. تم توليدها باستخدام محاكي CORE، وتجسد طوبولوجيا شبكة واقعية ومجموعة متنوعة من أنواع حركة المرور والهجمات. تهدف FLNET2023 إلى تشجيع الأبحاث القوية في مجال كشف الاختراق الشبكي القائم على التعلم الموحد.

محاكي CORE

محاكي الأبحاث المفتوحة المشتركة CORE هو أداة لمحاكاة الشبكات على جهاز واحد أو أكثر. يمكنك ربط هذه الشبكات المُحاكاة بالشبكات الحية. يتكون CORE من واجهة مستخدم رسومية لرسم طوبولوجيات الأجهزة الافتراضية خفيفة الوزن، ووحدات Python لبرمجة محاكاة الشبكة.

طوبولوجيا الشبكة

تم توليد مجموعة البيانات بناءً على طوبولوجيا الشبكة GEANT-2012، التي تم الحصول عليها من حديقة طوبولوجيا الإنترنت. تمثل هذه الطوبولوجيا الواقعية بنية تحتية شبكية واسعة النطاق مشابهة لتلك الموجودة في مزودي خدمات الإنترنت (ISP)، مع 40 عقدة تمثل كل منها موجهات رئيسية تخدم مواقع أو وظائف محددة. تم نسخ الطوبولوجيا داخل محاكي الأبحاث المفتوحة المشتركة (CORE)، حيث تم جمع بيانات حركة مرور الشبكة من عشر عقد موجهات مختارة استراتيجياً، مسماة بـ {D1, D2, D3, ..., D10}، كما يمكنك رؤيتها في الشكل أدناه. تغطي هذه العقد أجزاء مختلفة من الشبكة وتم اختيارها لتوفير مجموعة بيانات متنوعة وواقعية.

هجوم الشبكة والمحاكاة

يتضمن FLNET2023 مزيجاً واسعاً من حركة مرور الشبكة العادية والخبيثة، مما يوفر نظرة واقعية للتفاعلات الشبكية. تغطي مجموعة البيانات عدة أنواع من البروتوكولات الشبكية الشائعة، مثل HTTP وTCP وUDP وICMP.

مجموعة البيانات المُصنَّفة

كل مثيل في FLNET2023 مُصنَّف بدقة، مما يوفر معلومات قيمة حول تدفق الشبكة الذي يمثله. لا تحدد التصنيفات فقط ما إذا كان مثيل معين عاديًا أم خبيثًا، بل توفر أيضًا تفاصيل محددة حول نوع الهجوم المعني، إن وجد. تعمل هذه التصنيفات على تبسيط مهمة تدريب واختبار نماذج كشف الاختراق بشكل كبير.

تنوع الهجمات

تتميز مجموعة بيانات FLNET2023 بشكل بارز بأربعة أنواع من هجمات رفض الخدمة الموزعة (DDoS) - DDoS-dyn وDDoS-stomp وDDoS-bot وDDoS-tcp - التي يتم ملاحظتها بشكل شائع في سيناريوهات الشبكة الواقعية. إدراكًا منا أن التهديدات داخل بيئة الشبكة تمتد إلى ما هو أبعد من DDoS، تتضمن مجموعتنا أنواعًا أخرى متنوعة من الهجمات مثل DoS-slowhttp وInfiltration-mitm. كما تشمل الهجمات القائمة على الويب، بما في ذلك حقن الأوامر (Command Injection) والبرمجة النصية عبر المواقع (XSS) وحقن SQL (SQL Injection). يعزز تضمين هذه الأنواع المتنوعة من الهجمات واقعية مجموعة البيانات ويضمن توافقها مع مشهد التهديدات الشبكية الفعلي.

مجموعة الميزات

توفر مجموعة بيانات FLNET2023 مجموعة واسعة من الميزات، حيث تقدم تفاصيل شاملة حول كل تدفق شبكة. تتضمن هذه الميزات عناوين IP المصدر والوجهة، وأرقام المنافذ، وأطوال الحزم، والطوابع الزمنية، وغيرها. يتم استخراج الميزات باستخدام أداة CICFLOWMeter. بالإضافة إلى ذلك، قمنا بتوفير ملفات PCAP إذا كنت ترغب في استخدام أداة استخراج الميزات الخاصة بك.

البيانات الوصفية

يتضمن FLNET2023 بيانات وصفية غنية حول كل مثيل، والتي توفر سياقًا إضافيًا وتساعد في تفسير البيانات. تتضمن البيانات الوصفية تفاصيل حول الموجهات وعناوين IP الخاصة بها، وهي معلومات ضرورية لفهم شامل لمجموعة البيانات وللتطوير والتقييم الفعالين لنماذج كشف الاختراق.

تنظيم مجموعة البيانات

يتم تقسيم مجموعة البيانات إلى مجلدات بناءً على أنواع مختلفة من هجمات الشبكة وحركة المرور العادية. لكل نوع هجوم، إلى جانب حركة المرور العادية، مجلده الخاص المُسمى وفقًا لذلك: DDoS وDoS وInfiltration وNormal وWeb وTEST.

داخل كل مجلد من هذه المجلدات، يوجد مجلدان فرعيان: CSV وPCAP.

• مجلد CSV: يحتوي هذا المجلد على البيانات التي تم جمعها لكل عميل بتنسيق CSV. يتم تسمية كل ملف باستخدام الاصطلاح Dataset-<ClientNumber>-<TrafficType>.csv. على سبيل المثال:

  • Dataset-10-TCP.csv: يحتوي هذا الملف على بيانات حركة مرور TCP للعميل 10.
  • Dataset-1-BOT.csv: يحتوي هذا الملف على بيانات حركة مرور BOT للعميل 1.

  في بعض المجلدات التي يوجد فيها نوع هجوم واحد فقط، يتم تسمية مجموعة البيانات باستخدام الاصطلاح Dataset-<ClientNumber>.csv دون تحديد نوع حركة المرور. على سبيل المثال:

  • /Infiltration/CSV/Dataset-1.csv: يحتوي هذا الملف على بيانات هجوم الاختراق للعميل 1.

• مجلد PCAP: يحتوي هذا المجلد على ملفات التقاط الحزمة (PCAP) المقابلة لكل عميل، مُسماة بطريقة مشابهة لملفات CSV. على سبيل المثال:

  • Dataset-10-TCP.pcap: يحتوي هذا الملف على بيانات التقاط الحزمة لحركة مرور TCP للعميل 10.
  • Dataset-1-BOT.pcap: يحتوي هذا الملف على بيانات التقاط الحزمة لحركة مرور BOT للعميل 1.

نقاط جمع البيانات

يتم جمع نقاط البيانات في مجموعة بيانات FLNET2023 من عدة عقد فريدة داخل طوبولوجيا الشبكة، مما يوفر منظورًا متكاملًا لنشاط الشبكة. تشمل نقاط الجمع هذه عقد خوادم وعقد موجهات متنوعة، يساهم كل منها في تنوع وعمق مجموعة البيانات. تم اختيار نقاط الجمع بهدف إنشاء مجموعة بيانات تعكس مجموعة واسعة من التفاعلات الشبكية. فيما يلي عناوين IP لنقاط جمع البيانات في الجدول أدناه.

عقد التوجيه الأخرى

بالإضافة إلى نقاط جمع البيانات، يتضمن FLNET2023 العديد من عقد التوجيه الأخرى، مما يعزز واقعية وتعقيد طوبولوجيا الشبكة. تلعب عقد التوجيه هذه أدوارًا محورية في توجيه حركة مرور الشبكة ومحاكاة سيناريوهات الازدحام والتوجيه الشبكي الواقعية. يساعد تضمينها في الطوبولوجيا في تصوير بيئة شبكة أكثر أصالة ويحفز تحديات إضافية لكشف الاختراق. فيما يلي عناوين IP لعقد التوجيه الأخرى في الجدول أدناه.

كيفية استخدام مجموعة البيانات

اتبع الخطوات أدناه لاستخدام مجموعة البيانات بفعالية لتدريب واختبار نماذج التعلم الآلي الخاصة بك:

1. تنزيل مجموعة البيانات: قم بتنزيل مجموعة البيانات من الرابط المذكور أعلاه.
2. التنقل بين المجلدات: اختر المجلد المقابل لنوع حركة المرور أو الهجوم الذي تهتم به (مثل DDoS وDoS وInfiltration وNormal وWeb وTEST).
3. تحضير بيانات التدريب:
   • انتقل إلى مجلد CSV داخل نوع حركة المرور المحدد.
   • حدد ملفات CSV المناسبة للعملاء الذين ترغب في تضمينهم في مجموعة التدريب.
   • على سبيل المثال، لتضمين بيانات حركة مرور TCP للعميل 10 في مجلد DDoS، انتقل إلى DDoS/CSV/Dataset-10-TCP.csv.
   • لتضمين حركة مرور عادية، انتقل إلى Normal/CSV/Dataset-10.csv.
   • قم بتحميل ملفات CSV في أداة تحليل البيانات المفضلة لديك (مثل Python باستخدام pandas).
   • ادمج البيانات من عدة عملاء إذا لزم الأمر. على سبيل المثال، يمكنك دمج البيانات المحلية للعملاء من 1 إلى 10.
4. تدريب النموذج:
   • درب نموذج التعلم الآلي الخاص بك باستخدام مجموعة التدريب.
   • في إعداد التعلم الموحد، يتم تدريب النماذج المحلية على بيانات كل عميل، ثم يتم تجميع النماذج لتشكيل نموذج عالمي.

الترخيص

تتكون مجموعة بيانات FLNET2023 من تدفقات شبكة مصنفة تتضمن حمولة الحزمة الكاملة بتنسيق pcap. بالإضافة إلى ذلك، فإن الملامح المرتبطة والتدفقات المصنفة وملفات CSV المحسنة للتعلم الموحد متاحة للجمهور للباحثين. إنها متاحة للعامة للباحثين لتسهيل المزيد من التقدم في مجال كشف الاختراق. إذا كنت تنوي استخدام مجموعتنا في عملك، فإننا نطلب منك بلطف الاستشهاد بورقتنا المرتبطة.