Ανίχνευση εισβολών σε ασύρματα δίκτυα IEEE 802.11 με χρήση τεχνικών μηχανικής μάθησης
| datacite.contributor.RelatedPerson | Καλύβας, Γρηγόριος | |
| datacite.contributor.RelatedPerson | Δενάζης, Σπυρίδων | |
| datacite.contributor.Supervisor | Σερπάνος, Δημήτριος | |
| dc.contributor.author | Καμπουράκης, Κωνσταντίνος-Ευάγγελος | |
| dc.contributor.other | Kampourakis, Konstantinos-Evangelos | |
| dc.date.accessioned | 2024-03-20T14:22:16Z | |
| dc.date.available | 2024-03-20T14:22:16Z | |
| dc.date.issued | 2024-03-19 | |
| dc.degree | graduateThesis | |
| dc.description.abstract | Τα ασύρματα τοπικά δίκτυα επικοινωνιών που ακολουθούν το πρότυπο IEEE 802.11 είναι διάχυτα και απαντώνται παντού, σε κατοικίες, γραφεία, επιχειρήσεις, αεροσκάφη, πλοία, έξυπνες πόλεις, και αλλού. Όμως, εξαιτίας της δημοφιλίας τους, που κυρίως εδράζεται στην υποστήριξη κινητικότητας, στην ευκολία εγκατάστασης, και στις υψηλές ταχύτητες μετάδοσης, τα δίκτυα του συγκεκριμένου τύπου βρίσκονται διαρκώς στο στόχαστρο διαφόρων κατηγοριών επιτιθέμενων. Όπως καταδεικνύει η πρόσφατη βιβλιογραφία, παρόλο που το συγκεκριμένο πρότυπο ασύρματων επικοινωνιών έχει εξελίξει στο χρόνο σημαντικά τα εγγενή χαρακτηριστικά ασφαλείας του, παραμένει ευπαθές σε παραδοσιακές αλλά και νέες επιθέσεις, σε ένα διαρκή ανταγωνισμό μεταξύ αμυνομένων και εισβολέων. Σε αυτό το πλαίσιο, τα σύγχρονα συστήματα ανίχνευσης εισβολών (IDS) που βασίζονται σε τεχνικές μηχανικής μάθησης μπορούν να συνεισφέρουν σημαντικά στην ανίχνευση επιθέσεων και στην ελάττωση του συνολικού κινδύνου. Η παρούσα διπλωματική εργασία εστιάζει σε συστήματα ανίχνευσης κατάχρησης που στηρίζονται σε αλγορίθμους εποπτευόμενης μάθησης. Αναλυτικότερα, το ερευνητικό πρόβλημα στο οποίο απαντάει η διπλωματική είναι εάν η απόδοση ενός IDS επηρεάζεται (και σε ποιο βαθμό) από το αν το σύνολο δεδομένων στο οποίο το μοντέλο ανίχνευσης του IDS εκπαιδεύτηκε είναι ισορροπημένο ή μη ισορροπημένο, όσον αφορά στην κατανομή των παραδειγμάτων των διαφόρων κλάσεων δικτυακής κίνησης που αυτό περιέχει. Σύμφωνα με όσα γνωρίζουμε, το συγκεκριμένο ερώτημα δεν έχει απαντηθεί στην τρέχουσα βιβλιογραφία για αυτήν την τεχνολογία ασύρματων δικτύων. Θεωρούμε ένα πρόβλημα κατηγοριοποίησης τριών κλάσεων, συγκεκριμένα δύο κλάσεων επιθέσεων και μιας κλάσης που αντιστοιχεί σε κανονική κίνηση του δικτύου, και εξετάζουμε την απόδοση επτά διαφορετικών γνωστών αλγορίθμων ρηχής μάθησης καθώς και έναν δημοφιλή μετα-εκτιμητή συνόλου· τον τελευταίο στις περιπτώσεις που εφαρμόζεται κάποια τεχνική επαναδειγματοληψίας στο σύνολο δεδομένων. Για την εκπαίδευση και έλεγχο των διάφορων αλγορίθμων αξιοποιούμε το σύγχρονο και ιδιαίτερα γνωστό στη βιβλιογραφία σύνολο δεδομένων AWID. Μιας και το AWID είναι μη ισορροπημένο σε υψηλό βαθμό, χρησιμοποιούμε τρεις τεχνικές επαναδειγματοληψίας· υποδειγματοληψία, υπερδειγματοληψία, και συνδυασμό των προηγούμενων δύο. Η εκπαίδευση των αλγορίθμων γίνεται αξιοποιώντας ένα σχετικά μικρό σύνολο 16 χαρακτηριστικών ταξινόμησης, όπως προτείνεται και στη σχετική πρόσφατη βιβλιογραφία. Το κύριο συμπέρασμα που προκύπτει από τα πειραματικά αποτελέσματα είναι ότι οι αλγόριθμοι έχουν σημαντικά καλύτερα αποτελέσματα (+2,5%) με αναφορά στη μετρική F1 score, υποδεικνύοντας ότι, για το συγκεκριμένο πρόβλημα, είναι προτιμότερο το σύνολο δεδομένων να παραμείνει στην αρχική του μη ισορροπημένη μορφή, χωρίς δηλαδή την εφαρμογή κάποιας τεχνικής επαναδειγματοληψίας. Η διαπίστωση αυτή ενισχύεται από το γεγονός ότι και οι τρεις τεχνικές επαναδειγματοληψίας προξένησαν μεγάλο πλήθος ψευδώς θετικών προβλέψεων, που μοιραία οδηγούν το IDS σε πληθώρα λανθασμένων συναγερμών, και επιπλέον παράγουν πολύ υψηλές τιμές για τη μετρική της ορθότητας (Accuracy), κάτι που ενδεχομένως αποτελεί ένδειξη υπερβολικής προσαρμογής (overftting). Εξάλλου, σε κάθε πραγματικό ασύρματο δίκτυο αναμένεται τα πλαίσια που ανήκουν σε επιθέσεις να είναι πολύ λιγότερα έως ελάχιστα σε σχέση με αυτά που ανήκουν σε κανονική κίνηση του δικτύου. Σε κάθε περίπτωση, όπου εφαρμόζονται τεχνικές επαναδειγματοληψίας, θα πρέπει να αιτιολογούνται επαρκώς και σε συνδυασμό με τα αντίστοιχα αποτελέσματα του αρχικού μη ισορροπημένου συνόλου δεδομένων. Τούτο γιατί στην περίπτωση υπερδειγματοληψίας των μειοψηφικών κλάσεων στο σύνολο εκπαίδευσης, το παραγόμενο μοντέλο μπορεί να τείνει να υπερπροβλέπει τις συγκεκριμένες κλάσεις, ενώ η υποδειγματοληψία επιφέρει απώλεια δεδομένων που ενδέχεται να περιέχουν σημαντική πληροφορία που συμβάλει στη σωστή και πληρέστερη εκπαίδευση του μοντέλου. Επιπροσθέτως, στην υπερδειγματοληψία, τα παραδείγματα που δημιουργούνται με τεχνητό τρόπο μπορεί να προσθέτουν θόρυβο και να μην αντιπροσωπεύουν επαρκώς τα αντίστοιχα παραδείγματα ενός πραγματικού ασύρματου δικτύου. | |
| dc.description.translatedabstract | The Wireless Local Area Networks (WLAN) following the IEEE 802.11 standard are pervasive and omnipresent, including homes, offices, businesses, aircrafts, ships, smart cities, and more. However, due to their popularity, which is mainly due to mobility support, ease of installation, and high transmission speeds, the networks of this type are constantly targeted by a variety of threat actors. As the recent literature shows, despite the significant advancements in its intrinsic security features over time, the IEEE 802.11 standard remains vulnerable to both legacy and new attacks, in an endless race between defenders and intruders. In this context, modern Intrusion Detection Systems (IDS) based on machine learning techniques can significantly contribute to the detection of attacks and the lowering of the overall risk. The thesis at hand focuses on misuse IDS that rely on supervised machine learning algorithms. Specifically, the research question addressed within the present thesis is whether the performance of a Wireless IDS (WIDS) is affected (and to what extent) by the structure of the benchmark dataset used to evaluate the IDS model. The term “structure” refers to whether the dataset is balanced or imbalanced in terms of the distribution of the samples of the different classes of network traffic it contains. To the best of our knowledge, the above-mentioned question has not been tackled in the current literature regarding WIDS. To this end, we consider a multiclass classification problem, specifically two classes of distinct attacks, namely flooding and impersonation, and one more corresponding to normal network traffic. We assess the performance of seven different well-known traditional (shallow) classifiers as well as a popular ensemble meta-estimator, namely Bagging; the latter only when applying a resampling technique to the benchmark dataset. For training and testing the various classifiers, we exploit the contemporary and well-known AWID dataset. Since AWID is highly imbalanced, we employ three resampling techniques: undersampling, oversampling, and a combination of both. The classifiers are trained using a relatively small set of 16 classification features, as recommended in the recent relevant literature. The main conclusion drawn from the experimental results is that the classifiers yield significantly better results (+2.5% in terms of the F1 score metric) when the dataset remains in its initial imbalanced form. This suggests that, in this particular domain, it is rather preferable for the dataset to remain untouched, without applying to it any re-sampling technique. This observation is supported by the fact that all three resampling techniques led to a large number of false positives, which in turn beget multiple false alarms at the IDS side. At the same x time, all the resampling techniques made the classifiers to produce a very high Accuracy, which may indicate overfitting. Furthermore, as a rule of thumb, in any real-life wireless network, the number of frames belonging to assaults will be scarce compared to those representing normal network traffic. In any case, where resampling techniques are applied, they should be sufficiently justified, and always presented alongside the corresponding results stemming from the original unbalanced dataset. This is because, in the case of oversampling, the generated model may tend to overpredict the specific class(es), while undersampling may result in the loss of data that may contain important information contributing positively to the training of the model. Additionally, in oversampling, artificially created samples may introduce noise and may not adequately or subjectively represent the corresponding samples of a real-life WLAN. | |
| dc.identifier.uri | https://hdl.handle.net/10889/26887 | |
| dc.language.iso | el | |
| dc.subject | Μηχανική μάθηση | |
| dc.subject | Ανίχνευση εισβολών | |
| dc.subject | Ασύρματα δίκτυα | |
| dc.subject.alternative | Machine learning | |
| dc.subject.alternative | Intrusion detection | |
| dc.subject.alternative | Wireless networks | |
| dc.title | Ανίχνευση εισβολών σε ασύρματα δίκτυα IEEE 802.11 με χρήση τεχνικών μηχανικής μάθησης | |
| dc.title.alternative | Intrusion detection in IEEE 802.11 networks using machine learning techniques |
Files
Original bundle
1 - 1 of 1
Loading...
- Name:
- Intrusion detection in IEEE 802.11 networks using machine learning techniques.pdf
- Size:
- 2.04 MB
- Format:
- Adobe Portable Document Format
License bundle
1 - 1 of 1
No Thumbnail Available
- Name:
- license.txt
- Size:
- 5.02 KB
- Format:
- Item-specific license agreed upon to submission
- Description: