The paper addresses the problem of anomaly detection in network traffic of automated systems within a secured enclave. A method based on a one-dimensional convolutional neural network (1D-CNN) analyzing temporal sequences of network packets is proposed. Mathematical formulations of convolution, pooling, and loss functions are provided. A comparative analysis of the proposed model with Isolation Forest and LSTM is conducted on the CIC-IDS-2017 dataset. The proposed architecture achieves an F1-score of 0.957, outperforming Isolation Forest (0.843) and LSTM (0.921). The influence of hyperparameters is investigated. The obtained results can be used in building intrusion detection systems.
convolutional neural networks, anomaly detection, network traffic, secured enclave, CIC-IDS-2017, 1D-CNN
Автоматизированные системы защищённого контура (ведомственные сети, объекты критической инфраструктуры) предъявляют повышенные требования к информационной безопасности. Традиционные сигнатурные средства обнаружения вторжений (IDS) эффективны только против известных атак и неспособны выявлять новые угрозы [1]. В ответ на этот вызов развиваются методы машинного обучения, строящие модель «нормального» трафика и классифицирующие как аномалии любые отклонения от этой модели.
Среди методов глубокого обучения особое место занимают свёрточные нейронные сети (CNN). Они сами выделяют нужные признаки из необработанных данных. В данной работе предлагается подход на основе одномерной свёрточной нейронной сети (1D-CNN), которая анализирует последовательность сетевых пакетов во времени.
Цель работы — разработать и экспериментально проверить метод обнаружения аномалий в сетевом трафике защищённого контура на основе 1D-CNN, а также сравнить его с классическими алгоритмами.
Каждый сетевой пакет описывается вектором признаков 
, где 
— число характеристик (длина пакета, номер порта, межпакетный интервал, флаги TCP и др.). Для анализа используется скользящее окно длины T, которое формирует матрицу признаков:
Пояснение: матрица X — это «снимок» сетевой активности за последние T пакетов. Каждая строка — один пакет, а соседние строки идут друг за другом по времени. Именно эта матрица и подаётся на вход сети.
Задача заключается в построении функции 
, где 
означает аномалию (атаку), а 
— нормальный трафик.
Свёрточный слой
Для j-го фильтра выходное значение в позиции p вычисляется по формуле:
Пояснение: 
— значение входного сигнала в канале 
в позиции 
. 
— вес ядра свёртки для -го фильтра, -го канала и сдвига 
(размер ядра 
). 
— смещение. 
— функция активации ReLU: 
.
Фильтр скользит по входу и считает взвешенную сумму в небольшом окне. Это позволяет находить локальные паттерны.
Слой пулинга. Слой пулинга уменьшает размерность и делает результат устойчивым к сдвигам. Используется max-pooling с окном P и шагом S:
Пояснение: из каждого блока длины P берётся максимальное значение. Это уменьшает размерность и снижает риск переобучения.
Функция потерь. Обучение минимизирует бинарную кросс-энтропию:
Пояснение: 
— истинная метка (1 — аномалия, 0 — норма), 
— предсказанная вероятность. Минимизация этой функции эквивалентна максимизации вероятности правильной классификации.
На рисунке 1 представлена блок-схема предлагаемого метода обнаружения аномалий.
Рисунок 1 — Блок-схема метода обнаружения аномалий в сетевом
трафике
На рисунке 2 представлены ROC-кривые для сравниваемых моделей.
Рисунок 2— ROC-кривые для моделей обнаружения аномалий
ЭКСПЕРИМЕНТАЛЬНОЕ ИССЛЕДОВАНИЕ
Использован открытый датасет CIC-IDS-2017 [2], содержащий 2,8 млн сессий с 14 типами атак (DoS, DDoS, Brute Force, Botnet). Извлечены признаки: длина пакета, количество пакетов в сессии, межпакетное время, флаги TCP, количество байт. Сформирована выборка из 500 000 образцов (70% — норма, 30% — атаки). Разделение: 70% — обучение, 15% — валидация, 15% — тест. Признаки нормированы.
Таблица 1 — Сравнение качества обнаружения аномалий
|
Модель |
Точность, % |
Полнота, % |
F1 |
FPR, % |
|
Isolation Forest |
87,2 |
81,6 |
0,843 |
10,3 |
|
LSTM (2 слоя, 128 нейронов) |
93,5 |
90,8 |
0,921 |
4,2 |
|
1D-CNN (предлагаемая) |
97,3 |
94,1 |
0,957 |
2,1 |
Таблица 2 — Зависимость F1 от размера ядра свёртки
|
Размер ядра |
2 |
3 |
5 |
7 |
9 |
|
F1 |
0,921 |
0,947 |
0,957 |
0,951 |
0,939 |
Оптимальным является ядро размера 5.
В работе предложен метод обнаружения аномалий в сетевом трафике защищённого контура на основе 1D-CNN. Проведён сравнительный анализ с Isolation Forest и LSTM. Предложенная модель достигла F1 = 0,957, что на 11,4% выше Isolation Forest и на 3,6% выше LSTM. Исследовано влияние размера ядра свёртки, определён оптимум (ядро 5). Полученные результаты могут быть использованы при построении систем обнаружения вторжений.
1. Zol'nikov V.K., Sazonova S.A., Anikeev E.A. Modelirovanie raspredeleniya kanal'nogo resursa korporativnoy seti svyazi // Modelirovanie sistem i processov. 2025. T. 18, № 1. S. 28-44. DOI: https://doi.org/10.12737/2219-0767-2025-28-44; EDN: https://elibrary.ru/FNQMTK
2. Sharafaldin I., Lashkari A.H., Ghorbani A.A. Toward generating a new intrusion detection dataset and intrusion traffic characterization // ICISSP. 2018. P. 108-116. DOI: https://doi.org/10.5220/0006639801080116
3. Achkasov A.V., Yagodkin A.S., Makarenko F.V., Zalenskaya N.Yu. Primenenie neyronnyh setey dlya optimizacii energopotrebleniya SBIS // Modelirovanie sistem i processov. 2025. T. 18, № 1. S. 7-16. DOI: https://doi.org/10.12737/2219-0767-2025-7-16; EDN: https://elibrary.ru/MQXMHM
4. Titov M.Yu., Skvorcova T.V. Primenenie matematicheskih modeley processa obucheniya neyronnoy seti dlya kontrolya zaschischennosti ot kiberatak // Modelirovanie sistem i processov. 2025. T. 18, № 3. S. 114-120. DOI: https://doi.org/10.12737/2219-0767-2025-18-3-114-120; EDN: https://elibrary.ru/AIJHPA
