Ağ trafiği kullanarak saldırı tespit edebilen derin öğrenme modellerinin performans değerlendirmesi

Dijital altyapıların hızla büyümesi ve siber saldırıların giderek karmaşıklaşması, ağ tabanlı saldırı tespit sistemlerini modern siber güvenliğin temel bileşenlerinden biri hâline getirmiştir. İmza tabanlı yöntemler yeni tehditlerin tespitinde yetersiz kalabildiğinden, makine öğrenmesi ve derin öğrenme yöntemleri önemli alternatifler sunmaktadır. Bu çalışmada, tek boyutlu evrişimli sinir ağı (CNN) ile hibrit CNN-BiLSTM mimarisinin ikili ve çok sınıflı ağ saldırısı sınıflandırma performansları incelenmiştir. Modeller, CIC-IDS2017 ve UNSW-NB15 veri kümeleri üzerinde tabakalı beş katlı çapraz doğrulama, odak kaybı, QuantileTransformer ile ölçeklendirme ve SMOTE ile aşırı örnekleme içeren ortak bir deneysel düzen kullanılarak değerlendirilmiştir. Ayrıca rastgele orman ve XGBoost, UNSW-NB15 üzerinde klasik karşılaştırma modelleri olarak test edilmiştir. Bulgular, CNN modelinin CIC-IDS2017 ikili sınıflandırma görevinde %99,75 doğruluk ve 0,9999 ROC-AUC değerine ulaştığını göstermiştir. CNN-BiLSTM, UNSW-NB15 ikili sınıflandırma görevinde yanlış negatifleri yaklaşık %36 azaltmış; ancak çıkarım gecikmesi CNN’e göre 4-6 kat artmıştır. Çok sınıflı sınıflandırmada CNN, CIC-IDS2017 üzerinde 0,701 makro F1 skoruyla CNN-BiLSTM’den (0,671) daha yüksek performans göstermiştir. XGBoost ise derin öğrenme modelleriyle benzer F1 skorlarına daha kısa sürede ulaşmıştır. Azınlık saldırı sınıflarının tespiti tüm yapılandırmalarda temel bir güçlük olmayı sürdürmektedir. Sonuçlar, gerçek uygulama kısıtları altında derin öğrenme ve klasik makine öğrenmesi modelleri arasında seçim yapacak araştırmacı ve uygulayıcılar için karşılaştırmalı çıkarımlar sunmaktadır.