Behaviorální klasifikace síťových zařízení

Abstract

Má diplomová práce se zaměřuje na vývoj metody klasifikace chování síťových zařízení pomocí nejmodernějších metod strojového učení. Vzhledem k tomu, že počítačové sítě mají přirozenou grafovou strukturu, zaměřují se implementované metody především na grafovou reprezentaci sítí. Provedl jsem rozsáhlý výzkum klasifikace uzlů ve statických a dynamických grafech a vyvinul jsem nový model pro klasifikaci uzlů v dynamické síti, Snapshot GNN. S využitím doménových znalostí jsem vytvořil reprezentace zařízení a vyvinul nový způsob zachycení globální polohy uzlu v grafu. Navržená polohová charakterizace uzlů je škálovatelná na velké grafy a její účinek byl potvrzen v ablační studii. Implementované modely (tři základní modely a grafové neuronové sítě) jsou pak vyhodnoceny na třech reálných sítích a jejích zařízeních. Experimenty ukazují, že modely jsou schopny se dobře naučit různorodé třídy zařízení v sítích. V celkovém hodnocení se jako nejlépe fungujícími modely ukázaly ty založené na grafech. Výsledky také ukazují, že modely založené na grafech potřebují časté přetrénovávání, zejména v případech, kdy je pro klasifikační úlohu klíčová struktura grafu.

My thesis focuses on developing a method for the behavioral classification of network devices using state-of-the-art machine learning methods. Since computer networks have natural graph structures, the implemented methods focus primarily on the graph representation of networks. I have conducted extensive research on node classification in static and dynamic graphs and developed a new model for classifying nodes in a dynamic network, the Snapshot GNN. Leveraging deep domain knowledge, I have crafted meaningful device representations and developed new node positional features that capture the global position of a node in the graph. The proposed node positional features are scalable to large graphs, and their effect is confirmed in an ablation study. The implemented models (three baseline models and graph neural networks) are then evaluated on three real-world networks and their devices. Experiments show that the models, in general, are able to learn the diverse device classes in the networks well. The graph-based models were the best-performing models across the evaluation. The results also show that the graph-based models need frequent retraining, especially in cases where graph structure is crucial for the classification task.