DOI: https://doi.org/10.48084/etasr.16043
تاريخ النشر: 2026-02-09
المؤلف: Yuri Ariyanto وآخرون
الموضوع الرئيسي: أمن الشبكات وكشف التسلل
نظرة عامة
تتناول هذه الدراسة التعقيد المتزايد للهجمات الإلكترونية من خلال اقتراح نموذج غابة عشوائية هجينة (HRF) مدمج مع منصة Wazuh لتحسين أنظمة كشف التسلل (IDSs). الهدف الرئيسي هو تعزيز قدرات الكشف عن التهديدات والاستجابة لها، تحديدًا من خلال تقليل متوسط الوقت للكشف (MTTD) ومتوسط الوقت للاستجابة (MTTR). يتم تقييم نموذج HRF بدقة باستخدام مجموعتين مرجعيتين، CSE-CIC-IDS2018 وToN_IoT، مع استخدام منهجيات متقدمة مثل معالجة البيانات المسبقة، واختيار الميزات المعتمد على معامل الارتباط بيرسون (PCC)، وتطبيع Min-Max.
تشير النتائج إلى أن نموذج HRF يحقق دقة كشف تصل إلى 99.12% و99.65% على المجموعتين المرجعيتين، مع أوقات استدلال أقل بكثير مقارنةً بنماذج التعلم العميق. يسهل التكامل مع Wazuh التنبيه في الوقت الحقيقي والاستجابات الآلية، مما يؤدي إلى تقليل MTTD وMTTR بنسبة تصل إلى 75% و65%، على التوالي. على الرغم من أن نموذج HRF يظهر دقة أقل قليلاً على مجموعة بيانات ToN_IoT مقارنةً بقاعدة GRU-BiLSTM الهجينة، إلا أنه يتفوق عليها في CSE-CIC-IDS2018 ويظهر كفاءة حسابية أكبر. تسلط هذه الدراسة الضوء على إمكانيات نماذج التعلم الآلي الخفيفة، وخاصةً الأساليب التجميعية مثل الغابة العشوائية، كبدائل فعالة وقابلة للتفسير للتعلم العميق في عمليات الأمن السيبراني الاستباقية.
مقدمة
تسلط مقدمة هذه الورقة البحثية الضوء على الحاجة الملحة لأنظمة كشف التسلل المتقدمة (IDSs) في مواجهة التهديدات الإلكترونية المتطورة بسرعة، خاصةً في البيئات الشبكية وإنترنت الأشياء (IoT). التدابير الأمنية التقليدية، مثل جدران الحماية وبرامج مكافحة الفيروسات المعتمدة على التوقيع، أصبحت غير كافية بشكل متزايد ضد الهجمات المعقدة، مما يستلزم التحول نحو أساليب قائمة على البيانات يمكنها الكشف عن السلوك الشاذ في الوقت الحقيقي. تعتبر أنظمة كشف التسلل المعتمدة على الشبكة (NIDSs) ضرورية لمراقبة حركة مرور الشبكة، لكن الحجم المتزايد وتنوع هذه الحركة يجعل الأنظمة القائمة على القواعد الثابتة غير فعالة. وبالتالي، ظهرت تقنيات التعلم الآلي (ML) والتعلم العميق (DL) كحلول واعدة، حيث أظهرت الدراسات الحديثة فعاليتها في تحقيق معدلات دقة عالية لكشف التسلل.
على الرغم من الأداء المثير للإعجاب لنماذج DL، إلا أنها تواجه تحديات تشغيلية كبيرة، بما في ذلك الطلبات الحسابية العالية وأوقات الاستدلال البطيئة، مما يعيق تطبيقها العملي في إعدادات الأمن السيبراني. في المقابل، تقدم الأساليب التجميعية مثل الغابة العشوائية (RF) توازنًا ملائمًا بين الدقة والكفاءة وقابلية التفسير. تتناول هذه الدراسة قيود الأساليب الحالية من خلال تقديم نموذج غابة عشوائية هجينة (HRF) خفيف الوزن يسهل تحليل التهديدات في الوقت الحقيقي. علاوة على ذلك، تمثل هذه الدراسة أول تكامل لمحرك كشف التسلل المعتمد على ML في منصة Wazuh، مما يعزز قدراته في التنبيه والاستجابة الآلية. تقوم الدراسة بتقييم التأثير التشغيلي لهذا التكامل بشكل تجريبي، مما يظهر تحسينات ملحوظة في مؤشرات الأداء الرئيسية مثل متوسط الوقت للكشف (MTTD) ومتوسط الوقت للاستجابة (MTTR)، وبالتالي سد الفجوة بين البحث الأكاديمي وعمليات الأمن السيبراني العملية.
الطرق
تهدف المنهجية الموضحة في هذه الدراسة إلى تعزيز قدرات البحث عن التهديدات داخل منصة Wazuh من خلال دمج نموذج إطار عمل معزز بشري (HRF). الأهداف الرئيسية هي تحسين دقة كشف التسلل وتقليل أوقات الاستجابة التشغيلية، تحديدًا متوسط الوقت للكشف (MTTD) ومتوسط الوقت للاستجابة (MTTR). تم هيكلة المنهجية في خمسة مكونات رئيسية: (i) جمع البيانات وتنظيفها، (ii) اختيار الميزات باستخدام معامل الارتباط بيرسون (PCC)، (iii) إنشاء النموذج وتدريبه، (iv) التكامل مع Wazuh للكشف عن التهديدات في الوقت الحقيقي، و(v) اختبار أداء النظام المنفذ.
تلتزم هذه الطريقة المنهجية بمعايير المعالجة المسبقة والتقييم السائدة في أنظمة كشف التسلل المعتمدة على التعلم العميق المعاصرة، مع استخدام نموذج هجيني لوحدة تكرارية مغلقة (GRU) وذاكرة طويلة وقصيرة المدى ثنائية الاتجاه (BiLSTM). من المتوقع أن يعزز دمج هذه التقنيات بشكل كبير فعالية كشف التهديدات داخل إطار عمل Wazuh.
النتائج
تظهر نتائج الدراسة أن نموذج الغابة العشوائية الهجينة (HRF) المقترح، المدمج مع منصة Wazuh، يعزز بشكل كبير قدرات كشف التهديدات عند تقييمه ضد مجموعتي البيانات CSE-CIC-IDS2018 وToN_IoT. حقق نموذج HRF دقة كشف تصل إلى 99.65% و99.12%، على التوالي، متفوقًا على نموذج GRU-BiLSTM الهجين الأساسي، خاصةً من حيث الكفاءة الحسابية، مع وقت استدلال أقل من 1.1 مللي ثانية لكل سجل. تترجم هذه الكفاءة إلى تقليل بنسبة 75% في متوسط الوقت للكشف (MTTD) وتقليل بنسبة 65% في متوسط الوقت للاستجابة (MTTR)، مما يحسن الكفاءة التشغيلية لمراكز عمليات الأمن (SOCs).
ومع ذلك، تعترف الدراسة بوجود قيود، بما في ذلك الاعتماد على مجموعات بيانات محددة قد تقيد القابلية للتعميم على هجمات اليوم الصفري أو الهجمات العدائية وإمكانية المبالغة في تقدير اتساق الكشف بسبب السيناريوهات المكتوبة. تهدف الأعمال المستقبلية إلى تعزيز قابلية تكيف النموذج من خلال آليات التعلم عبر الإنترنت، وتنفيذ قابلية التفسير المعتمدة على SHAP لتحسين تفسير التنبيهات، والتحقق من الإطار ضد مجموعات بيانات أكثر تنوعًا وتحديًا. بالإضافة إلى ذلك، من المخطط استكشاف بدائل خفيفة لتحليل المكونات الرئيسية (PCA) لاختيار الميزات لتحسين زمن المعالجة المسبقة والأداء العام.
المناقشة
تناقش الورقة البحثية تطوير وتقييم نموذج الغابة العشوائية الهجينة (HRF) المدمج في منصة Wazuh لتحسين كشف التهديدات في الأمن السيبراني. استخدمت الدراسة مجموعتين مرجعيتين، CSE-CIC-IDS2018 وToN_IoT، تم معالجة البيانات مسبقًا لضمان المتانة عبر بيئات الشبكة المتنوعة. شملت خطوات المعالجة المسبقة الرئيسية تعويض القيم المفقودة، وترميز التسميات، وتقليل البيانات المعتمد على الانتروبيا، وتطبيع Min-Max. تم إجراء اختيار الميزات باستخدام معامل الارتباط بيرسون (PCC) للاحتفاظ بأكثر الميزات تمييزًا، مما أسفر عن 25 ميزة من CSE-CIC-IDS2018 و22 من ToN_IoT، مما حسن كفاءة النموذج وقلل من الإفراط في التخصيص.
أظهر نموذج HRF، المعتمد على مبادئ التعلم التجميعي، أداءً متفوقًا مقارنةً بالنماذج الأساسية مثل GRU وBiLSTM، محققًا دقة تصل إلى 99.12% على CSE-CIC-IDS2018 وسرعة تصنيف تبلغ 1.1 مللي ثانية لكل سجل على ToN_IoT. عزز دمج نموذج HRF في Wazuh بشكل كبير المقاييس التشغيلية، حيث قلل متوسط الوقت للكشف (MTTD) بنسبة 75% ومتوسط الوقت للاستجابة (MTTR) بنسبة 65%. تم عزو هذا التحسين إلى قدرة النموذج على كشف الهجمات البطيئة والمنخفضة وقدرات الاستجابة الآلية، مما قلل بشكل جماعي من معدلات الإيجابيات الكاذبة وحسن كفاءة مراكز عمليات الأمن (SOCs). تؤكد النتائج فعالية نموذج HRF في كشف التهديدات في الوقت الحقيقي وإمكانياته للنشر التشغيلي في أطر الأمن السيبراني.
DOI: https://doi.org/10.48084/etasr.16043
Publication Date: 2026-02-09
Author(s): Yuri Ariyanto et al.
Primary Topic: Network Security and Intrusion Detection
Overview
This study addresses the growing complexity of cyberattacks by proposing a Hybrid Random Forest (HRF) model integrated with the Wazuh platform to improve Intrusion Detection Systems (IDSs). The primary objective is to enhance threat detection and response capabilities, specifically by reducing Mean Time to Detect (MTTD) and Mean Time to Respond (MTTR). The HRF model is rigorously evaluated using two benchmark datasets, CSE-CIC-IDS2018 and ToN_IoT, employing advanced methodologies such as data preprocessing, Pearson Correlation Coefficient (PCC)-based feature selection, and Min-Max normalization.
The findings indicate that the HRF model achieves detection accuracies of 99.12% and 99.65% on the respective datasets, with significantly lower inference times compared to deep learning models. The integration with Wazuh facilitates real-time alerting and automated responses, leading to reductions in MTTD and MTTR by up to 75% and 65%, respectively. Although the HRF model shows slightly lower accuracy on the ToN_IoT dataset compared to a hybrid GRU-BiLSTM baseline, it outperforms it on CSE-CIC-IDS2018 and demonstrates greater computational efficiency. This research highlights the potential of lightweight machine learning models, particularly ensemble methods like Random Forest, as effective and interpretable alternatives to deep learning in proactive cybersecurity operations.
Introduction
The introduction of this research paper highlights the urgent need for advanced Intrusion Detection Systems (IDSs) in the face of rapidly evolving cyberthreats, particularly in networked and Internet of Things (IoT) environments. Traditional security measures, such as firewalls and signature-based antivirus software, are increasingly inadequate against sophisticated attacks, necessitating a shift towards data-driven approaches that can detect anomalous behavior in real time. Network-based Intrusion Detection Systems (NIDSs) are crucial for monitoring network traffic, but the growing volume and diversity of this traffic render static rule-based systems ineffective. Consequently, Machine Learning (ML) and Deep Learning (DL) techniques have emerged as promising solutions, with recent studies demonstrating their effectiveness in achieving high accuracy rates for intrusion detection.
Despite the impressive performance of DL models, they face significant operational challenges, including high computational demands and slow inference times, which hinder their practical application in cybersecurity settings. In contrast, ensemble methods like Random Forest (RF) offer a favorable balance between accuracy, efficiency, and interpretability. This research addresses the limitations of existing approaches by introducing a lightweight Hybrid Random Forest (HRF) model that facilitates real-time threat analysis. Furthermore, it marks the first integration of an ML-based intrusion detection engine into the Wazuh platform, enhancing its capabilities for automated alerting and response. The study empirically evaluates the operational impact of this integration, demonstrating notable improvements in key performance indicators such as Mean Time to Detect (MTTD) and Mean Time to Respond (MTTR), thereby bridging the gap between academic research and practical cybersecurity operations.
Methods
The methodology outlined in this study aims to enhance threat hunting capabilities within the Wazuh platform by integrating a Human-Reinforced Framework (HRF) model. The primary objectives are to improve the accuracy of intrusion detection and reduce operational response times, specifically Mean Time to Detect (MTTD) and Mean Time to Respond (MTTR). The methodology is structured into five key components: (i) data collection and cleaning, (ii) feature selection using the Pearson Correlation Coefficient (PCC), (iii) model creation and training, (iv) integration with Wazuh for real-time threat detection, and (v) performance testing of the implemented system.
This systematic approach adheres to the preprocessing and evaluation standards prevalent in contemporary deep learning-based Intrusion Detection Systems (IDS), particularly employing a hybrid Gated Recurrent Unit (GRU) and Bidirectional Long Short-Term Memory (BiLSTM) model. The integration of these techniques is expected to significantly enhance the effectiveness of threat detection within the Wazuh framework.
Results
The results of the study demonstrate that the proposed Hybrid Random Forest (HRF) model, integrated with the Wazuh platform, significantly enhances threat detection capabilities when evaluated against the CSE-CIC-IDS2018 and ToN_IoT datasets. The HRF achieved detection accuracies of 99.65% and 99.12%, respectively, outperforming the baseline hybrid GRU-BiLSTM model, particularly in terms of computational efficiency, with an inference time of less than 1.1 ms per record. This efficiency translates into a 75% reduction in Mean Time to Detection (MTTD) and a 65% reduction in Mean Time to Response (MTTR), thereby improving the operational efficiency of Security Operations Centers (SOCs).
However, the study acknowledges limitations, including the reliance on specific datasets that may restrict generalizability to zero-day or adversarial attacks and the potential overestimation of detection consistency due to scripted scenarios. Future work aims to enhance the model’s adaptability through online learning mechanisms, implement SHAP-based explainability for better interpretability of alerts, and validate the framework against more diverse and challenging datasets. Additionally, exploring lightweight alternatives to Principal Component Analysis (PCA) for feature selection is planned to further optimize preprocessing latency and overall performance.
Discussion
The research paper discusses the development and evaluation of a Hybrid Random Forest (HRF) model integrated into the Wazuh platform for enhanced threat detection in cybersecurity. The study utilized two benchmark datasets, CSE-CIC-IDS2018 and ToN_IoT, which were preprocessed to ensure robustness across diverse network environments. Key preprocessing steps included missing value imputation, label encoding, entropy-based data reduction, and Min-Max normalization. Feature selection was performed using Pearson Correlation Coefficient (PCC) to retain the most discriminative features, resulting in 25 features from CSE-CIC-IDS2018 and 22 from ToN_IoT, which improved model efficiency and reduced overfitting.
The HRF model, based on ensemble learning principles, demonstrated superior performance compared to baseline models such as GRU and BiLSTM, achieving an accuracy of 99.12% on CSE-CIC-IDS2018 and a classification speed of 1.1 ms per record on ToN_IoT. The integration of the HRF model into Wazuh significantly enhanced operational metrics, reducing Mean Time to Detection (MTTD) by 75% and Mean Time to Response (MTTR) by 65%. This improvement was attributed to the model’s ability to detect low-and-slow attacks and its automated response capabilities, which collectively reduced false positive rates and improved the efficiency of Security Operations Centers (SOCs). The findings underscore the effectiveness of the HRF model in real-time threat detection and its potential for operational deployment in cybersecurity frameworks.