DOI: https://doi.org/10.1038/s41598-026-48535-x
PMID: https://pubmed.ncbi.nlm.nih.gov/41963471
تاريخ النشر: 2026-04-10
المؤلف: Osama Ebrahem وآخرون
الموضوع الرئيسي: أمن الشبكات وكشف التسلل
نظرة عامة
تبحث الدراسة في إطار عمل خفيف الوزن يعتمد على التعلم الآلي لاكتشاف وتصنيف هجمات حجب الخدمة الموزعة متعددة الفئات (DDoS)، مع التركيز بشكل خاص على أنواع هجمات MSSQL وLDAP وUDP. باستخدام مجموعة بيانات CIC-DDoS2019، تستخدم الدراسة نماذج متنوعة، بما في ذلك Complement Naïve Bayes وk-Nearest Neighbors (kNN) وRandom Forest (RF) وLogistic Regression، تم تدريبها على كل من مجموعات الميزات العالمية والحد الأدنى من الميزات العالمية. لمعالجة عدم توازن الفئات، يتم تنفيذ تقنية NearMiss تحت العينة، مما يعزز بشكل كبير أداء النماذج، وخاصة تحسين استخدام الذاكرة لـ RF وأوقات الاستدلال لـ kNN.
تشير النتائج إلى أنه بينما يكتشف النهج المقترح بفعالية أنواع هجمات DDoS المعروفة، فإنه يواجه صعوبة في التعميم على الهجمات الجديدة غير الموجودة في بيانات التدريب. تقترح الدراسة أن تستكشف الأبحاث المستقبلية منهجيات متقدمة، مثل تقنيات التعلم العميق واستراتيجيات التعلم التدريجي، لتعزيز قابلية التكيف والمرونة لأنظمة اكتشاف DDoS ضد التهديدات الناشئة. بالإضافة إلى ذلك، يؤكد المؤلفون على الحاجة إلى تقييم مستمر لمجموعات الميزات العالمية عبر مجموعات بيانات متنوعة واستكشاف الميزات المركبة لتحسين قدرات الاكتشاف بشكل أكبر.
مقدمة
تسلط مقدمة الورقة الضوء على زيادة كبيرة في هجمات حجب الخدمة الموزعة (DDoS)، مع زيادة مسجلة بنسبة 56% على أساس سنوي و17% منذ النصف الأول من عام 2024، كما هو موضح في تقرير Gcore. يُعزى هذا الاتجاه التصاعدي إلى توسع نظام إنترنت الأشياء (IoT) واعتماد شبكات 5G، مما يؤدي إلى هجمات متعددة الاتجاهات أكثر تعقيدًا تجمع بين الاستغلالات الحجمية واستغلالات طبقة التطبيق. لمكافحة هذه التهديدات المتطورة، تعتبر التقدمات المستمرة في تقنيات اكتشاف التهديدات والتخفيف منها ضرورية.
تقترح الدراسة مجموعة ميزات عالمية تهدف إلى تعزيز اكتشاف هجمات الروبوتات عبر مجموعات بيانات متنوعة، وتحديدًا IoT-23 وCTU-13 وCICIDS-2017. باستخدام خوارزمية الانحدار اللوجستي (LR) لاختيار الميزات نظرًا لبساطتها وكفاءتها، تظهر الدراسة أن خوارزميات التعلم الآلي – بما في ذلك Naive Bayes (NB) وk-Nearest Neighbors (KNN) وRandom Forest (RF) وLR – تكتشف بفعالية هجمات الروبوتات عند تدريبها على مجموعة الميزات المقترحة. كما تقدم الورقة إطار عمل خفيف الوزن للتعلم الآلي لاكتشاف DDoS متعدد الفئات، وتقيّم تقنية NearMiss تحت العينة لتحسين سرعة الاستدلال وتقليل استخدام الذاكرة، وتقوم بتقييم الأداء على مجموعة بيانات CIC-DDoS2019، مما يوفر رؤى لاختيار النماذج في سياقات تشغيلية مختلفة. يتم توضيح هيكل الورقة، مع تفاصيل حول الأعمال ذات الصلة، والمنهجيات، والعمليات التجريبية، والمناقشات الختامية.
الطرق
في هذا القسم، يستعرض المؤلفون طرق التعلم الآلي (ML) الخاضعة للإشراف المستخدمة في بحثهم، مع التركيز بشكل خاص على أربعة خوارزميات: Naive Bayes (NB) وk-Nearest Neighbors (k-NN) وRandom Forest (RF) وLogistic Regression (LR). يتم تبرير اختيار هذه الخوارزميات من خلال تطبيقها السابق في دراسات ذات صلة [2] و[3]، مما يسمح للتجارب الحالية بالبناء على وتعزيز نتائج هذه الأعمال. بالإضافة إلى ذلك، يهدف المؤلفون إلى تحقيق رؤى جديدة مع تقليل التعقيد وتحسين الكفاءة في اكتشاف وتخفيف هجمات حجب الخدمة الموزعة (DDoS).
تشمل المنهجية نهج تصنيف البيانات حيث يتم تقسيم مجموعة البيانات إلى 70% للتدريب و30% للاختبار. هذه التقسيمة حاسمة لتقييم أداء خوارزميات ML المختارة في سياق اكتشاف هجمات DDoS.
النتائج
في هذا القسم، يقدم المؤلفون نتائج تجاربهم على تقنيات التعلم الآلي (ML) المختلفة – Complement Naive Bayes (CNB) وK-Nearest Neighbors (KNN) وRandom Forest (RF) وLogistic Regression (LR) – المطبقة على مجموعة بيانات CIC-DDoS2019. تم تقسيم التصميم التجريبي إلى ثلاث مراحل: معالجة البيانات (بما في ذلك التنظيف، ترميز العلامات، والتوازن)، التدريب والاختبار باستخدام مجموعة ميزات عالمية، وأخيرًا، التدريب والاختبار باستخدام مجموعات ميزات الحد الأدنى. تم تكرار كل تجربة ثلاث مرات لضمان الموثوقية، وتم حساب متوسط النتائج للتحليل.
تشير نتائج التصنيف إلى أداء كل خوارزمية ML عبر مجموعات ميزات مختلفة، مع تقديم مقاييس مفصلة مثل الدقة، والدقة، والاسترجاع، وF1-score، ووقت التدريب، ووقت التنبؤ، واستخدام الذاكرة في جداول. على سبيل المثال، حقق مصنف CNB دقة تبلغ 78% لفئة MSSQL مع وقت تدريب كبير، بينما أظهرت مصنفات KNN وRF دقة مثالية في تكوينات معينة. تسلط النتائج الضوء على تأثير اختيار الميزات على أداء المصنف، مع ملاحظات حول التباينات بين مجموعات الميزات العالمية والحد الأدنى. بشكل عام، تؤكد النتائج على أهمية هندسة الميزات في تعزيز فعالية نماذج ML لاكتشاف هجمات DDoS.
المناقشة
في هذا القسم من المناقشة، يتم مراجعة دراسات متنوعة تستخدم مجموعة بيانات CIC-DDoS2019 لاكتشاف هجمات DDoS، مع تسليط الضوء على المنهجيات المبتكرة ونتائج أدائها. تتضمن إحدى الطرق الملحوظة نموذج تعلم عميق هجين يدمج الشبكات العصبية التلافيفية (CNNs) وذاكرة طويلة وقصيرة الأجل (LSTM) وهياكل أخرى، محققًا معدلات اكتشاف ودقة تفوق تلك الخاصة بالنماذج التقليدية. على وجه التحديد، أظهر هذا النموذج معدل إيجابي حقيقي ودقة تتجاوز تلك الخاصة بتقنيات التعلم الآلي المعروفة، مما يبرز فعاليته في تحديد أنواع مختلفة من هجمات DDoS.
مساهمة أخرى مهمة هي نموذج AE-MLP، الذي يجمع بين تقنيات Autoencoder وMulti-layer Perceptron لتعزيز استخراج الميزات ودقة التصنيف، محققًا دقة تزيد عن 98% وF1-score. بالإضافة إلى ذلك، استكشفت عدة دراسات تقنيات المعالجة المسبقة لتحسين مجموعة بيانات CIC-DDoS2019، مما أدى إلى تحسين أداء الاكتشاف، حيث أفادت بعض النماذج بمعدلات دقة تصل إلى 99.99%. كما تشير المناقشة إلى ظهور أطر عمل تستفيد من الحوسبة الضبابية والتعلم الفيدرالي لمعالجة قيود الموارد في بيئات IoT، مما يبرز مرة أخرى قابلية التكيف والصلابة لهذه الأنظمة في مواجهة تهديدات DDoS المتطورة. بشكل عام، تؤكد النتائج على فعالية استراتيجيات التعلم الآلي المتقدمة والتعلم العميق في تعزيز اكتشاف وتخفيف هجمات DDoS.
DOI: https://doi.org/10.1038/s41598-026-48535-x
PMID: https://pubmed.ncbi.nlm.nih.gov/41963471
Publication Date: 2026-04-10
Author(s): Osama Ebrahem et al.
Primary Topic: Network Security and Intrusion Detection
Overview
The research investigates a lightweight, machine learning-based framework for the detection and classification of multiclass Distributed Denial of Service (DDoS) attacks, specifically targeting MSSQL, LDAP, and UDP attack types. Utilizing the CIC-DDoS2019 dataset, the study employs various models, including Complement Naïve Bayes, k-Nearest Neighbors (kNN), Random Forest (RF), and Logistic Regression, trained on both universal and minimal universal feature subsets. To address class imbalance, the NearMiss under-sampling technique is implemented, which significantly enhances the performance of the models, particularly improving memory usage for RF and inference times for kNN.
The findings indicate that while the proposed approach effectively detects known DDoS attack types, it struggles with generalization to novel attacks not present in the training data. The study suggests future research should explore advanced methodologies, such as deep learning techniques and incremental learning strategies, to enhance the adaptability and resilience of DDoS detection systems against emerging threats. Additionally, the authors emphasize the need for ongoing evaluation of the universal feature sets across various datasets and the exploration of composite features to further improve detection capabilities.
Introduction
The introduction of the paper highlights a significant increase in distributed denial-of-service (DDoS) attacks, with a reported rise of 56% year-over-year and 17% since the first half of 2024, as indicated by a Gcore report. This upward trend is attributed to the expanding Internet of Things (IoT) ecosystem and the adoption of 5G networks, leading to more sophisticated multi-vector attacks that combine volumetric and application-layer exploits. To combat these evolving threats, continuous advancements in threat detection and mitigation technologies are deemed essential.
The research proposes a universal feature set aimed at enhancing the detection of botnet attacks across various datasets, specifically IoT-23, CTU-13, and CICIDS-2017. Utilizing the logistic regression (LR) algorithm for feature selection due to its simplicity and efficiency, the study demonstrates that machine learning algorithms—including Naive Bayes (NB), k-Nearest Neighbors (KNN), Random Forest (RF), and LR—effectively detect botnet attacks when trained on the proposed feature set. The paper also introduces a lightweight machine learning framework for multi-class DDoS detection, evaluates the NearMiss under-sampling technique for improved inference speed and reduced memory usage, and benchmarks performance on the CIC-DDoS2019 dataset, providing insights for model selection in different operational contexts. The structure of the paper is outlined, detailing related work, methodologies, experimental processes, and concluding discussions.
Methods
In this section, the authors review the supervised machine learning (ML) methods employed in their research, specifically focusing on four algorithms: Naive Bayes (NB), k-Nearest Neighbors (k-NN), Random Forest (RF), and Logistic Regression (LR). The selection of these algorithms is justified by their prior application in related studies [2] and [3], allowing the current experiments to build upon and enhance the findings of these works. Additionally, the authors aim to achieve novel insights with reduced complexity and improved efficiency in detecting and mitigating Distributed Denial of Service (DDoS) attacks.
The methodology involves a data classification approach where the dataset is partitioned into 70% for training and 30% for testing. This division is critical for evaluating the performance of the selected ML algorithms in the context of DDoS attack detection.
Results
In this section, the authors present the results of their experiments on various machine learning (ML) techniques—Complement Naive Bayes (CNB), K-Nearest Neighbors (KNN), Random Forest (RF), and Logistic Regression (LR)—applied to the CIC-DDoS2019 dataset. The experimental design was divided into three stages: data preprocessing (including cleaning, label encoding, and balancing), training and testing with a universal feature set, and finally, training and testing with minimal feature subsets. Each experiment was repeated three times to ensure reliability, and the results were averaged for analysis.
The classification results indicate the performance of each ML algorithm across different feature sets, with detailed metrics such as accuracy, precision, recall, F1-score, training time, prediction time, and memory usage provided in tables. For instance, the CNB classifier achieved an accuracy of 78% for the MSSQL class with a substantial training time, while KNN and RF classifiers demonstrated perfect accuracy in certain configurations. The results highlight the impact of feature selection on classifier performance, with variations observed between universal and minimal feature subsets. Overall, the findings underscore the importance of feature engineering in enhancing the efficacy of ML models for DDoS attack detection.
Discussion
In this discussion section, various studies utilizing the CIC-DDoS2019 dataset for DDoS attack detection are reviewed, highlighting innovative methodologies and their performance outcomes. One notable approach involves a hybrid deep learning model that integrates Convolutional Neural Networks (CNNs), Long Short-Term Memory (LSTM), and other architectures, achieving superior detection rates and accuracy compared to traditional models. Specifically, this model demonstrated a true positive rate and accuracy exceeding those of established machine learning techniques, showcasing its effectiveness in identifying diverse DDoS attack types.
Another significant contribution is the AE-MLP model, which combines Autoencoder and Multi-layer Perceptron techniques to enhance feature extraction and classification accuracy, achieving over 98% accuracy and F1-score. Additionally, several studies explored preprocessing techniques to optimize the CIC-DDoS2019 dataset, resulting in improved detection performance, with some models reporting accuracy rates as high as 99.99%. The discussion also notes the emergence of frameworks leveraging fog computing and federated learning to address resource constraints in IoT environments, further emphasizing the adaptability and robustness of these detection systems against evolving DDoS threats. Overall, the findings underline the efficacy of advanced machine learning and deep learning strategies in enhancing DDoS attack detection and mitigation.