доктор технических наук, профессор, заведующий кафедрой «Информационная безопасность» Московского технического университета связи и информатики
аспирант кафедры «Информационная безопасность» Московского технического университета связи и информатики
Актуальность. Для исследований и тестирования средств обнаружения атак требуются репрезентативные наборы сетевого трафика, однако их сбор и разметка трудозатратны, а распространение ограничено требованиями конфиденциальности и рисками утечек. Синтетические данные позволяют увеличить объем выборок и моделировать редкие сценарии и сценарии «нулевого дня» при сохранении статистических свойств сетевого трафика.
Цель: повышение качества и воспроизводимости формирования синтетических табличных признаков сетевого трафика на примере Android-приложений за счет применения диффузионной модели Tabular Denoising Diffusion (TabDDPM) и комплексной валидации результатов генерации на согласованном наборе метрик.
Методы. Использована диффузионная генеративная модель TabDDPM, применимая к произвольным табличным наборам данных. Эффективность генерации оценивается методами статистического анализа: сравнение распределений и зависимостей признаков, проверка полезности в прикладной задаче, а также оценка отличия синтетических данных от реальных.
Результат. Выполнен комплексный анализ качества TabDDPM при генерации табличных признаков сетевого трафика атак или нежелательных приложений. Показана возможность формирования контролируемых синтезированных наборов данных, сохраняющих характерные паттерны трафика и обеспечивающих масштабирование обучающих выборок без прямого копирования исходных записей.
Новизна. Предложен согласованный протокол постгенерационной валидации синтетического трафика, сочетающий метрики реалистичности, полезности и неотличимости, что снижает риск некорректных выводов при разрозненной оценке. Для количественной оценки качества генерации синтезируемых данных предложен интегральный показатель качества на основе партициальных метрик.
Теоретическая значимость состоит в развитии методического подхода к верификации табличных диффузионных моделей для задач кибербезопасности.
Практическая значимость заключается в возможности применения получаемых синтетических наборов данных для моделирования компьютерных атак, сценариев «нулевого дня», стресс-тестирования и обучения / проверки систем обнаружения вторжений.
Relevance. Representative network-traffic datasets are required for research and testing of attack detection tools; however, their collection and annotation are labor-intensive, and data sharing is constrained by confidentiality requirements and the risk of leakage. Synthetic data can increase sample sizes and enable modeling of rare and zero-day scenarios while preserving the statistical properties of network traffic.
Objective. To improve the quality and reproducibility of generating synthetic tabular features of network traffic, using Android applications as a case study, by applying the Tabular Denoising Diffusion model (TabDDPM) and performing comprehensive validation of the generated data using a consistent set of metrics.
Methods. We employ the TabDDPM diffusion-based generative model, which is applicable to arbitrary tabular datasets. Generation performance is assessed via statistical analysis methods, including comparisons of feature distributions and inter-feature dependencies, evaluation of utility in a downstream task, and estimation of the discrepancy between synthetic and real data.
Results. A comprehensive quality assessment of TabDDPM is conducted for generating tabular features of network traffic associated with attacks or unwanted applications. The results demonstrate the feasibility of producing controlled synthetic datasets that preserve characteristic traffic patterns and enable scaling of training samples without directly copying the original records.
Novelty. We propose a unified post-generation validation protocol for synthetic traffic that integrates realism, utility, and indistinguishability metrics, thereby reducing the risk of misleading conclusions arising from fragmented evaluation. In addition, an integral quality indicator is introduced to quantify generation performance by aggregating partial metrics.
The theoretical significance lies in advancing a methodological framework for verifying tabular diffusion models in cybersecurity applications.
The practical significance is the ability to use the resulting synthetic datasets to model cyberattacks and zero-day scenarios, perform stress testing, and train and / or evaluate intrusion detection systems.
The authors declare that there are no conflicts of interest present.