DeepSVDD und die Grenze der Netzwerkanomalieerkennung

Die Frage nach der Grenze

Ein Netzwerk hat einen Arbeitstakt. Ein Gerät findet einen Dienst, eine Anwendung stellt eine Anfrage, eine Antwort läuft zurück. Ein Detektor soll bemerken, wenn sich dieser Takt verändert. Die schwierige Beobachtung trägt selten ein Etikett aus dem Trainingssatz. Sie ähnelt zunächst dem Routineverkehr und unterscheidet sich erst in einer Verbindung von Eigenschaften, die das Modell noch nicht gelernt hat zu trennen.

Diese Asymmetrie führte mich in der Bachelorarbeit zur Deep-One-Class-Klassifikation. Für einen abgegrenzten Netzwerkkontext konnte ich Beobachtungen sammeln, die als normal galten. Für jeden späteren Angriff, Fehler oder Missbrauchsfall konnte ich keine Beispiele sammeln. Deep Support Vector Data Description, kurz DeepSVDD, gab dieser Lücke eine klare Form. Das Verfahren überführt Beobachtungen in eine gelernte Repräsentation. Der Abstand von einem kompakten Bereich normaler Daten wird zum Anomaliesignal.² Absicht leitet das Verfahren daraus nicht ab. Es prüft, ob eine Beobachtung zu einer gelernten Beschreibung normalen Verhaltens passt.

Der Unterschied zwischen Beschreibung und Wirklichkeit prägte die Arbeit. Ein Modell kann eine enge Grenze um seine Trainingsbeobachtungen ziehen. Diese Grenze ist nur dann brauchbar, wenn die Repräsentation die Unterschiede bewahrt, die außerhalb des Trainings zählen. Erreichen eine schädliche Folge und eine Routinefolge denselben inneren Punkt, kann auch eine gut optimierte Kugel den verlorenen Unterschied nicht zurückholen. Die Geometrie arbeitet korrekt. Für die betriebliche Bewertung reicht sie trotzdem nicht aus.

Die ursprüngliche DeepSVDD-Arbeit behandelt diesen Ausfall als zentrales Konstruktionsproblem. Ihr Lernziel verbindet Repräsentationslernen mit einer Kugel, die die Daten einschließt. Architektureinschränkungen sollen verhindern, dass alle Eingaben auf einen Punkt zusammenfallen. Dieser Kontext ist für Netzwerkdaten relevant. Ein kleiner Trainingswert kann einen nützlichen Bereich normalen Verkehrs beschreiben. Er kann ebenso entstehen, weil das Modell unähnlichen Verkehr gleich behandelt. Der Verlustwert allein trennt diese Fälle nicht.

Meine Frage war deshalb enger als die Frage, ob DeepSVDD einen Anomaliewert ausgeben kann. Ich prüfte, ob ein Detektor auf öffentlichen Netzwerkdaten noch aussagekräftig bleibt, wenn sich das Verkehrsmuster verändert. Die Antwort trennte Ergebnisse innerhalb des geprüften Rahmens von Generalisierung außerhalb dieses Rahmens. Diese Trennung begleitet meine Arbeit bis heute. Normalität ist keine Tatsache, die ein Datensatz liefert. Sie ist eine modellierte Referenz mit einer Grenze, einem Evaluationsprotokoll und einer Reichweite.

Was die Evaluation prüfte

Die Arbeit verband Vorverarbeitung, Repräsentationslernen und One-Class-Training auf öffentlichen Datensätzen mit Netzwerkverkehr. Der Abstract nennt Precision, Recall, F1-Score und Kreuzvalidierung als Perspektiven der Evaluation.¹ Ich nutzte diese Maße für unterschiedliche Fragen. Precision betrifft den Anteil gemeldeter Anomalien, der eine Untersuchung rechtfertigt. Recall betrifft die Anomalien, die der Detektor erreicht. Der F1-Score hält beide Werte zusammen. Die Kreuzvalidierung prüft, ob ein Ergebnis zu stark an einer Aufteilung der Daten hängt. Kein einzelnes Maß kann belegen, dass eine Grenze unter veränderten Bedingungen brauchbar bleibt.

Die vollständige Arbeit nutzte zwei Benchmarkdatensätze. UNSW-NB15 enthielt 2.540.044 Vektoren in vier CSV-Dateien. Ich verwendete die getrennten Trainings- und Testsätze. Das Experiment ohne Vortraining erreichte auf UNSW-NB15 eine AUC von 71,06 Prozent und auf KDD Cup 1999 eine AUC von 80,02 Prozent. Diese Werte stammen aus getrennten Benchmarks. Sie belegen weder, dass ein Datensatz grundsätzlich leichter ist, noch dass der Detektor auf ein neues Betriebsnetz generalisierte. Sie ordnen diese konkrete Verarbeitung ein, bevor eine weitergehende Aussage über unbekannte Muster möglich wäre.

Die Architektur verwendete ein CNN, um aus dem vorbereiteten Verkehr eine Repräsentation zu lernen. Anschließend bildete das Modell eine Hypersphäre um die normale Referenz. Jede neue Beobachtung erhielt einen Wert aus ihrem Abstand zum gelernten Mittelpunkt. Diese Anordnung legt die Abhängigkeit offen. Der Abstand hat keine eigene Bedeutung. Er übernimmt die Information, welche die Vorverarbeitung und das Repräsentationslernen bewahrt haben.

embedding = encoder(network_window)
anomaly_score = distance(embedding, center)

Die Arbeit machte diesen Punkt konkret. Der Abstract beschreibt bessere Ergebnisse bei bekannten Verkehrsmustern und Schwierigkeiten bei neuen oder unbekannten Mustern. Er nennt zudem ein Problem beim selbstüberwachten Lernen auf tabellarischen Daten. Merkmale ohne Bezug zur Aufgabe können die Generalisierung auf unbekannte Datensätze behindern. Das Ergebnis beweist nicht, dass DeepSVDD bei jedem unbekannten Netzwerk versagt. Es zeigt, dass Training ohne vollständigen Katalog aller Anomalien eine direkte Prüfung unbekannter Muster nicht ersetzt.

Spätere Forschung benennt dieselbe Modellierungsfrage genauer. Chong und Kolleginnen und Kollegen schlagen Regularisierer gegen den Kollaps der Hypersphäre vor. Bei diesem Ausfall laufen Repräsentationen in einem Punkt zusammen. Abstand verliert dann seine trennende Wirkung.³ Hojjati und Armanfard verbinden Rekonstruktion mit einem Hypersphärenziel. Die Repräsentation muss dabei genug Information für die Rekonstruktion ihrer Eingabe bewahren.⁴ Deep SAD behandelt eine andere Bedingung. Das Verfahren nutzt eine kleine Menge gelabelter normaler oder anomaler Beobachtungen, wenn solche Evidenz vorliegt.⁵ Diese Arbeiten reparieren das Bachelor-Experiment nicht rückwirkend. Sie benennen Annahmen, die eine spätere Evaluation ausdrücklich prüfen kann.

Was ich aus dem Ergebnis lernte

Die zentrale Lehre steckt im Verb modellieren. Ein Detektor entdeckt Normalität nicht abstrakt. Er modelliert Normalität aus den Beobachtungen, Transformationen und Lernzielen, die er erhält. Die Grenze ist eine Aussage über diese Referenz. Fehlt in der Referenz eine relevante Veränderung, kann der Detektor einer Beobachtung einen unauffälligen Wert geben, obwohl eine Person sie untersuchen müsste.

Eine Kugel um Punkte auf einem Bildschirm liefert ein anschauliches Bild. Sie ähnelt einem Zaun um ein Feld. Der Zaun wirkt vollständig, weil die Ansicht nur den Boden zeigt, der in seinen Koordinaten liegt. Ein neuer Weg kann das Feld kreuzen, ohne außerhalb des Zauns zu erscheinen, wenn die Karte das Merkmal ausgelassen hat, das ihn neu macht. Es fehlt keine Linie um die Kugel. Es fehlt eine vollständige Repräsentation des Bodens darunter.

Das verändert, wie ich einen guten Kennwert lese. Ich frage, welches Verhalten die Normalreferenz bestimmt hat, welche Veränderungen zurückgehalten wurden und ob die Repräsentation Beobachtungen weiter trennt, die unterscheidbar bleiben sollen. Ich frage auch, ob eine Evaluation die Antwort prüfbar macht. Ein Detektor, der nur einen Wert ausgibt, verschiebt die schwierige Bewertung auf die Person, die darauf reagiert. Das System sollte den Umfang seiner Evidenz sichtbar machen, bevor diese Person einen Wert als Grund für eine Handlung versteht.

Die Bachelorarbeit liefert keine Betriebsgarantie. Sie erklärt nicht, dass eine einzelne Vorverarbeitung oder Architektur neue Verkehrsmuster löst. Ihr Ertrag liegt anderswo. Sie zieht eine Grenze um die Behauptung. DeepSVDD arbeitete in der untersuchten Evaluation besser mit bekannten Mustern. Bei neuen oder unbekannten Mustern traten Schwierigkeiten auf. Diese Lücke machte die nächste Forschungsaufgabe sichtbar.

Meine spätere Arbeit an Repräsentationsdiagnostik beginnt bei diesem Ergebnis. Bevor ich einem Anomaliewert vertraue, will ich prüfen, ob ein Modell beim Lernen nützliche Variation erhält. Werden unterschiedliche Eingaben ununterscheidbar, soll dieser Verlust sichtbar werden, bevor ein kompaktes Lernziel als Beleg für zuverlässige Erkennung gilt. Das betrifft Mensch-Maschine-Interaktion. Eine Person kann ein adaptives System nur dann beaufsichtigen, wenn das System Bedingungen offenlegt, die sich prüfen, hinterfragen und überarbeiten lassen.

Fußnoten

1. Michael Heichler. Analysis of the deep one-class classification procedure applied on network anomaly detection tasks. Abstract der Bachelorarbeit, 2020.
2. Ruff et al. (2018). “Deep One-Class Classification.” Proceedings of the 35th International Conference on Machine Learning, PMLR 80, pp. 4393-4402.
3. Chong et al. (2020). “Simple and Effective Prevention of Mode Collapse in Deep One-Class Classification.” International Joint Conference on Neural Networks. doi: 10.1109/IJCNN48605.2020.9207209.
4. Hojjati and Armanfard (2024). “DASVDD: Deep Autoencoding Support Vector Data Descriptor for Anomaly Detection.” IEEE Transactions on Knowledge and Data Engineering, 36(8), pp. 3739-3750. doi: 10.1109/TKDE.2023.3328882.
5. Ruff et al. (2020). “Deep Semi-Supervised Anomaly Detection.” International Conference on Learning Representations.