Population transfer between magnetic levels

O modelo da Figura 11 foi primeiramente proposto sem a fase de divisão, onde na etapa de tratamento de atributos foram utilizados diversos algoritmos de seleção de características (não foram utilizados autoencoders), com trabalho apresentado em (NASCIMENTO et al., 2014). Este trabalho aplicou algoritmos de aprendizagem de máquina em duas fases, com a primeira fase sendo responsável por diminuir a dimensionalidade dos dados e selecionar os melhores atributos a serem utilizados na segunda fase, e a segunda fase responsável por classificar os dados com um modelo ELM. Ambas as fases foram otimizadas pelo MOGA, com o objetivo de obter bons resultados, simultaneamente, de métricas de acurácia em fluxos e em bytes. No entanto, este modelo foi estendido com o intuito de melhorar a qua- lidade de classificação, principalmente em bases de dados maiores e mais diversificadas, e por esta razão um modelo baseado na estratégia de “dividir para conquistar” foi proposto. A fase de divisão da Figura 11 consiste em dividir um problema complexo em pro- blemas mais simples. O desempenho de um classificador que combina diversos modelos da aprendizagem supervisionada, especialistas em partições de dados mais similares (i.e., compartilhando a mesma distribuição estatística ou similar), onde tais partições foram previamente encontradas através do treinamento de um modelo de aprendizagem não- supervisionada, mostrou ser superior quando comparado ao uso de um único modelo treinado com o conjunto de dados completo (sem a divisão) (JACOBS et al., 1991). As fases de divisão e conquista podem ser visualizadas na Figura 11.

A tarefa de dividir começa logo após a fase de tratamento dos atributos e utiliza o algoritmo GHSOM como técnica de agrupamento (RAUBER; MERKL; DITTENBACH, 2002). O GHSOM tem a capacidade de modelar dinamicamente o conjunto de dados em clusters, sem a necessidade de especificar previamente o número de clusters, conforme foi visto na Seção 3.1.2.2. Com a base de dados dividida por similaridade entre seus atributos, a próxima fase consiste em conquistar, ou melhor, treinar modelos classificadores para cada problema simplificado.

4.2.3 Conquistar

A fase de conquista é responsável por conquistar cada cluster, através da criação de um modelo especialista (i.e., um classificador) para cada partição que foi criada durante a fase de divisão. Cada cluster criado é uma partição do conjunto de dados completo, que foi agrupado como um problema simplificado, e que pode ser melhor atacado através do treinamento de modelos de aprendizagem supervisionada (JACOBS et al., 1991). Os dados de saída descartados durante a fase de aprendizagem não-supervisionada (i.e., fase

de divisão), agora são utilizados no treinamento do modelo especialista através de um algoritmo de aprendizagem supervisionada. Neste trabalho, o algoritmo de Aprendizagem de Máquina Extrema (ELM - Extreme Learning Machine) (HUANG; ZHU; SIEW, 2006) foi escolhido devido ao seu alto poder de generalização e rápido processo de treinamento.

Além disso, este normalmente possui apenas um parâmetro de treinamento (i.e., nú- mero de neurônios da camada escondida) a ser variado, o que auxilia na redução do espaço de busca pelo algoritmo MOGA, reduzindo inclusive o tempo total de otimização, con- forme será detalhado no Capítulo 5, e, consequentemente, o tempo de treinamento do modelo híbrido por completo. Porém, além deste parâmetro, neste trabalho, parte do cro- mossomo do MOGA foi composta pela melhor função de ativação dentre cinco testadas, sendo estas: Sigmóide (SIG - Sigmoidal), Seno (SIN - Sine), Limiar (HAR - Hard-limit), Base Triangular (TRI - Triangular Basis) e Base Radial (RAD - Radial Basis). No en- tanto, ainda assim o tempo total de otimização pode ser reduzido com o ELM, devido ao número reduzido de parâmetros que necessitam serem otimizados, quando comparado com outros algoritmos de aprendizagem supervisionada (e.g., redes neurais), além da ca- pacidade de aprendizagem rápida inerente do algoritmo.

4.2.4 Otimização Multi-Objetivo

Neste trabalho, foi proposto otimizar o modelo híbrido com o auxílio de um algoritmo de otimização multi-objetivo, tornando o modelo flexível para que administradores de redes possam priorizar a acurácia de classificação em fluxos, bytes, ou uma opção balanceada entre os dois, com o intuito de validar a hipótese 𝐻1. É importante destacar que o algo-

ritmo permite a otimização simultânea dos dois objetivos, no entanto, conforme explicado na Seção 3.1.3.2, existe um trade-off nas escolhas das soluções pareto-ótimas (i.e., quando um objetivo é escolhido como de maior prioridade, os outros objetivos sofrem uma penali- dade). Desta forma, foi utilizado o Multi-Objective Genetic Algorithms (MOGA) (KONAK; COIT; SMITH, 2006) como algoritmo de otimização multi-objetivo, baseado nos Algoritmos Genéticos (GA - Genetic Algorithms) (HOLLAND, 1975), para otimizar, simultaneamente, duas funções objetivo: a acurácia global em fluxos e a acurácia global em bytes, cujos detalhes relacionados aos experimentos serão vistos no Capítulo 5. Embora este modelo tenha como objetivo otimizar duas funções objetivo, o mesmo modelo pode ser utilizado para otimizar múltiplos objetivos.

O MOGA (ver Seção 3.1.3.2) foi escolhido para o processo de otimização multi-objetivo devido aos seguintes benefícios: (1) é capaz de encontrar, com alta probabilidade, a melhor solução para um problema de otimização, (2) é um algoritmo simples e relativamente fácil de implementar, (3) tenta realizar buscas em toda a Fronteira Pareto-Ótima, ao invés de obter apenas uma solução ótima por execução, (4) não é necessário possuir conhecimento prévio do domínio do problema a ser resolvido, e (5) não é necessário fazer suposições sobre a curva de pareto (i.e., a curva que define a Fronteira Pareto-Ótima) (CHENG, 2017).

Para melhorar o desempenho, simultaneamente, das acurácias em fluxos e em bytes, é necessário encontrar o melhor conjunto de parâmetros para os algoritmos de aprendizagem de máquina utilizados no modelo híbrido. Neste trabalho, foram utilizadas duas estratégias para tratamento de atributos, sendo a primeira utilizando seleção de características e a segunda com o auxílio dos Stacked Sparse Autoencoders, com o objetivo de validar a hipótese 𝐻3.

Na primeira estratégia, foram otimizadas tanto a fase de seleção de características quanto a fase de conquista. A fase de divisão não foi otimizada para encurtar o tamanho do espaço de busca do MOGA. O cromossomo utilizado para o processo de otimização multi-objetivo pode ser visualizado na Figura 12, composta de três genes, tais como os parâmetros do ELM (i.e., a função de ativação e o número de neurônios da camada es- condida), e o número de atributos a serem selecionados a partir de um conjunto de carac- terísticas ordenados pelo seu ganho de informação, calculado pelo algoritmo de Ganho de Informação (Information Gain). Este algoritmo é executado uma única vez, e então uma lista de atributos, com seus valores de ganho de informação, é apresentada ao sistema.

Com os valores calculados, é iniciado o treinamento de todo o modelo a partir dos indivíduos de cada geração, gerados pelo MOGA, onde o primeiro gene determina o nú- mero de atributos (os melhores) utilizados nos treinamentos do GHSOM e ELM. Os dois outros genes determinam os parâmetros do ELM. O MOGA conduz a quantidade de trei- namentos realizados desde a fase de seleção de características até as criações dos modelos ELM, uma vez que gera indivíduos a cada geração (que serão testados em um conjunto de dados de validação, conforme será visto no Capítulo 5), com o objetivo de encontrar soluções pareto-ótimas.

ELM: Neurônios ELM: Função de Ativação

SC: Número de Características Selecionadas

Gene Cromossomo

Figura 12 – Cromossomo utilizado durante a otimização multi-objetivo com o MOGA. Na segunda estratégia, é descartado o uso da técnica de seleção de características e adicionados os Stacked Sparse Autoencoders (SSAE), onde um processo semelhante ao da primeira estratégia é executado, porém sem a utilização do gene SC da Figura 12. Conse- quentemente, o treinamento do GHSOM é executado apenas uma vez, pois a dimensão do conjunto de dados, com a utilização dos SSAE, é fixada, ou seja, o número de atributos que serão criados (na camada de saída da rede neural) é definido como parâmetro fixo para os SSAE. Sendo assim, não é necessário treinar múltiplos modelos GHSOM com di- ferentes bases de dados (i.e., com dimensões diferentes), mas apenas um modelo GHSOM

é gerado para a fase de conquista. Esta técnica reduz o custo computacional e de tempo de execução do treinamento, devido à redução da dimensionalidade e a não necessidade de treinar múltiplos modelos GHSOM.

O cromossomo presente na Figura 12 deverá possuir apenas valores inteiros (para a função de ativação, foram assumidos também valores inteiros, sendo cada valor represen- tando uma diferente função, conforme será detalhado na Seção 4.2.3). O método de seleção por torneio foi utilizado para formar a próxima geração. Além disso, os procedimentos de mutação e cruzamento de Besnerais et al. (2008) foram utilizados com a finalidade de restringir a geração de novos indivíduos apenas com valores inteiros, conforme operações abaixo:

• Operador de cruzamento discretizado: se uma variável discreta 𝑋𝑗 assume um valor

em um conjunto 𝑆_𝑗𝑑, dado dois pais X1 e X2 tal que 𝑋_𝑗1 = 𝑆_𝑗𝑑(𝑖1_𝑗) e 𝑋_𝑗2 = 𝑆_𝑗𝑑(𝑖2_𝑗), um número randômico 𝑢 é gerado entre [0, 1] e os índices

𝑖3_𝑗 = 𝑟(𝑢𝑖1_𝑗 + (1 − 𝑢)𝑖2_𝑗) 𝑖4_𝑗 = 𝑟((1 − 𝑢)𝑖1_𝑗 + 𝑢𝑖2_𝑗) (4.1) são gerados, 𝑟 sendo o operador de arrendondamento. Sendo assim, dois filhos X3 e

X4 contendo valores discretizados 𝑋3

𝑗 = 𝑆𝑗𝑑(𝑖3𝑗) e 𝑋𝑗4 = 𝑆𝑗𝑑(𝑖4𝑗) são produzidos, com

𝑖3

𝑗 e 𝑖4𝑗 limitados aos valores entre [𝑖1𝑗, 𝑖2𝑗];

• Operador de mutação discretizada: uma variável discreta 𝑋𝑗 sofre mutação ao ser

substituída por um elemento selecionado randomicamente do conjunto 𝑆𝑑 𝑗. 4.2.5 Classificação

As seções anteriores descreveram os componentes do modelo híbrido proposto, cujos de- talhes técnicos dos experimentos serão abordados no Capítulo 5. Após o treinamento dos algoritmos, conforme explicados neste capítulo e seguindo os detalhes de ajustes (e.g., parâmetros, conjuntos de dados, tratamento dos dados, detalhes das métricas utilizadas, etc.) que serão vistos no próximo capítulo, o modelo MODC é finalmente criado e po- derá ser utilizado para a fase de testes, onde novas e desconhecidas instâncias (fluxos) são apresentadas ao modelo para que este as classifique quanto aos seus tipo de tráfego (classe).

Com o MODC treinado, as seguintes etapas ocorrem com o objetivo de classificar um novo fluxo desconhecido que esteja passando pela rede, servindo também como processo de validação do modelo, uma vez que no caso da validação as classes são conhecidas e é possível analisar o desempenho de classificação do modelo ao ser utilizada uma base de dados de testes:

• Com os atributos do fluxo gerados, estes são normalizados (detalhes na Seção 5.1.2); • O fluxo então se transforma em uma instância desconhecida (i.e., sem a classe). A solução pareto-ótima, que foi selecionada pelo administrador de redes, guiará então a passagem desta instância pelos modelos treinados da Figura 11;

– Se a estratégia de seleção de características for utilizada, os 𝑛 atributos com

maiores valores de ganho de informação encontrados anteriormente, durante o treinamento, são selecionados para representar a instância nas próximas fa- ses. O valor de 𝑛 é obtido a partir da solução pareto-ótima selecionada pelo administrador de redes, sendo este o gene SC da Figura 12;

– Se a estratégia de utilização dos SSAE for utilizada, uma nova instância é

gerada a partir da criação de novos atributos, com dimensionalidade reduzida, ao utilizar o modelo treinado pelos autoencoders.

• Após a fase de tratamento dos atributos, a instância é então classificada quanto ao cluster que pertence pelo modelo GHSOM treinado (sendo este o gatilho), ou seja, será identificado o grupo de instâncias da fase de treinamento que mais se assemelha à instância desconhecida em questão. É importante destacar que, para cada solução pareto-ótima, um modelo GHSOM é armazenado quando a estratégia de seleção de características for selecionada, uma vez que diferentes modelos GHSOM precisam ser treinados para tamanhos diferentes de 𝑛, i.e., para diferentes dimensionalidades dos dados; e

• Identificado o cluster, a instância é então introduzida ao modelo ELM treinado para atacar aquele grupo de dados específico, que por sua vez classifica a instância como pertencendo a uma determinada classe de tráfego de redes. Assim como para o GHSOM, diferentes modelos ELM são armazenados levando em consideração a quantidade de soluções pareto-ótimas geradas, devido aos diferentes genes ELM da Figura 12.

As classificações realizadas pelo MODC, oriundas de um determinado tráfego de redes, podem ser utilizadas para gerar regras de firewall que bloqueiem (manualmente ou auto- maticamente) determinados tráfegos de redes indesejados, conforme pode ser visualizado na Figura 13. O processo de seleção da melhor solução pareto-ótima pode ser simplificada para o administrador através de uma tela de ajustes onde seja possível deslizar entre as prioridades de acurácia em fluxos ou em bytes, podendo também ser selecionada uma opção balanceada entre os dois (conforme já apresentada na Figura 13). Esta seleção, conforme já mencionado, vai depender da necessidade do especialista.

Após a seleção e confirmação, o modelo híbrido treinado com os parâmetros da solução pareto-ótima selecionada é utilizada para classificar o tráfego de redes em tempo real.

Esta decisão pode impactar na qualidade da rede, onde poderão ser enviadas instruções de firewall para bloquear determinados tipos de tráfego, priorizar a acurácia em fluxos, ou em bytes (e.g., fluxos do tipo “elefante”, para redes com baixa capacidade de banda), ou uma opção mais balanceada.

Bytes Fluxos

MODC :: Ajustes

0 0 0

Deslize para priorizar acurácia de classificação em fluxos ou em bytes

Aplicar

MODC

Rede Local Firewall

Tráfego de Redes Tráfego de Redes Gerenciamento de Regras do Firewall Ajustes do Modelo Tráfego de Redes Internet

Figura 13 – Exemplo prático de seleção de soluções geradas pelo MOGA e uso do MODC por um administrador de redes de computadores.

Ainda com foco na estratégia de “dividir para conquistar”, foram propostos também mais duas variações do modelo MODC, o Multiple Multi-Objective Divide and Conquer with Feature Selection (MMODC𝐹 𝑆) e o Multiple Multi-Objective Divide and Conquer

with Autoencoders (MMODC𝐴𝐸), onde múltiplos modelos MODC𝐹 𝑆 ou MODC𝐴𝐸 são

combinados para classificar diferentes protocolos de transporte (e.g., UDP e TCP), ou seja, diferentes classificadores são utilizados para diferentes protocolos. Conforme será mostrado na Seção 5.2.5.1, esta divisão apresentou melhorias no desempenho de classifi- cação, reforçando mais uma vez a importância da estratégia de “dividir para conquistar” para classificação de tráfego de redes.

4.2.6 Considerações Finais

Este capítulo apresentou o modelo híbrido proposto, denominado Multi-Objective Divide and Conquer (MODC), com o objetivo de classificar tráfego de redes de computadores com alta acurácia de classificação em fluxos e em bytes, com o auxílio de técnicas de aprendizagem de máquina supervisionada e não-supervisionada, além do uso das técnicas de seleção de características, Deep Learning e otimização multi-objetivo.

O modelo foi proposto utilizando a estratégia de “dividir para conquistar”, com o intuito de atingir melhor desempenho de classificação, e permite sua flexibilização para que administradores de redes ajustem o modelo conforme as necessidades de suas redes, priorizando melhores desempenhos de classificação para diferentes objetivos (i.e., acurácia em fluxos ou em bytes), podendo também ser utilizado para otimizar diferentes outras métricas, flexibilizando ainda mais o modelo. Os resultados experimentais para o modelo híbrido serão analisados no próximo capítulo.

5 EXPERIMENTOS

Este capítulo apresentará os detalhes relacionados à execução dos experimentos, além dos resultados obtidos, análises e comparações entre métodos. Foi utilizado o MATLAB em todo o processo de treinamento, otimização e testes, por possuir uma extensa comunidade científica na área de aprendizagem de máquina, facilitando a pesquisa por ferramentas, códigos e dúvidas encontradas.

O principal objetivo deste capítulo é o de validar as hipóteses apresentadas na Se- ção 4.1, ou seja, 1) validar se a estratégia de “dividir para conquistar” é capaz e apre- sentar melhorias no desempenho de classificação de tráfego de redes (𝐻0), 2) analisar se

é possível tornar o modelo flexível, permitindo que administradores de redes possam pri- orizar a classificação baseada em fluxos, bytes ou uma solução balanceada com o uso de otimização multi-objetivo (𝐻1), 3) comparar os modelos com softwares DPI existentes e

um subconjunto de conhecidos algoritmos de aprendizagem de máquina (𝐻2) e 4) verificar

se a utilização do SSAE melhora os resultados do modelo, além do tempo de treinamento (𝐻3).