Ağ trafiği kullanarak saldırı tespit edebilen derin öğrenme modellerinin performans değerlendirmesi

Dijital altyapıların hızla büyümesi ve siber saldırıların giderek karmaşıklaşması, ağ tabanlı saldırı tespit sistemlerini modern siber güvenliğin temel bileşenlerinden biri hâline getirmiştir. İmza tabanlı yöntemler yeni tehditlerin tespitinde yetersiz kalabildiğinden, makine öğrenmesi ve derin öğrenme yöntemleri önemli alternatifler sunmaktadır. Bu çalışmada, tek boyutlu evrişimli sinir ağı (CNN) ile hibrit CNN-BiLSTM mimarisinin ikili ve çok sınıflı ağ saldırısı sınıflandırma performansları incelenmiştir. Modeller, CIC-IDS2017 ve UNSW-NB15 veri kümeleri üzerinde tabakalı beş katlı çapraz doğrulama, odak kaybı, QuantileTransformer ile ölçeklendirme ve SMOTE ile aşırı örnekleme içeren ortak bir deneysel düzen kullanılarak değerlendirilmiştir. Ayrıca rastgele orman ve XGBoost, UNSW-NB15 üzerinde klasik karşılaştırma modelleri olarak test edilmiştir. Bulgular, CNN modelinin CIC-IDS2017 ikili sınıflandırma görevinde %99,75 doğruluk ve 0,9999 ROC-AUC değerine ulaştığını göstermiştir. CNN-BiLSTM, UNSW-NB15 ikili sınıflandırma görevinde yanlış negatifleri yaklaşık %36 azaltmış; ancak çıkarım gecikmesi CNN’e göre 4-6 kat artmıştır. Çok sınıflı sınıflandırmada CNN, CIC-IDS2017 üzerinde 0,701 makro F1 skoruyla CNN-BiLSTM’den (0,671) daha yüksek performans göstermiştir. XGBoost ise derin öğrenme modelleriyle benzer F1 skorlarına daha kısa sürede ulaşmıştır. Azınlık saldırı sınıflarının tespiti tüm yapılandırmalarda temel bir güçlük olmayı sürdürmektedir. Sonuçlar, gerçek uygulama kısıtları altında derin öğrenme ve klasik makine öğrenmesi modelleri arasında seçim yapacak araştırmacı ve uygulayıcılar için karşılaştırmalı çıkarımlar sunmaktadır.

Digital infrastructures are growing rapidly and cyberattacks are becoming increasingly sophisticated. As a result, Network-based Intrusion Detection Systems have become a critical component of modern cybersecurity. Signature-based methods sometimes fail to detect new threats, where machine learning and deep learning can provide a valuable alternative. This study examines a one-dimensional Convolutional Neural Network and a hybrid model called CNN-BiLSTM, investigating how both architectures can detect network attacks in binary and multiclass classification settings. Both architectures were evaluated on the CIC-IDS2017 and UNSW-NB15 benchmark datasets through a rigorous experimental protocol incorporating stratified 5-fold cross-validation, Focal Loss, QuantileTransformer scaling, and SMOTE oversampling. Random Forest and XGBoost were additionally tested on UNSW-NB15 as classical baselines. The results show that CNN achieves near-perfect binary classification performance on CIC-IDS2017, with 99.75% accuracy and a ROC-AUC of 0.9999. CNN-BiLSTM reduces false negatives by approximately 36% in the binary UNSW-NB15 setting, albeit at the cost of 4–6 times higher inference latency. In multiclass classification, CNN outperforms CNN-BiLSTM on CIC-IDS2017 with a higher macro F1-Score (0.701 vs. 0.671). XGBoost achieves comparable F1 performance to deep learning models in significantly less training time, once again demonstrating the enduring value of ensemble methods. Minority attack class detection remains a fundamental unresolved challenge across all configurations, laying the groundwork for future research on class-wise threshold calibration and Transformer-based architectures. The findings provide actionable insights for practitioners choosing between deep learning and classical approaches under real-world NIDS deployment constraints.