AI Summary & Key Takeaways
AI InsightOverall, this study shows that integrating tree-based machine learning with explainable artificial intelligence can significantly improve both the effectiveness and transparency of intrusion detection systems.
📌 3 Key Takeaways
Abstract
The rapid growth of Internet of Things (IoT) networks, accelerated by 5G technologies, has expanded the attack surface and increased vulnerability to Distributed Denial-of-Service (DDoS) attacks. Although machine learning techniques have demonstrated strong detection performance, many intrusion detection systems operate as black-box models, limiting their transparency. To address this limitation, this study proposes an explainable intrusion detection framework based on XGBoost integrated with SHapley Additive exPlanations (SHAP). Evaluated on the ACI-IoT-2023 dataset for binary classification of benign and DDoS traffic, the proposed framework demonstrated high detection performance, achieving 99.93% accuracy and 99.94% F1-score while maintaining a low inference time suitable for real-time intrusion detection. Beyond performance evaluation, explainability analysis was conducted using global and local SHAP analyses, statistical feature behavior analysis, misclassification analysis, and synthetic feature-based validation. The results reveal that temporal traffic characteristics, particularly Idle Max and Flow IAT Min, together with protocol-related behavior, represent the most influential factors in distinguishing malicious from benign traffic. The findings further demonstrate that the proposed framework learns stable and interpretable traffic patterns rather than relying on isolated feature values or arbitrary statistical correlations. Overall, this study shows that integrating tree-based machine learning with explainable artificial intelligence can significantly improve both the effectiveness and transparency of intrusion detection systems.
Özet
Nesnelerin İnterneti (IoT) ağlarının hızlı büyümesi ve 5G teknolojilerinin yaygınlaşması, saldırı yüzeyini genişletmiş ve Dağıtılmış Hizmet Engelleme (DDoS) saldırılarına karşı savunmasızlığı artırmıştır. Makine öğrenmesi teknikleri yüksek saldırı tespit performansı göstermesine rağmen, birçok saldırı tespit sistemi kara kutu modeller olarak çalışmakta ve bu durum şeffaflığı sınırlandırmaktadır. Bu sınırlamayı gidermek amacıyla, bu çalışmada XGBoost ile SHapley Additive exPlanations (SHAP) yöntemini bütünleştiren açıklanabilir bir saldırı tespit çerçevesi önerilmiştir. Önerilen çerçeve, normal ağ trafiği ile DDoS saldırılarını ayırt eden ikili sınıflandırma yaklaşımı kullanılarak ACI-IoT-2023 veri kümesi üzerinde değerlendirilmiştir. Deneysel sonuçlar, önerilen modelin gerçek zamanlı saldırı tespit uygulamaları için uygun düşük çıkarım süresini korurken %99,93 doğruluk ve %99,94 F1-skoru ile yüksek tespit performansı sağladığını göstermektedir. Performans değerlendirmesinin yanı sıra, global ve yerel SHAP analizleri, istatistiksel özellik davranış analizi, yanlış sınıflandırma analizi ve sentetik özellik tabanlı doğrulama yöntemleri kullanılarak açıklanabilirlik analizi gerçekleştirilmiştir. Bulgular, özellikle Idle Max ve Flow IAT Min gibi zamansal trafik özelliklerinin, protokol tabanlı davranışlarla birlikte, kötü amaçlı ve normal trafiğin ayırt edilmesinde en etkili faktörler olduğunu göstermektedir. Sonuçlar ayrıca önerilen çerçevenin, belirli özellik değerlerine veya rastgele istatistiksel ilişkilere dayanmak yerine, kararlı ve yorumlanabilir davranışsal ilişkiler öğrendiğini ortaya koymaktadır. Genel olarak bu çalışma, ağaç tabanlı makine öğrenmesi yöntemlerinin açıklanabilir yapay zekâ ile bütünleştirilmesinin saldırı tespit sistemlerinin hem etkinliğini hem de şeffaflığını önemli ölçüde artırabileceğini göstermektedir.