Master Student of Telecommunications R\&D Institute National Research University Higher School of Economics (HSE University)
Candidate of Physical and Mathematical Sciences, assistant professor of Department of Probability Theory and Cybersecurity, RUDN University; Senior Researcher of Telecommunications R&D Institute National Research University Higher School of Economics (HSE University)
Background: The rapid increase in cyberattacks targeting infrastructure, enterprises, and individual users through mobile devices has created an urgent need for effective intrusion detection systems. Traditional signature-based methods are inadequate against zero-day vulnerabilities and advanced persistent threats, prompting the exploration of machine learning approaches for network traffic analysis. Purpose: This study aims to develop and evaluate a privacy-preserving, locally operating Android application for real-time malicious traffic detection using machine learning models, addressing the limitations of cloud-dependent security architectures that compromise user privacy and availability. Methods: We implemented five machine learning algorithms - XGBoost, LightGBM, Random Forest, Decision Tree, and Logistic Regression - trained on the Network Traffic Android Malware dataset. The models were exported to the ONNX format for local deployment on Android devices. Performance was evaluated using accuracy, precision, recall, AUC score, training time, and model size metrics, with multi-criteria decision analysis (MCDA) applied for comprehensive comparison. Results: Gradient boosting algorithms demonstrated superior performance, with LightGBM achieving the highest MCDA score (0.9759), fastest training time (0.32 s), and smallest model size (0.28 MB), while XGBoost attained the highest AUC-score (0.9627). Both models significantly outperformed Random Forest (MCDA: 0.7532), Decision Tree (0.6743), and Logistic Regression (0.1407). Conclusions: LightGBM provides an optimal balance between detection accuracy and mobile resource constraints, making it suitable for on-device deployment. The proposed architecture demonstrates that fully local, ML-based traffic analysis is feasible without compromising detection quality, offering a privacy-centric alternative to server-dependent solutions for next-generation mobile intrusion detection systems.
Актуальность: Стремительный рост кибератак, направленных на объекты инфраструктуры, предприятия и индивидуальных пользователей через мобильные устройства, обусловливает потребность в эффективных системах обнаружения вторжений. Традиционные сигнатурные методы не позволяют противостоять уязвимостям нулевого дня и сложным постоянным угрозам (Advanced Persistent Threats, APT), что стимулирует исследование подходов машинного обучения для анализа сетевого трафика. Цель: Исследование направлено на разработку и оценку локально функционирующего Android-приложения, обеспечивающего конфиденциальность данных и выполняющего обнаружение вредоносного трафика в реальном времени на основе моделей машинного обучения. Решение позволяет преодолевать ограничения облачных архитектур безопасности, которые ставят под угрозу приватность пользователей и доступность сервисов. Методы: Были проанализированы пять моделей машинного обучения - XGBoost, LightGBM, случайный лес, дерево решений и логистическая регрессия, - обученных на наборе данных Network Traffic Android Malware. Модели были экспортированы в формат ONNX для локального развёртывания на устройствах под управлением Android. Оценка производительности осуществлялась по показателям точности (accuracy), полноты (recall), площади под ROC-кривой (AUC), времени обучения и размеру модели; для комплексного сравнения применялся многокритериальный анализ решений. Результаты: Алгоритмы градиентного бустинга продемонстрировали превосходные результаты: LightGBM достиг наивысшей оценки (0,9759), минимального времени обучения (0,32 с) и наименьшего размера модели (0,28 МБ), тогда как XGBoost показал максимальную площадь под ROC-кривой (0,9627). Обе модели значительно превзошли случайный лес (0,7532), дерево решений (0,6743) и логистическую регрессию (0,1407). Выводы: LightGBM показала оптимальный баланс между точностью обнаружения и ограниченными ресурсами мобильных устройств, что делает её пригодной для внутриплатформенного развёртывания. Предложенная архитектура демонстрирует, что полностью локальный анализ трафика на основе машинного обучения осуществим без потери качества обнаружения и представляет собой конфиденциально-ориентированную альтернативу серверно-зависимым решениям для систем обнаружения вторжений в мобильных сетях следующего поколения.