GCB-PPO2：一种混合深度强化学习入侵检测系统，用于解决软件定义网络（SDN）中代表性不足的攻击类别问题

《IEEE Transactions on Network Science and Engineering》：GCB-PPO2: A Hybrid Deep Reinforcement Learning Intrusion Detection System for Under-Represented Attack Categories in SDN

针对SDN集中控制平面易受攻击的问题，本文提出GCB-PPO2混合DRL系统，创新性地采用条件生成对抗网络生成少数类攻击样本，结合CNN-LSTM共享网络提升时空特征捕捉，并利用贝叶斯优化自动调参，实验表明其分类准确率达99.01%，泛化能力优异且训练效率提升22.27%。

　　

摘要：

SDN架构中固有的集中式控制平面带来了关键的安全依赖性，控制器漏洞的恶意利用可能会引发系统性的网络故障。入侵检测系统（IDS）能够有效应对网络威胁，而深度强化学习（DRL）可以通过自主的环境交互和实时策略优化，使IDS能够动态适应不断变化的攻击模式。然而，现有的基于DRL的IDS存在少数类检测、泛化能力不足以及调优复杂性等问题。本文提出了GCB-PPO2（生成对抗网络CNNA-BiLSTM近端策略优化2），这是一种混合DRL系统，具有以下三项创新：（1）我们设计了一种条件生成对抗网络（C-GAN）架构，有针对性地为SDN场景生成代表性不足的攻击样本，显著提高了模型对少数类的识别准确性。（2）我们提出了一个基于PPO2的DRL框架，并结合CNN-LSTM共享网络来优化动态策略适应能力，同时捕捉时空模式，从而增强对不同环境动态的泛化能力。（3）我们嵌入了贝叶斯优化机制作为专用的超参数自动调优器，系统地解决了灵敏度瓶颈问题，确保在波动环境中的稳定性。实验结果表明，GCB-PPO2模型在二分类和多分类场景中的准确率分别达到了99.92%和99.01%，在InSDN数据集中对代表性不足的攻击类别的F1分数超过了85.91%。此外，该模型在另一个数据集上的泛化能力也非常强，准确率保持在98.65%以上，并且训练时间比传统混合深度学习模型快了22.27%以上。

引言

软件定义网络（SDN）以其解耦的控制平面和数据平面架构以及逻辑上集中的网络管理为特点[1]，解决了传统网络在可扩展性和灵活性方面的局限性，同时推动了网络技术的变革性进展[2]。然而，这种架构模式也引入了其集中式控制机制所带来的更高安全风险[3]。在传统的分布式网络中，安全漏洞通常具有局部影响，受其分散式拓扑结构的限制[4]。相比之下，SDN的逻辑集中化使得单一故障点、协议退化攻击以及应用层恶意逻辑植入等风险成为可能，这些风险都可能对整个网络的可用性和完整性造成严重损害。例如，针对TLS（传输层安全）/OpenFlow的退化攻击可能迫使控制器使用不安全的明文通道，从而进行窃听或植入恶意规则[5]。这些系统性的安全问题使得SDN保护成为一项关键的研究重点[6]。