因果驱动的混合入侵检测框架：融合联邦学习与对抗鲁棒性的跨域威胁检测研究

《Scientific Reports》：Causality-driven hybrid intrusion detection with entropy-aware feature learning and federated intelligence

　　

摘要

现代入侵检测系统（IDS）应具备检测和识别新型攻击流量（包括来自已知对手的攻击）的能力，并且在部署到多个地理分布的站点时，仍应保持计算可行性。基于规则的方法、表征学习方法和联邦学习方法已被单独使用，或在某些情况下组合使用。然而，在许多情况下，每种方法都是独立运行的。因此，它们无法支持因果可解释性、特征信息的高效利用、对抗攻击下的稳定性能以及跨多个站点的泛化能力。本文概述了一种因果驱动的混合IDS框架。该混合框架包括：因果自适应签名学习引擎、熵引导的特征压缩网络、基于注意力的混合认知检测综合器、对抗鲁棒性校准模块以及信任加权的联邦威胁情报进化框架。该提出的框架已在三个独立的公开可用网络流量数据集上进行了测试（cicids2017、unsw-nb15和IoT-23）。测试包括：使用针对特定数据集划分的策略来控制训练中的数据泄漏；五折验证以测试在训练数据中学习模式的能力；十次不同的随机种子控制评估。混合IDS框架与以下框架进行了比较：基于区块链的协同IDS框架；基于传统机器学习的IDS框架；基于优化XGBoost的IDS框架。所有比较均在相似的预处理条件和类别分布下完成。该提出的IDS框架在cicids2017和unsw-nb15数据集上分别取得了97.4%和96.1%的检测准确率。在IoT-23数据集上，总体检测准确率达到95.6%。此外，与每个数据集中原始特征数量相比，该提出的框架将保留的特征数量减少至18个（减少了70.9%）。在十次迭代中，报告的聚合性能指标为：总体准确率 = 96.37%；精确率 = 95.97%；召回率 = 95.43%；F1分数 = 95.68%。此外，该提出的框架每次推理的平均处理时间为18.6毫秒。最后，在基于有界梯度的扰动条件下进行的测试表明，该提出的框架保持了高水平的检测准确率（>91.5%）。