基于SHAP与功能特性分组的网络攻击检测图像合成方法

《IEEE Access》：Functionality-Based Spatial Feature Clustering: A Vision-Centric Deep Learning Framework for Robust Unknown Attack Detection

　　

摘要：

检测零日攻击是一个关键挑战，因为零日攻击为攻击者提供了巨大的攻击时间窗口，由于不存在相应的补丁来应对这些攻击。借助深度学习和机器学习模型，基于异常检测的技术已发展为一个能够识别细微模式的动态系统。然而，这些模型受限于误报率、使用过时信息以及通过类似攻击来评估性能的问题，这些因素可能阻碍其准确检测新型和未知威胁的有效性。本文提出了一种从网络数据进行图像合成的方法，该方法将Shapley可加性解释（SHAP）值用于特征重要性分析，并结合基于功能特性的特征分组，以帮助InceptionNet和视觉Transformer模型更好地捕捉特征之间的空间相关性，从而实现未知攻击检测。SHAP提供了互补的局部和全局特征相关性洞察，而基于功能特性的分组则将特征组织成逻辑上连贯的类别，代表底层的网络结构。图像合成通过使用训练集中的全局最小-最大值对特征值进行缩放来完成，随后将特征值平铺形成水平条带。本文在CICIoMT2024和BoT-IoT数据集上应用了留出法（Leave-one-attack-out）训练技术，并对未知攻击进行了评估。具体而言，在拒绝服务（DoS）攻击检测中，与传统层次聚类方法相比，当与InceptionNet模型结合使用时，基于功能特性的方法在CICIoMT2024数据集上准确率提升了36.38%，F1分数提升了55.65%；在BoT-IoT数据集上准确率提升了3.8%，F1分数提升了0.2%。通过保持更低的误报率（FAR）并提供更可靠的检测基线，在准确率提升较为渐进的场景中，基于功能特性的分组始终优于层次聚类方法。