基于三层堆叠时间分布LSTM的物联网入侵检测模型及特征歧义上限分析

《Scientific Reports》：Enhanced multiclass intrusion detection on imbalanced IoT NetFlow traffic using a three-tier stacked time-distributed LSTM with SMOTENC-based class balancing

　　

摘要

随着物联网（IoT）设备的涌现，基于网络的攻击面急剧扩大。因此，迫切需要一种能够可靠识别多种攻击的自动化入侵检测系统（IDS），尤其是在类别严重不平衡的情况下。深度递归模型适用于 NetFlow 流量，然而，单层长短期记忆（LSTM）网络通常不足以区分少数攻击类别，且过采样和模型规模的效果尚未得到充分量化。本研究提出了一种三层堆叠的时间分布长短期记忆网络（ST-LSTM），并在无数据泄漏的协议下，对 NF-BoT-IoT 数据集（600,100 条流量记录，四个攻击类别和一个良性类别）进行了评估。十个流量特征作为预测变量，而类别标签和主机标识符被排除在外。在进行任何拟合之前，数据被划分为训练集、验证集和测试集，混合类型过采样（SMOTENC）仅应用于训练集，其比例在验证数据上选定。在 120,020 条未经接触的测试流量上，该模型达到 83.98% 的准确率、0.8500 的加权 F1 分数、0.6609 的宏平均 F1 分数和 0.9678 的加权 ROC-AUC 值，是经典方法、浅层递归方法和堆叠集成基线中最高的，五折交叉验证结果为 83.94 ± 0.19% 的准确率。相比之下，标准 SMOTE 方法会产生无效的协议和标志代码，并抑制 DDoS 检测。标签冲突分析表明，99.9% 的 DDoS 和 DoS 流量与其他类别共享相同的特征向量，这将可达到的五类准确率限制在 84.91%，该模型达到了这一上限的 98.9%，其几乎所有剩余错误都落在这批模糊流量上。