增强网络入侵检测系统对灰盒攻击的对抗鲁棒性

《Computer Networks》：Enhancing adversarial robustness of network intrusion detection systems against gray-box attacks

　　摘要：机器学习的未来日益聚焦于强调透明性和协作开发的开放机器学习模型。这种开放性带来了独特的安全挑战（例如完整性和认证），尤其是在网络安全应用中，对抗性攻击利用可访问的模型进行攻击。已有研究针对白盒和黑盒环境下的对抗性攻击进行了大量探讨，但针对现实中的灰盒场景关注较少，在这种场景下，机器学习模型是开放的，但对抗性攻击的防御机制仅部分可访问。解决此类灰盒环境下的对抗性攻击问题，对于增强开放机器学习模型在应对可信现实威胁时的鲁棒性至关重要。在本研究中，我们提出了一种新方法——随机碎裂防御（SSD），用于网络入侵检测系统中的安全、开放机器学习。SSD由必须保持隐藏以确保安全性的变换密钥控制。通过利用仿射混沌变换和特征耦合层，SSD在输入特征之间创建复杂且相互依赖的关系。虽然设计保持开放以鼓励透明性，但这些机密变换密钥限制了攻击者的访问并增强了模型安全性。在两个网络安全数据集（NSL-KDD和X-IIoTID）上的实验评估揭示了SSD的鲁棒性，在X-IIoTID上实现了99.84%的高基线准确率，在NSL-KDD上实现了79.59%的准确率。该模型展现了对灰盒攻击的韧性，在X-IIoTID上保持99.48%的准确率，在NSL-KDD上保持85.9%的准确率，在防御和开放性之间提供了有效平衡。引言：机器学习的发展已在从医疗保健到网络安全等多个领域带来了变革性变化。近年来最重要的进展之一是对开放机器学习模型的推动，共享模型和算法促进了创新、协作和快速发展[1]。开放机器学习模型强调透明性和可访问性，使广泛的研究人员和开发者群体能够为机器学习技术的演进做出贡献。然而，这种开放性带来了显著风险，尤其是在对抗性攻击方面[2]。对抗性攻击是指故意操纵输入数据以欺骗机器学习模型，导致其产生错误输出或以意外方式行为[3]。例如，在网络入侵检测系统中，攻击者可以研究公开可用的检测模型，通过微扰流级特征（如到达间隔时间、字节计数或协议标志）来构造网络级对抗样本，使恶意流量被错误分类为良性，从而规避实时入侵检测[3]，[4]，[5]。类似地，针对自动驾驶汽车感知模块的攻击者可能扰动像素级输入，使停车标志被误读为限速标志，导致意外加速[2]，[6]。对抗性攻击的持续发展和改进引发了持续的“军备竞赛”，防御策略旨在对抗这些威胁。攻击技术的快速演进常常超过防御技术的发展，使机器学习系统易受复杂且有针对性的对抗威胁影响[7]。为应对对抗性攻击带来的威胁，文献中提出了多种防御机制，如第3节所讨论。这些机制包括对抗训练[8]、梯度混淆[9]、输入变换[10]等。虽然大多数技术是在计算机视觉领域开发和评估的，但针对表格数据和网络安全用例的工作也在不断增长。重要的是，许多专注于计算机视觉的方法（如特征压缩、随机平滑和集成方法）可以通过对流级或包级表示进行操作来适应网络入侵检测，因此正被积极研究用于网络入侵检测。尽管如此，这些方法常常受到显著限制[11]。许多方法高度专业化，仅对特定类型的攻击有效，或引入巨大的计算开销，使其不适用于实时网络入侵检测部署[11]。此外，一些防御措施无意中降低了干净（未修改）数据上的准确率，削弱了整体可靠性。大多数研究集中在黑盒和白盒场景，对灰盒和自适应攻击策略的关注有限。这突显了对不依赖机密性并能有效对抗自适应攻击策略的鲁棒防御策略的迫切需求。为应对这些挑战，一个受密码学启发的新研究领域出现了，专注于基于密钥的防御[12]。这些方法在机器学习模型的预处理或特征变换阶段嵌入秘密密钥，遵循Kerckhoffs原则[13]：即使除密钥外的一切都已知，系统仍应保持安全。通过利用计算困难性——类似于密码系统——基于密钥的防御旨在使对抗性攻击要么代价极高，要么理想情况下不可行。然而，尽管有这些前景，最近的研究揭示了这些防御的重大弱点。特别是，基于密钥的方法未能有效对抗诸如变换期望（EOT）[14]和反向传播可微近似（BPDA）[9]等攻击，这些攻击可以通过利用模型的固有漏洞绕过秘密变换。为克服现有防御机制在应对不断演变的对抗性攻击方面的局限性，我们提出了一种新方法：随机碎裂防御（SSD），将其构建为防御者与攻击者之间的博弈，采用图1所示的设置。我们的防御采用两种互补策略：引入随机性和在特征之间建立相互依赖。首先，我们通过基于密钥的输入变换引入受控随机性。通过在分类器处理之前随机改变输入数据，我们增加了梯度的不可预测性。这种随机性使攻击者难以准确估计真实梯度，扰乱了攻击者利用模型的能力。其次，我们引入特征耦合。一个秘密密钥调节隐藏激活，这些激活随后被密集层聚合。这产生了一个依赖于输入和密钥的梯度结构，使对抗性梯度估计复杂化。在秘密密钥控制下，这种耦合创建了一个依赖网络，其中一个特征的变化会不可预测地影响其他特征。这种相互关联引入了梯度计算中的复杂性和不稳定性，如第7节所证明，有效地导致梯度碎裂。通过扰乱攻击者可能用来操纵模型的清晰路径，耦合使得构造有效的对抗性攻击变得极其困难，因为任何试图的操纵都会导致不可预测的结果。通过将随机输入变换与特征耦合作为梯度碎裂方法相结合，这种双层防御机制使攻击努力复杂化，如第7节所证明，即使详细知道模型架构和参数。利用秘密密钥为防御者提供了关键的信息优势，增强了模型鲁棒性，并确保了对对抗性攻击的韧性。值得注意的是，该设计简单：客户端永远不需要也不看到任何密钥。一个或多个服务器端秘密可以参数化特征提取后、分类器前的预处理，并且可以在内部模型层中使用额外的秘密。所有密钥都在后端存储和轮换，无需客户端更改。本研究的贡献包括：•我们针对灰盒威胁模型引入了随机碎裂防御（SSD）。SSD利用随机变换和非线性特征耦合来引发梯度碎裂。该机制促进了特征整合，并确保了对低预算对抗性攻击的卓越韧性。•我们提出了EOT-大语言模型（LLM）攻击，利用EOT从特征空间中的多个随机梯度估计生成扰动。这些扰动随后由LLM精炼，以确保符合网络流量的语义和语法约束。•我们在NSL-KDD和X-IIoTID数据集上，对SSD和其他基准对抗防御进行了严格的实证评估，覆盖多种威胁模型，为网络入侵检测鲁棒性建立了关键的比较标准。本文组织结构如下：第2节概述基于机器学习的入侵检测系统和对抗性攻击；第3节回顾相关工作并指出研究空白；第4节详细描述所提出的防御；第5节介绍攻击生成方法；第6节描述实验设置；第7节呈现结果和讨论，包括消融研究；第8节概述未来方向；第9节总结全文。章节片段：ML-IDS设计概述本研究旨在通过防御旨在规避安全机制的对抗性攻击，增强基于机器学习的入侵检测系统（ML-IDS）。两个核心检测任务是我们方法的关键：入侵检测（ID），涉及区分正常流量和恶意活动并实现高干净准确率[15]；以及对抗性攻击检测，专注于检测对恶意输入进行的精心修改以欺骗IDS。标准相关工作：防御对抗性攻击已成为机器学习领域的关键焦点，导致根据基本原理分类的多种防御机制。以下是这些防御的分类，以及每个类别中的关键研究[4]。此外，表1提供了这些防御的总结。•对抗训练：这种方法涉及在对抗性攻击上训练模型，以增强其对攻击的鲁棒性[2]，[18]。在[8]中，作者提出了一种提出的防御：随机变换和梯度碎裂是所提出方法的主要组成部分，如图4所示。SSD包括输入预处理和输入随机化作为随机变换的元素，而密钥条件化的特征耦合分类器代表碎裂组件。关于具体选择的更多细节在第4.1节（第一阶段：随机变换）和4.2节（第二阶段：梯度碎裂）中提供。提出的对抗性攻击生成方法：本节概述了所提出的EOT-LLM攻击生成过程，用于创建更真实反映实际攻击行为的对抗样本。数据集：在本研究中，我们考虑了具有相似特征提取过程的数据集，同时包含网络和主机特征，但关注不同领域：计算机网络和工业物联网（IIoT）。具体来说，我们使用了X-IIoTID数据集[39]，这是一个专为IIoT系统安全研究设计的综合资源，包含820,834个样本，其中656,666个训练样本和164,168个测试样本。每条记录包含79个特征，例如结果与讨论：本节将我们的防御机制（SSD）与SOTA防御在X-IIoTID和NSL-KDD数据集上进行比较。评估在干净和对抗场景下进行。为确保公平，所有方法都使用相同的梯度计算，采用epsilon和L∞范数约束。在实验中，我们使用符号-幅度变换的SSD-Sign、符号-幅度变换的SSD-LoG和梯度流变换的SSD-GF来指代我们的模型。我们还表示随机未来方向：在这项工作中，我们的主要目标是在灰盒环境中实现可接受的干净准确率和对抗场景下的鲁棒性能。我们成功实现了这些目标；然而，我们目前的方法依赖于变换密钥的机密性和安全管理，我们假设这在研究中已经建立，并且是许多密码系统中的常见依赖。为解决这些问题，未来工作将重点关注先进的密钥管理策略。结论：在本研究中，我们引入了SSD作为开放机器学习模型在灰盒攻击中的鲁棒防御机制。我们的模型表现非常出色，在两个代表性网络安全数据集上取得了高指标。此外，它在自适应攻击场景中也显示出有希望的结果。这种强大性能表明，即使攻击者了解防御机制，开放机器学习模型也能有效抵御对抗性攻击。未来，我们计划CRediT作者贡献声明：Mohmmad Al-Fawa’reh：写作——审阅与编辑，写作——原始草稿，可视化，验证，软件，资源，方法论，调查，正式分析，概念化。Jumana Abu-khalaf：写作——审阅与编辑，监督，项目管理，调查。Patryk Szewczyk：写作——审阅与编辑，监督。Naeem Janjua：写作——审阅与编辑，监督。利益冲突声明：作者声明没有已知的利益冲突或可能影响本论文工作的个人关系。Mohammad Al-Fawa’reh是澳大利亚默多克大学网络安全讲师。他在埃迪斯科文大学获得网络安全博士学位，并在约旦公主苏玛亚科技大学（PSUT）获得信息系统安全和数字犯罪学硕士学位。他的研究重点是对抗性机器学习、人工智能驱动的网络安全、入侵检测系统、网络威胁情报、恶意软件分析以及网络物理系统的安全性。Mohmmad Al-Fawa’reh | Jumana Abu-khalaf | Patryk Szewczyk | Naeem Janjua