基于协同演化博弈论与深度学习的物联网自适应入侵检测框架

《Intelligent Systems with Applications》：A Co-Evolutionary Game-Theoretic and Deep Learning framework for adaptive intrusion detection in IoT networks

　　

摘要专业翻译 针对物联网（IoT）环境中入侵检测的自适应性问题，研究人员提出了一种协同演化博弈论与深度学习相结合的框架（CDL-Framework）。该框架利用演化博弈论中的纳什均衡（Nash equilibrium）计算与复制者动态（replicator dynamics），对攻击者与防御者的行为进行动态建模与演化。同时，研究人员开发了一种混合CNN–BiLSTM–注意力（attention）模型，用于有效的时空特征学习。在基准数据集上的实验结果表明，该框架实现了98.11%的准确率（accuracy）、约0.67的宏F1分数（Macro-F1 score），且延迟（latency）低于100毫秒。此外，研究人员将基于SMOTE的类别平衡策略与协同演化自适应机制相结合，有效提升了少数类攻击的检测性能。最后，该框架还集成了联邦学习（federated learning）扩展，在非独立同分布（non-IID）数据条件下实现了可扩展且隐私保护的分布式入侵检测。

论文解读文章

一、研究背景与问题

随着物联网（IoT）技术的迅猛发展，数十亿互联设备已广泛部署于智能医疗、工业自动化、车载系统与智能家居等场景。物联网系统在实现实时信息交换与自动化的同时，也暴露了大量可被攻击者利用的安全弱点。由于设备数量庞大且分布于分散环境中，物联网网络面临分布式拒绝服务（DDoS）、高级持续性威胁（APT）以及零日漏洞（zero-day exploits）等复杂网络攻击的严峻挑战。

传统入侵检测系统（IDS）通常依赖固定规则或已知攻击模式进行检测。这类系统虽然对已知攻击具有一定效果，但面对新型威胁时往往失效，产生大量误报，且对零日攻击的覆盖能力不足。为应对上述问题，近年研究主要沿两个方向展开：一是利用博弈论建模攻击者与防御者的行为；二是利用深度学习提升特征识别与异常检测能力。博弈论方法在理论上能够预测攻击行为并优化防御策略，但在实时物联网流量分析中常因资源需求过高而面临可扩展性瓶颈。深度学习方法在基准数据集上取得了较高准确率，但往往仅以静态数据集为训练对象，缺乏对攻击者随时间演化策略的快速适应机制。

尽管已有研究分别探索了博弈论、深度学习和联邦学习在入侵检测中的应用，但将博弈论的战略适应性、深度学习的鲁棒特征学习以及联邦学习的隐私保护能力整合为统一协同演化框架的研究仍然匮乏。这正是本文开展研究的核心动机。

二、研究内容与结论

为弥合上述研究空白，研究人员提出了协同演化博弈论与深度学习框架（CDL-Framework），用于提升物联网网络入侵检测的自适应能力。该框架将演化博弈论中的纳什均衡计算与复制者动态引入入侵检测过程，动态建模并演化攻击者与防御者的行为策略。与此同时，框架采用CNN–BiLSTM–注意力混合深度学习架构提升入侵检测的准确性与适应性。与传统静态系统不同，该框架建立了反馈驱动的学习机制，即博弈论部分的收益决定深度学习参数设置的调整方向，使防御机制能够针对新兴威胁实现自适应。

该研究的主要贡献包括五个方面：提出了新颖的协同演化博弈论框架，在非平稳物联网环境中建模动态攻击者-防御者交互；设计了混合CNN-BiLSTM-Attention架构，有效捕获物联网流量的时空依赖关系；将协同演化自适应与混合SMOTE类别平衡策略相结合，增强对类别不平衡的鲁棒性；提出联邦学习扩展，探索分布式异构环境下隐私保护的协作入侵检测；在基准数据集上进行了大量实验验证，实现了98.11%的准确率、约0.67的宏F1分数以及低于100毫秒的延迟。

三、关键技术方法概述

研究人员采用的主要技术方法包括：其一，混合SMOTE（Synthetic Minority Oversampling Technique，合成少数类过采样技术）类别平衡策略，对少数类攻击样本进行过采样、对多数类进行欠采样，以缓解CICIoT2023数据集中的类别不平衡问题；其二，CNN-BiLSTM-Attention混合深度学习架构，利用一维卷积层提取局部空间特征，利用双向长短期记忆网络（BiLSTM）建模双向时间依赖，并引入缩放点积注意力机制强化关键特征表达；其三，基于演化博弈论的协同演化训练机制，通过复制者动态与熵正则化更新攻防双方策略概率，以检测率（DR）、误报率（FAR）和漏报率（MR）定义攻防效用函数，并收敛至纳什均衡；其四，联邦学习（Federated Learning）扩展，采用联邦平均（FedAvg）算法在非独立同分布（non-IID）客户端数据上实现隐私保护的协作模型训练。实验采用CICIoT2023公开数据集，该数据集包含34个类别，涵盖DoS/DDoS、侦察（Recon）、暴力破解（Brute-force）、欺骗（Spoofing）、基于Web的恶意软件攻击、Mirai僵尸网络攻击及良性流量等七大类。

四、研究结果分析

4.1 数据探索与特征相关性分析

研究人员通过相关性热力图（Fig. 4）分析了所选前25个特征之间的相关性，发现部分特征组之间存在中到高度的相关性，表明存在潜在冗余。通过识别并移除高度相关特征，可缩减特征空间并提升学习效率。随机森林（Random Forest）特征重要性评分（Fig. 5）排序了最具影响力的特征属性，选取排名靠前的特征可降低噪声与计算复杂度。前五个最重要特征的成对分布图（Fig. 6）显示，良性流量与恶意流量在多个特征维度上呈现清晰分离，验证了特征选择过程的有效性。

4.2 混合SMOTE类别平衡

CICIoT2023数据集呈现高度不平衡的类别分布，部分少数类攻击类别的样本量远低于主导流量类别。研究人员采用混合SMOTE策略，将少数类攻击类别通过合成样本生成进行过采样，同时将过度主导的类别进行上限控制，以实现更均匀的类别分布。平衡后的数据集为分类器提供了更均衡的训练信号，使其能够学习更具判别性的决策边界，提升对多数类和少数类攻击类型的识别能力。

4.3 CDL框架性能评估

协同演化学习动态方面，演化效用轨迹显示训练过程中实现了稳定收敛。防御者效用逐步上升，表明检测能力持续提升；攻击者效用逐步下降，反映其规避成功率降低。该结果表明博弈论驱动的自适应机制能够有效促进防御策略的持续优化。

4.4 分类性能

在CICIoT2023数据集上，所提出的CDL框架实现了98.11%的整体准确率、约0.67的宏F1分数，且推理延迟低于100毫秒，满足实时物联网入侵检测的时序要求。宏F1分数作为对类别不平衡敏感的评价指标，反映了框架在少数类攻击检测方面的改进效果。

4.5 联邦学习扩展评估

在非独立同分布（non-IID）数据划分的联邦学习模拟实验中，框架通过FedAvg聚合机制实现了分布式协作训练。实验结果表明，联邦学习扩展在保护数据隐私的同时保持了可接受的检测性能，验证了其在分布式物联网环境中的潜在适用性。

五、讨论与结论

讨论部分指出，现有入侵检测研究通常在深度学习、博弈论或联邦学习方面独立展开，缺乏将战略攻击者-防御者建模与深度情境学习及隐私保护联邦训练相结合的统一机制。当前IDS解决方案缺乏自适应策略演化、分布式物联网节点间的协调学习以及对演化对抗行为的鲁棒性。本文提出的CDL框架通过整合战略自适应、深度特征学习与概念性联邦学习扩展，为实时物联网入侵检测提供了鲁棒、可扩展且自适应的解决方案。

研究结论表明，所提出的协同演化博弈论与深度学习框架在物联网入侵检测中展现了显著优势。通过将演化博弈论中的复制者动态与纳什均衡分析与混合CNN-BiLSTM-Attention深度学习架构相结合，框架实现了对动态攻击行为的持续适应。实验结果显示，该框架在CICIoT2023基准数据集上达到98.11%的准确率、约0.67的宏F1分数和低于100毫秒的延迟，验证了其在检测性能和实时性方面的有效性。混合SMOTE平衡策略有效缓解了类别不平衡问题，提升了少数类攻击的检测能力。联邦学习扩展则展示了在分布式物联网环境中实现隐私保护协作入侵检测的潜力。未来研究方向包括在实际物联网部署环境中验证框架性能、探索更复杂的对抗攻击场景下的鲁棒性，以及进一步优化联邦学习机制以适应更广泛的异构数据分布。