基于PSO特征挖掘与注意力增强CNN-LSTM混合深度学习的物联网实时网络安全威胁检测

《Journal of King Saud University Computer and Information Sciences》：Real-time cybersecurity threat detection using AI-driven data mining and hybrid deep learning models

　　

随着物联网（IoT）生态系统产生的网络安全数据在规模和复杂性上的持续增长，需要智能化的数据挖掘技术来提取有意义的模式并实时识别恶意活动。本文提出了一种数据驱动型网络安全框架，该框架将基于粒子群优化（PSO）的特征挖掘与注意力增强的卷积神经网络-长短期记忆网络（CNN-LSTM）架构相结合，用于在物联网环境中实现精确的威胁检测。所提出的模型考虑了异构物联网网络流的多方面时空关系，从而能够正确检测异常和恶意进程。采用粒子群优化（PSO）对特征和参数进行优化，以提升特征选择与参数优化过程中的计算效率和可扩展性，降低数据维度，同时保留具有判别力的信息。此外，引入了模型剪枝和训练后量化，以减少计算开销，使其能够部署在资源受限的物联网和网络物理系统中。该框架在CICIDS2017、N-BaIoT和IoT-23等主流基准数据集上进行了评估，这些数据集涵盖了多种网络攻击场景。实验结果表明，该方法具有高检测率、低误报率和低推理延迟，证明了其有效性和实时性。研究结果指出，将深度学习与计算智能方法相结合，对于为当前分布式系统构建可扩展且高效的安全解决方案是有效的。

一、研究背景与问题

随着物联网（IoT）生态系统的快速扩张，数十亿互联设备在分布式且资源受限的环境中持续交换异构网络流量。这种连接性在催生智能服务和自动化网络物理应用的同时，也显著扩大了攻击面，为拒绝服务攻击、扫描、僵尸网络活动、暴力破解、渗透及其他恶意网络行为创造了新的机会。传统的基于签名检测的方法依赖已知恶意软件模式或签名的数据库，难以应对日益复杂的威胁环境。因此，可靠且及时的物联网网络入侵检测已成为网络安全的关键组成部分。尽管已有研究尝试利用机器学习（ML）和深度学习（DL）方法进行行为分析，但仍面临高维数据处理、动态攻击模式适应、资源受限环境下部署困难等问题。为此，本研究旨在开发一种结合数据挖掘、深度学习与计算智能的统一框架，以实现高效、可扩展且适用于资源受限物联网环境的实时威胁检测。

二、研究内容与结论

研究人员提出了一种数据驱动型网络安全框架，该框架整合了基于粒子群优化（PSO）的特征挖掘与注意力增强的卷积神经网络-长短期记忆网络（CNN-LSTM）架构。研究在CICIDS2017、N-BaIoT和IoT-23三个基准数据集上进行了评估，这些数据集涵盖DDoS、DoS、端口扫描、Web攻击、僵尸网络等多种攻击场景。实验结果表明，该框架在不同数据集上均实现了高检测率、低误报率和低推理延迟。在IoT-23数据集上，模型达到96.49%的准确率、96.72%的召回率和95.78%的F1分数；在N-BaIoT数据集上，模型对所有九种真实IoT设备均表现出稳定的高性能，假阳性率极低（如设备1仅为5.16×10??）；在CICIDS2017多分类任务中，模型的宏平均性能指标保持较高水平。研究表明，将深度学习与计算智能方法相结合，对于创建可扩展且高效的分布式系统安全解决方案是有效的。

三、关键技术方法

本研究采用了以下几个关键技术方法：

1. 1.
   粒子群优化（PSO）特征选择：利用PSO算法从高维物联网网络流量数据中选择最具判别力的特征子集，以降低数据维度并提高计算效率。PSO通过模拟粒子群在搜索空间中的移动，基于个体最优和全局最优位置更新速度和位置，迭代优化特征子集。
2. 2.
   注意力增强的CNN-LSTM混合架构：首先使用两层卷积层（64和128个滤波器，3×3核）提取网络流量数据的空间特征，经最大池化后输入两层双向长短期记忆网络（BiLSTM，单元数分别为64和32）捕获时间依赖性。随后引入加性注意力机制，通过对LSTM隐藏状态计算对齐分数并归一化为注意力权重，使模型聚焦于最相关的时序特征，最终通过全连接层和Softmax函数输出分类结果。
3. 3.
   模型剪枝与训练后量化：为适应资源受限的物联网设备，采用结构化剪枝去除不重要的权重，并通过TensorFlow Lite对预训练模型进行训练后量化，将权重和激活值转换为较低精度（如int8），以减小模型尺寸和内存占用，加快推理速度。

四、研究结果

4.1 IoT-23数据集模型评估

研究人员在IoT-23数据集上对混合CNN-LSTM模型进行评估。该数据集包含多种良性及恶意网络流量，类别分布高度不均。训练曲线显示模型在初始阶段快速收敛，验证损失趋于稳定。混淆矩阵表明模型具有良好的分类能力，但在某些类别间存在少量误分类。模型在该数据集上取得了96.49%的准确率、96.72%的召回率和95.78%的F1分数。

4.2 N-BaIoT数据集模型评估

研究人员在N-BaIoT数据集上评估了模型性能，该数据集包含来自九种真实IoT设备（如恒温器、门铃、网络摄像头等）的流量数据。结果显示，模型在所有设备上均保持了较高的准确率、精确率、召回率和F1分数，且假阳性率极低（例如设备1为5.16×10??）。混淆矩阵显示模型在区分良性和恶意流量方面表现一致，真阳性率高，假阳性极少，验证了模型对不同IoT设备流量模式的泛化能力和抗误报能力。

4.3 CICIDS2017数据集模型评估

研究人员在CICIDS2017数据集上进行了多类分类测试。该数据集包含近200万条良性样本及多种攻击类型（如DDoS、DoS、SQL注入等）。混淆矩阵显示模型能准确识别大多数良性流量，但在“Bot”和“DoS GoldenEye”等相似类别间存在少量误分类。各类别评估结果显示，模型在大多数攻击类别上表现优异，如DoS Hulk的F1分数达98.97%，Heartbleed达97.88%，DDoS达98.70%。然而，Web攻击暴力破解和PortScan的F1分数相对较低，分别为86.71%和83.43%，表明这些类别仍需进一步优化。总体而言，模型展示了强大的多类威胁识别能力。

五、讨论与结论

研究结论部分指出，该研究提出的混合CNN-LSTM模型结合PSO特征选择和注意力机制，在多个基准数据集上均展现出优异的威胁检测性能，包括高准确率、低误报率和低推理延迟。通过模型剪枝和量化，进一步降低了计算和存储需求，使其适合部署在资源受限的物联网和网络物理系统中。研究表明，将深度学习与计算智能方法相结合，是创建可扩展、高效且适用于现代分布式系统的安全解决方案的有效途径。