《Computer Standards & Interfaces》：A Hybrid Transformer-LSTM Framework with Metaheuristic-Driven Feature Selection and Data Balancing for Detecting XSS Attacks
编辑推荐：
XSS攻击检测框架融合SMOTE数据平衡、BGWO特征选择与Transformer-LSTM语义建模，有效提升检测精度与效率，在两份数据集上实现超99.6%的准确率。
Bahman Arasteh | Asgarali Bouyer | Huseyin Kusetogullari | Ibrahim Furkan Ince
土耳其伊斯坦布尔伊斯蒂尼耶大学工程与自然科学学院软件工程系
摘要
跨站脚本（XSS）攻击仍然是当前在线和移动应用中最常见和最严重的风险之一。本文提出了一种混合式XSS检测系统，该系统结合了数据平衡、特征选择和深度学习技术，以克服现有检测方法的不足。首先，使用合成少数样本过采样技术（SMOTE）来处理不平衡的数据集，从而消除训练偏差。接下来，开发了一种二进制灰狼优化器（BGWO）来识别最有用的结构特征。同时，采用Transformer-LSTM架构直接从分词后的XSS载荷中学习语义和序列表示，这使得能够有效描述复杂且不断变化的攻击模式。然后，使用晚期特征融合技术在密集层整合最优结构特征和语义表示。最后，使用密集神经分类器对数据进行分类。通过对包含43,218个和140,660个载荷的真实世界XSS数据集进行k折交叉验证来评估所提出的框架。实验结果表明，BGWO在保留关键信息的同时，将原始结构特征减少了大约30%。该混合框架的平均准确率为99.61%，精确率为99.53%，灵敏度为99.67%，F1分数为99.60%。
引言
软件安全被认为是可靠和可信数字系统的基本要求。通过有效的安全机制，应用程序可以防止未经授权的访问、滥用和恶意操作。随着软件在日常活动以及金融、医疗保健和电子商务等关键领域的日益普及，安全漏洞可能导致严重后果，包括数据泄露、敏感信息曝光、服务中断和用户信任丧失。
针对现代Web应用程序的各种威胁中，跨站脚本（XSS）攻击是最常见和最危险的漏洞之一[1]。在这些攻击中，恶意脚本被注入到受信任的网站中，从而导致数据盗窃、会话劫持、恶意软件传播以及绕过访问控制。由于其高影响性和易利用性，XSS漏洞一直被开放Web应用程序安全项目（OWASP）列为十大最严重的Web安全风险之一。因此，有效检测和缓解XSS攻击对于确保安全的在线交互和维护Web和移动平台的可信度至关重要[2]。
机器学习（ML）和深度学习（DL）常用于检测XSS攻击。ML和DL可以从大型数据集中学习模式，并将代码分类为恶意或正常；这些方法能够实现高准确率，但仍面临挑战。它们经常产生高误报率和错误率。许多模型难以准确识别XSS载荷，而庞大的特征集会减慢训练过程并降低性能[3]。不良的特征选择会降低检测效率。模型也无法识别新的或不断变化的攻击模式。另一个问题是数据集不平衡，其中良性样本的数量远远超过恶意样本的数量。这种不平衡会导致训练偏差并降低检测准确性[4]。
本研究旨在解决基于ML和DL的XSS攻击检测中的不足。主要目标是减少误报并提高准确性。此外，还旨在改进分类性能，超越现有模型。为了处理高维数据，本研究使用了高效的特征选择方法，确保仅保留相关特征，从而降低计算成本并提高预测指标。另一个目标是通过在不平衡数据集上提高性能来确保公平性和可靠性。这项工作的总体目标是创建一个准确、可靠且高效的XSS攻击检测系统，以应对不断变化的威胁。
本文介绍了一种新的方法，将数据平衡、特征选择和深度学习结合到一个框架中，用于识别XSS攻击。为了解决数据集不平衡问题，在训练过程中应用SMOTE来改善类别平衡。为了减少冗余特征并简化计算，使用二进制灰狼优化器（BGWO）在搜索过程中平衡探索和利用，以识别最有用的结构特征。同时采用Transformer-LSTM架构直接从分词后的XSS载荷中学习语义和序列表示，便于捕捉复杂和动态的攻击行为。在密集层使用晚期特征融合技术将优化的结构特征与语义表示结合在一起。然后，使用密集神经分类器对数据进行分类。使用k折交叉验证在两个真实世界的XSS数据集上测试了所提出的方法，以确保性能估计的准确性，并且能够很好地泛化到不同的数据集。本研究的主要贡献如下：
•提出了一种双重表示特征提取框架，从互补的角度对XSS载荷进行建模。原始载荷被转换为（i）使用Transformer架构从令牌级载荷序列学习的语义表示，以及（ii）65个手工制作的结构特征，这些特征捕获URL模式、JavaScript元素、特殊字符、熵度量和特定于攻击的令牌。这种组合提高了对混淆的抵抗力，并增强了良性和恶意输入之间的区分能力。
•采用基于SMOTE的数据平衡策略来解决结构特征空间中的类别不平衡问题。该策略与特征选择和分类阶段兼容，减少了训练偏差并提高了检测稳定性，而不会对静态特征施加顺序假设。
•开发了一种基于BGWO的特征选择机制，以识别最具区分力的手工制作的结构特征。通过合作领导层次结构平衡全局探索和局部利用，BGWO有效地降低了特征维度，同时保持了检测性能和计算效率。
•引入了Transformer-LSTM语义建模分支，直接从分词后的XSS载荷中学习上下文和序列依赖关系。Transformer捕获全局语义关系，而LSTM编码序列执行模式，从而能够有效建模不断变化和混淆的XSS攻击。
•设计了一种晚期特征融合和密集神经分类框架，将Transformer-LSTM分支的语义表示与优化的手工制作的结构特征结合在一起。融合在密集层进行，避免了静态特征的不适当序列建模，使分类器能够学习异构特征类型之间的非线性交互。这种设计提高了真实世界Web和移动XSS检测的准确性、可靠性和可扩展性。
本文的其余部分组织如下：第2节回顾和讨论了基于现有文献的XSS攻击。第3节详细介绍了所提出的数据平衡、特征选择和Transformer-LSTM模型训练。第4节描述了实验设置并展示了所开发检测模型的性能评估。最后，第5节总结了本文并概述了未来研究的潜在方向。
相关研究
相关研究
有许多用于识别和缓解XSS攻击的方法。在本节中，我们讨论了一些相关工作。在[5]中提出了一种自适应的XSS检测方法，该方法使用分层多目标奖励增强的Dueling Double Deep Q-Network（DQN）。它通过动态调整载荷生成策略，改进了传统的基于规则和基于RL的方法。利用语义相似性减少冗余载荷，提高了效率并降低了误报率。
概述
所提出的方法结合了数据平衡、特征选择和深度学习，形成了一个原理性的混合架构，以促进XSS攻击的检测。图1显示，该框架包括几个预处理和学习步骤，旨在解决当前XSS检测方法的一些最大问题，如类别不平衡、高维特征空间和多种数据类型的存在。所提出的方法提高了检测的可靠性
实验平台
为了评估所提出的XSS检测方法，实验设置分为两个阶段进行。BGWO与MLP分类器结合用于特征选择。初始实现在具有8 GB RAM、8核CPU和Windows 11的本地工作站上进行。对于计算密集型实验（如特征选择、模型训练和验证），使用了基于云的HPC资源和Google Colab。该方法使用Python 3.12和TensorFlow实现
结论
本研究提出了一个混合式XSS检测框架，该框架集成了基于Transformer的语义管道、基于BGWO的结构特征选择过程和密集神经分类。BGWO特征选择器有效地平衡了探索和利用，始终收敛到稳定的解决方案，并识别出一组紧凑且信息丰富的结构特征。通过去除不相关和冗余的特征，该框架提高了效率和鲁棒性
作者贡献声明
B. Arasteh设计了所提出的程序。B. Arasteh和A. Bouyer实现了并编写了所提出的算法。B. Arasteh、A. Bouyer和H. Kusetogullari对实现的方法进行了基准测试。B. Arasteh、I. Ince和H. Kusetogullari进行了数据分析和发现。手稿由B. Arasteh和I. Ince撰写。
数据的伦理和知情同意
本研究中使用的数据不属于第三方或个人，而是由研究人员自己生成的。其他研究人员可以访问这些数据。
CRediT作者贡献声明
Bahman Arasteh：验证、监督、软件、项目管理、方法论、调查、数据整理。Asgarali Bouyer：验证、方法论、调查。Huseyin Kusetogullari：验证、调查、形式分析。Ibrahim Furkan Ince：验证、形式分析、概念化。
