利用灾难性遗忘（catastrophic forgetting）技术提升异构工业物联网（Industrial Internet of Things）中的联合去学习（federated unlearning）能力

《Computer Communications》：Enhancing federated unlearning using catastrophic forgetting in heterogeneous Industrial Internet of Things

本文系统分析53个公开物联网网络流量数据集，涵盖格式、标签、攻击场景等10项关键属性，揭示数据集在设备多样性、攻击覆盖、类别失衡等方面的不足。通过对比评估六种机器学习模型（Perceptron、Logistic Regression、AdaBoost、Random Forest、MLP、XGBoost）在CICIoT23数据集上的性能，发现Random Forest和XGBoost在分类和异常检测任务中均达到99%准确率，为构建更完善的物联网安全数据集提供方向。

　　

Punit Saswadkar | Tejas Vasavada

计算机工程系，古吉拉特技术大学，艾哈迈达巴德，382424，古吉拉特邦，印度

摘要

物联网（IoT）已成为智能家居、工业自动化和医疗保健等领域的变革力量，深深嵌入到现代通信基础设施中。然而，连接设备的迅速普及显著扩大了攻击面，使物联网环境面临日益多样的网络威胁。为了开发有效的安全机制，研究人员需要获取来自物联网网络的真实、具有代表性的数据。公开可用的网络流量数据集对于训练、测试和验证机器学习及深度学习模型至关重要，这些模型可用于流量分类、入侵检测和异常检测等任务。在本文中，我们全面回顾了53个公开可用的物联网网络流量数据集，这些数据集是从总共75个潜在资源中挑选出来的。我们根据十个关键特征对这些数据集进行了分析，包括：年份、可用性、格式（PCAP、CSV、PNG）、标签类别（二进制、多类）、数据集类型（真实、模拟、仿真）、攻击数量、设备数量、应用类型、数据集大小和特征数量。分析指出当前面临的主要挑战包括设备数量有限、攻击场景覆盖范围不足、数据不平衡以及隐私相关限制。此外，我们在CICIoT23数据集上评估了六种机器学习模型，包括感知器（Perceptron）、逻辑回归（Logistic Regression）、AdaBoost、随机森林（Random Forest）、多层感知器（Multi-Layer Perceptron）和XGBoost。随机森林和XGBoost模型表现优异，在所有分类和异常检测任务中均优于其他模型。基于这些发现，我们指出了设计更强大、更多样化且能反映真实世界环境的下一代物联网数据集的未来方向。

引言

物联网（IoT）架构描述了一个无需人工干预即可通过网络传输数据的设备网络系统。这些设备是可识别的、相互连接的，并具备计算能力[1]。现代嵌入式智能建筑和住宅、工业物联网、智能电网系统、智能车辆以及智能农业都促进了基于物联网的应用在住宅、商业和工业领域的快速发展[2]。

物联网基础设施的迅速扩展导致了敏感数据、高价值数据和个人数据的收集、传输量的激增。这大大增加了数据泄露的风险。除了数据暴露外，物联网设备本身也容易受到攻击，甚至可能被劫持用于对其他互联网用户发起攻击，例如Mirai僵尸网络以及各种拒绝服务（DoS）和分布式拒绝服务（DDoS）事件所示。因此，当前物联网研究的重点在于开发新的安全措施[3]。

处理能力、内存、网络能力和电池寿命受限的物联网设备给安全解决方案带来了挑战。为更强大的通用计算机设计的传统安全措施并不适用于这种受限环境。为了解决这些问题，研究人员正在关注物联网网络基础设施内产生的网络痕迹[4]和日志[5]。各个设备会生成日志，而网络痕迹则捕获设备之间的网络流量。所有这些数据随后会在物联网系统中的更强大的边缘设备上安全存储和分析。边缘设备拥有比单个物联网设备更多的资源，能够处理信息并检测可疑活动。边缘设备会生成适当的警报以减轻潜在威胁。

传统上，网络痕迹分析和异常识别依赖于基于规则和签名的方法。这些技术在检测已知网络攻击和异常方面很有效，但在面对未知威胁时效果不佳。为了解决这一局限，基于人工智能（AI）的解决方案越来越受到青睐[6]。在这些解决方案中，使用机器学习（ML）和深度学习（DL）模型进行网络异常检测和攻击分类。为了使这些ML和DL模型能够准确检测异常，高质量的数据集是训练和测试的关键组成部分。

开发基于AI的网络异常检测解决方案依赖于生成强大的数据集。这些数据集可以来自两种主要环境：真实世界环境或模拟/仿真环境[7]/[8]。在真实世界环境中创建数据集需要根据应用需求部署实际的物联网设备[9]。在这里，实现包括正常操作和各种攻击类型在内的多样化场景，并捕获原始网络数据包以供后续分析。虽然这些数据集提供了真实的网络行为，但其生成需要在时间、先进基础设施和成本方面进行大量投资。为特定应用配置设备是一个耗时的过程。这种方法通常需要访问最新的、特定于应用的设备和专业设备。获取设备、维护基础设施和配备人员使得真实世界数据集的生成成本高昂[10]、[11]、[12]。或者，也可以通过模拟或仿真[8]、[13]、[14]、[15]、[16]、[17]生成数据集。这种方法模仿真实世界设备的行为来生成合成数据。合成数据集的生成通常更快且成本更低，所需物理资源更少，便于实现和测试各种正常和攻击场景，这些场景在真实环境中可能难以或危险地复制。然而，一个关键限制是合成数据可能无法完美捕捉真实网络环境的复杂细微行为，从而可能影响AI模型的实际准确性。

专注于网络异常检测的研究人员有两种主要的数据来源：创建新的数据集或利用公开可用的数据集。虽然创建新数据集可能耗时，但它允许研究人员构建高度多样化和定制化的场景，使数据能够完美符合特定的研究问题或独特应用需求。另一方面，公开可用的数据集为开发基于AI的解决方案提供了更高效的途径。这些宝贵的资源通常由其他专注于物联网安全的研究人员或组织创建和共享，使更广泛的研究社区能够轻松访问。本研究旨在分析和详细说明这些现有公开可用数据集的特点。

本文对物联网安全研究领域做出以下关键贡献：

• 1.
  本文对53个为物联网环境设计的公开可用网络流量数据集进行了精心筛选的回顾。通过排除非物联网数据集，研究明确聚焦于基于物联网的安全分析所面临的独特挑战和要求。
• 2.
  选定的数据集使用了多种属性进行系统分析，包括年份、可用性、数据集格式（PCAP、CSV、PNG）、标签类别（二进制、多类）、数据集类型（真实、模拟、仿真）、攻击数量、设备数量、应用类型、数据集大小和特征数量。
• 3.
  我们在CICIoT23数据集上评估了六种机器学习模型，包括感知器（Perceptron）、逻辑回归（Logistic Regression）、AdaBoost、随机森林（Random Forest）、多层感知器（Multi-Layer Perceptron）和XGBoost。随机森林和XGBoost模型表现优异，准确率均达到99%。
• 4.
  本文指出了现有数据集中的关键缺陷，如设备多样性有限、攻击场景代表性不足、类别不平衡、基于图像的数据集、蜜罐、基于图的数据集以及特征优化不足。

本文共分为九个部分，第一部分介绍了研究的范围、动机和贡献。第二部分描述了用于进行文献搜索的方法论。第三部分回顾了相关工作，突出了现有的方法和研究空白。第四部分概述了物联网和网络流量分析过程。第五部分详细介绍了所使用的数据集的属性。第六部分解释了应用于选定数据集的方法论，第七部分使用CICIoT2023数据集展示了评估结果[11]。第八部分指出了挑战并概述了未来的研究方向。最后，第九部分总结了主要发现和贡献。

文献搜索方法

文献搜索方法

本节概述了识别和选择相关数据集的策略。我们在主要电子数据库（包括Google Scholar、IEEE Xplore、Scopus和Nature）中使用了关键词“Internet of Things network traffic datasets”和“Internet of Things network traffic datasets for security”进行了全面搜索。图1显示了2018年至2024年每年提出的数据集数量。

相关工作

本节将本研究置于相关研究的更广泛背景下。表2根据数据集的时间跨度、研究领域、数据集类型（公共或私有）、检查的数据集数量以及每篇论文的主要焦点进行了结构化比较。重要的是，表3突出了本研究的独特贡献，即识别了之前研究中未考虑的数据集。

物联网和NTA概述

本节提供了物联网生态系统和物联网环境中网络流量分析过程的概述。它介绍了定义物联网系统的基本概念、架构和通信协议，随后讨论了如何监控、捕获和分析网络流量以检测异常、评估性能并确保连接设备的安全性。

数据集属性

本节概述了用于比较和评估各种物联网数据集的关键属性。这些属性是进行结构化和有意义分析的基础标准，使研究人员能够评估每个数据集在特定用例中的优势、局限性和适用性。

数据集方法论和概述

本节全面概述了本研究中分析的各种数据集。每个数据集都是根据其与物联网网络安全的相关性和公开可用性进行选择的。表4总结了每个数据集的格式，如逗号分隔值（CSV）、便携式网络图形（PNG）和数据包捕获（PCAP），并提供了相应的直接访问链接，以便研究人员检索和利用这些数据。

数据集评估和结果

在这项综合研究中，我们审查了53个数据集；然而，单独评估每个数据集超出了本研究的范围。因此，我们根据几个标准选择了CICIoT23数据集[11]：应用相关性、包含的设备数量、攻击场景的多样性、数据集大小和特征数量。CICIoT2023数据集包含33种攻击类型和一个良性类别，并支持三种分类方案：34类、8类和2类。表6展示了攻击...

讨论和未来方向

本节批判性地审视了物联网数据集，并概述了未来的研究方向。一个主要限制是缺乏涵盖多种攻击向量的全面数据集。大多数公共数据集专注于特定威胁或设备类型，这限制了其代表性。研究人员应创建和共享更大、更多样化且定期更新的数据集，包括广泛的设备和攻击场景。

结论

在复杂的物联网环境中部署高效且可靠的安全解决方案取决于高质量基准数据集的可用性。这些数据集使研究人员能够实验和实施新的安全解决方案。

在这项研究中，我们根据关键属性分析了公开可用的数据集，包括年份、可用性、格式（PCAP、CSV、PNG）、标签类别（二进制、多类）、数据集类型（真实、模拟、仿真）、攻击数量等。

CRediT作者贡献声明

Punit Saswadkar：撰写——原始草稿、正式分析、数据整理、概念构思。Tejas Vasavada：撰写——审阅与编辑、验证、监督。

写作过程中使用生成式AI和AI辅助技术的声明

在准备这项工作时，作者使用了Gemini、Copilot和Grammarly来纠正语法和句子顺序。使用这些服务后，作者根据需要对内容进行了审阅和编辑，并对发表文章的内容负全责。

利益冲突声明

作者声明他们没有已知的财务利益或个人关系可能影响本文报告的工作。