《Internet of Things》：A Hybrid Bio-Inspired Encoding and Feature Selection for Real-Time IoT Network Intrusion Detection Using Deep Learning Framework
编辑推荐：
作者：Thaer AL Ibaisi、Muhammad Kazim、Stefan Kuhn、Mustafa Kaiiali、Mujeeb Ur Rehman
所属机构：英国莱斯特德蒙福特大学计算机科学与信息学院，地址：The Gateway, Leicester, LE1 9BH
作者：Thaer AL Ibaisi、Muhammad Kazim、Stefan Kuhn、Mustafa Kaiiali、Mujeeb Ur Rehman
所属机构：英国莱斯特德蒙福特大学计算机科学与信息学院，地址：The Gateway, Leicester, LE1 9BH
摘要
物联网（IoT）的指数级增长极大地扩展了攻击面，使得资源有限的设备容易受到分布式拒绝服务（DDoS）、侦察、数据盗窃和设备劫持等高级威胁的攻击。传统的网络入侵检测系统（NIDS）在这些环境中面临挑战，原因包括协议多样性、类别不平衡以及高误报率。本文提出了一种基于生物启发的入侵检测框架，该框架将最初为普通网络流量开发的氨基酸编码技术应用于物联网安全领域。网络流量被转换成类似氨基酸的序列，其结构特性保留了潜在的特征关系，并通过Yeo–Johnson变换进行了方差稳定处理。采用了两阶段混合特征选择方法（卡方检验 + CNN–随机森林），并引入了属性机制将深度学习特征映射回原始字段以提高可解释性。该框架的核心创新在于将氨基酸编码与基于混合统计和深度学习的特征选择流程以及可解释的深度学习相结合，实现了高达99.99%的准确率，同时误报率接近于零。我们在CIC-Bot-IoT数据集上对CNN、RNN、LSTM、GRU、Transformer、GNN和混合架构进行了全面比较。该框架在普通硬件上每条流量的推理时间小于2毫秒，并且在不同数据集规模和K折验证中保持了稳定的鲁棒性。
引言
物联网（IoT）连接了医疗保健、制造、交通和智慧城市等关键领域的数十亿设备。虽然它实现了前所未有的自动化和数据交换，但这种大规模扩展也大大增加了攻击面，使资源有限的设备面临包括DDoS、侦察、数据盗窃和中间人攻击在内的高级威胁。这些攻击可能会扰乱运营、危及安全，并造成严重的经济和隐私损失。传统的网络入侵检测系统（NIDS）不适合物联网环境，它们在处理协议多样性、数据不平衡、动态流量模式以及在低功耗设备上进行实时推理方面存在困难。机器学习和深度学习在物联网入侵检测方面显示出潜力，但其有效性取决于特征如何准确反映网络流量中的隐藏关系。原始的表格或流级别数据往往无法捕捉这些结构和关系上的细微差别，从而限制了准确性和可解释性[1]。基于生物的编码技术（如DNA或蛋白质序列映射）已成为网络安全的新选择；然而，将其应用于物联网的情况很少见，且此前没有研究将其与可扩展、可解释的特征选择和跨多种深度学习模型的系统评估相结合。
本研究通过首次将基于生物的氨基酸编码技术与基于混合统计和深度学习的特征选择流程以及可解释的深度学习相结合，填补了这一空白[2]、[3]。我们的方法将物联网网络流量转换为类似氨基酸的序列，其结构特性（如疏水性、芳香性、不稳定性指数）保留了区分攻击模式所需的潜在特征交互。这些表示通过Yeo–Johnson变换进行了方差稳定处理，并使用两阶段卡方检验 + CNN–随机森林（CNN-RF）特征选择方法进行了优化，该方法包含将深度特征映射回原始网络字段的属性机制，从而解决了大多数深度模型的黑箱问题。
我们的主要贡献包括：- 1.
首次将氨基酸编码技术应用于物联网，适应异构的物联网流量，保留了提高类别可分性的结构关系。
- 2.
结合了统计相关性和深度特征重要性，并能直接将特征属性映射回原始字段的可解释性混合特征选择方法。
- 3.
在相同的预处理条件下，对CNN、RNN、LSTM、GRU、Transformer、GNN及混合架构（如CNN-RNN、CNN-LSTM等）进行了全面公正的基准测试。
- 4.
在普通硬件上实现了高达99.99%的准确率和接近零的误报率，每条流量的推理时间小于2毫秒。
- 5.
通过K折验证和数据集规模变化分析证明了系统的可扩展性和鲁棒性，在不同攻击类型下保持了一致的结果。
通过结合高准确性和可扩展性，我们的框架解决了长期以来困扰物联网入侵检测部署的准确率、可扩展性和可解释性之间的权衡问题。本文的其余部分安排如下：第2节回顾相关工作并指出我们方法所解决的问题；第3节详细介绍了我们的预处理、编码和特征选择流程；第4节展示了实验结果和比较分析；第5节讨论了意义；第6节总结了未来的研究方向。
章节摘录
相关工作
近期在物联网入侵检测方面的研究主要集中在开发针对物联网网络独特特性的模型上，例如资源限制、协议多样性和实时通信需求。已经提出了多种方法，从传统的机器学习技术到先进的深度学习架构[2]、[3]。本节综合了现有研究，强调了进展和未解决的局限性。
方法论
本节提出了一种使用氨基酸编码和先进深度学习模型的全面物联网网络入侵检测方法。在Ibaisi等人的工作[29]基础上，该方法引入了几项专门为物联网环境定制的新组件。
我们方法的核心思想是，网络流量模式，特别是与入侵相关的模式，可以使用生物序列模型有效地表示和分析。
软件和硬件
我们的实验结果是在运行Ubuntu 22.04.1 LTS（Jammy Jellyfish）的系统上获得的，该系统配备了八核Intel(R) Core(TM) i9-11900K处理器（主频3.50 GHz）和Asus GeForce RTX 3090 ROG显卡。下面我们概述了用于研究的实验开发平台和工具。这些工具和库对实验的成功执行至关重要，确保了结果的准确性和可靠性。
讨论
我们的研究创新性和竞争力体现在这些发现中。本文首次将基于氨基酸的生物编码技术与混合卡方检验和CNN-RF特征选择流程以及可解释的属性映射相结合，一致地应用于多种深度学习架构中进行物联网入侵检测。所提出的流程实现了高达99.99%的准确率和低误报率，优于大多数物联网入侵检测系统基准。
结论
本研究通过将基于生物的氨基酸编码技术与混合特征选择和可解释的深度学习相结合，为物联网入侵检测建立了一个变革性的框架。我们的方法直接解决了关键的物联网安全挑战，包括协议多样性、资源限制以及像DDoS和数据泄露这样的不断演变的威胁，通过三项根本性创新实现了这一目标。
CRediT作者贡献声明
Thaer AL Ibaisi：概念构思、数据整理、形式化分析、方法论、软件开发、可视化、初稿撰写。Muhammad Kazim：概念构思、资金获取、项目管理、资源协调、监督、验证、审稿与编辑。Stefan Kuhn：概念构思、资金获取、项目管理、资源协调、监督、验证、审稿与编辑。Mustafa Kaiiali：概念构思、监督、验证、审稿与
利益冲突声明
作者声明以下可能被视为潜在利益冲突的财务利益/个人关系：
