《Future Internet》：A Hybrid CNN–LSTM Model for IoT Intrusion Detection: A Robustness Analysis Across Datasets
编辑推荐：
物联网（Internet of Things, IoT）设备的快速增长引发了日益严峻的安全问题，IoT攻击事件持续增加。传统入侵检测系统（Intrusion Detection System, IDS）由于威胁形态的演进性和流量模式的异构性，难以实现有效攻击检
物联网（Internet of Things, IoT）设备的快速增长引发了日益严峻的安全问题，IoT攻击事件持续增加。传统入侵检测系统（Intrusion Detection System, IDS）由于威胁形态的演进性和流量模式的异构性，难以实现有效攻击检测。因此，本研究提出了一种结构化且可复现的入侵检测方法，将预处理与基于深度学习的分类技术相集成，用于IoT网络中的二分类检测。研究所用数据集为ToN_IoT与UNSW-NB15数据集，二者均包含IoT网络流量数据。本研究部署了一种名为灰狼优化器（Gray Wolf Optimizer, GWO）的元启发式算法进行特征选择；采用合成少数类过采样技术（Synthetic Minority Over-sampling Technique, SMOTE）实现类别样本平衡；并运用MinMax标准化与标准归一化进行数据缩放预处理。研究在多种深度学习模型间开展了对比分析，包括卷积神经网络–长短期记忆网络（Convolutional Neural Network–Long Short-Term Memory, CNN–LSTM）、多层感知器（Multi-Layer Perceptron, MLP）、深度神经网络（Deep Neural Network, DNN）、卷积神经网络（Convolutional Neural Network, CNN）以及循环神经网络（Recurrent Neural Network, RNN）。结果表明，CNN–LSTM模型在跨数据集场景下展现出强劲的性能一致性，在ToN_IoT与UNSW-NB15数据集上分别实现了99.68%与92.05%的准确率。阈值敏感性分析揭示了边缘IDS在检测率与误报率之间的关键权衡关系。通过广泛的性能评估与敏感性分析，本研究强调了将预处理、模型评估与阈值分析相结合对于实现可靠IoT入侵检测的重要性。
本研究旨在解决物联网环境中入侵检测系统面临的现实挑战，论文发表于《Future Internet》。随着全球IoT设备数量预计2026年将超过350亿台，网络攻击面急剧扩大，传统集中式重量级安全监控因成本与运营开销过高而难以适用。IoT流量具有在分布式端点和网关本地生成与处理的特性，加之设备资源受限、流量模式异构、环境动态变化等因素，使得基于静态签名的传统IDS难以检测零日攻击，且异常检测方法也因"正常"行为基线难以确立而效果不佳。尽管深度学习在多个安全领域取得领先性能，但直接应用于IoT入侵检测仍面临时间依赖性建模与局部特征关联挖掘的双重挑战：前馈模型如MLP和DNN独立处理流数据，难以捕捉多阶段攻击的序列模式；CNN虽能有效学习网络特征间的局部相关性，却缺乏长序列依赖建模能力。现有CNN–LSTM研究多聚焦于架构设计，对预处理管道的系统化整合、跨数据集鲁棒性分析以及基于阈值的评估关注不足，制约了模型的实际应用与科学比较。
为应对上述问题，研究人员以CNN–LSTM混合架构为核心，围绕结构化预处理管道与阈值感知评估展开了系统性研究。该研究的主要贡献在于：构建了融合GWO特征选择、SMOTE类别平衡与双阶段特征缩放的可复现预处理流程；通过ToN_IoT与UNSW-NB15两个基准数据集的交叉验证，量化了模型性能变异；引入基于接收者操作特征曲线（Receiver Operating Characteristic, ROC）的阈值敏感性分析以支撑部署决策；最终验证了CNN–LSTM在空间特征提取与时间依赖建模方面的综合优势。研究结论认为，该模型在ToN_IoT与UNSW-NB15数据集上分别实现99.68%与92.05%的准确率，且跨数据集性能衰减控制在7.63%，展现出良好的鲁棒性与实用价值。该研究的重要意义在于为资源受限的边缘网关部署提供了兼顾检测效能与计算可行性的解决方案，同时强调了预处理、模型评估与阈值分析协同作用对于构建可靠IoT入侵检测系统的关键价值。
研究所采用的关键技术方法包括以下五个方面：第一，基于GWO的包装式特征选择，将原始高维特征压缩至30维，以随机森林分类准确率为适应度函数，通过20头灰狼30代迭代优化实现；第二，SMOTE过采样技术，仅对训练集少数类进行上采样，避免数据泄露，确保模型在无偏条件下学习决策边界；第三，MinMax与标准缩放相结合的双阶段归一化，先通过MinMax将特征映射至[0,1]区间以约束梯度计算，再经z-score标准化加速收敛；第四，CNN–LSTM混合深度学习架构，包含32个滤波器的Conv1D层与32个隐藏单元的LSTM层，以0.3的丢弃率进行正则化，输入由30维特征重塑为（序列长度=1，特征数=30）的张量，虽为伪时序排列而非真实网络流时序，但可在控制复杂度的前提下检测特征间局部关联；第五，基于ROC曲线的阈值敏感性分析，通过验证集F1-score最大化确定最优阈值区间，以支持不同安全需求下的运营点选择。实验在Google Colab CPU环境下以Python 3.12.13配合PyTorch 2.11.0+cpu等库实施，训练流程采用Adam优化器（学习率0.001）、二元交叉熵损失函数、早停机制（耐心值10轮）及模型检查点保存，测试集严格独立于训练与验证过程，所有模型统一使用固定随机种子（seed=42）以确保可复现性。
研究结果部分呈现了四个核心发现。其一，ToN_IoT数据集性能分析显示，经GWO特征选择、SMOTE平衡与双阶段缩放预处理后，所有模型准确率均超99%，其中DNN以99.77%准确率与0.9977的ROC–AUC（Area Under the Curve, AUC）暂居首位，CNN–LSTM以99.68%准确率与0.9968 ROC–AUC紧随其后，模型间性能差异极小（准确率极差0.32%），表明有效预处理已显著提升类别可分离性，架构复杂度的边际效益递减。
其二，UNSW-NB15数据集性能分析表明，所有模型性能较ToN_IoT下降约7%–10%，DNN仍以92.37%准确率和0.9237 ROC–AUC领先，CNN–LSTM以92.05%准确率和0.9205 ROC–AUC保持稳健，其7.63%的准确率降幅优于CNN（9.40%）与RNN（10.00%），验证了混合设计学习更可迁移表征的能力；而RNN因缺乏门控机制，在复杂特征交互下表现最差（89.45%准确率），凸显了LSTM架构在处理异构网络特征时的结构优势。
其三，跨数据集鲁棒性分析通过Δ准确率与ΔROC–AUC量化性能变异，DNN以7.40%的Δ准确率和0.0740的ΔROC–AUC展现最强鲁棒性，CNN–LSTM以7.63%和0.0763紧随其后，二者在绝对性能与跨数据集稳定性间实现最佳平衡；CNN与RNN则因仅捕捉局部空间或时序模式而表现出更大性能波动，证实了复杂架构在困难数据集上的关键价值。
其四，ROC曲线与阈值敏感性分析揭示，ToN_IoT数据集上所有模型ROC曲线密集分布于左上角，TPR>0.95时FPR<0.01，最优阈值区间位于0.35–0.45；UNSW-NB15数据集曲线分离度增大，需FPR达0.05–0.08方能使TPR>0.95，最优阈值区间上移至0.50–0.60，表明数据复杂度升高导致检测与误报权衡更为严峻，强调ROC分析相对于单点评估指标的必要性。
讨论部分综合上述结果指出，预处理管道的协同作用构成了性能基础：GWO降维使边缘部署的内存占用与推理延迟显著降低，SMOTE平衡消除了类别偏置，双阶段缩放优化了梯度收敛特性。CNN–LSTM的混合结构虽在高度可分离数据集上的优势被削弱，但其同时建模空间局部性与时间依赖性的能力，在复杂场景下具有不可替代的结构性价值，且其8609个参数的轻量设计（模型大小0.0328 MB）与低于1毫秒的CPU推理延迟满足了边缘网关的资源约束。跨数据集性能差异本质上反映了IoT遥测数据与传统网络层攻击特征分布的 divergences，提示实际部署中需针对多源异构流量进行持续适应性评估。阈值分析结果表明，运营点的选择应服务于组织特定的安全策略，而非采用固定的0.5默认阈值。
研究结论表明：通过整合GWO特征选择、SMOTE类别平衡、双阶段缩放与ROC阈值分析，所提出的结构化方法有效提升了IoT入侵检测的可靠性与可部署性。CNN–LSTM模型在ToN_IoT与UNSW-NB15数据集上分别达到99.68%与92.05%的准确率，且跨数据集性能衰减仅为7.63%，展现出优异的鲁棒性；尽管UNSW-NB15难度更高，所有模型仍保持89%以上的准确率，印证了预处理管道的有效性。该研究为未来工作指明了三个方向：扩展至多分类以支持精细化事件响应、引入联邦学习实现隐私保护的分布式协同训练、以及结合注意力机制或SHapley Additive exPlanations（SHAP）等方法增强模型可解释性。值得注意的是，当前结果基于单次实验运行，后续研究将通过重复实验与统计显著性检验进一步验证观测结论的稳健性。
