基于原型条件化生成对抗网络分层时空编码的网络流量异常检测

《Alexandria Engineering Journal》：Hierarchical spatio-temporal encoding with prototype-conditioned GAN for network traffic anomaly detection

　　

当前网络流量异常检测系统无法可靠识别罕见的零日漏洞利用和权限提升攻击，原因在于少数类样本的极度稀缺导致模型无法为上述类别习得连贯的决策边界。为弥合这一差距，研究人员提出PRISM（Prototype-guided Representation with Imbalanced Spatio-Temporal Modeling，基于原型引导表示的不平衡时空建模框架），该框架同时解决动态图拓扑结构与严重类不平衡问题。PRISM包含三个核心组件：第一，动态自适应图构建（Dynamic Adaptive Graph Construction, DAGC）机制，以端到端方式学习任务敏感的稀疏邻接矩阵；第二，分层时空编码器（Hierarchical Spatio-Temporal Encoder, HSTE），通过双向门控融合图拓扑结构与因果流历史信息；第三，基于原型条件化的瓦瑟斯坦生成对抗网络—梯度惩罚（Wasserstein GAN with Gradient Penalty, WGAN-GP），将少数类样本生成锚定于动态更新的语义原型，直接解决类不平衡问题而无需修改推理流程。该框架增加的推理开销可忽略不计，无需对下游分类器进行架构修改，因此适用于高速网络监控环境的部署。研究人员在NSL-KDD、CICIDS2017和UNSW-NB15三个公开基准数据集上对PRISM进行评估，在该三个数据集上分别实现99.21%、98.87%和93.47%的峰值F1分数，较基线模型BiNF分别提升0.42%、0.31%和0.73%。

随着网络流量的广泛增长，分布式拒绝服务攻击、端口扫描、协议违规以及新型零日漏洞利用等威胁日益严峻，传统防火墙已难以应对海量攻击模式。网络流量异常检测通过监控数据流并识别偏离正常行为模式的观测值，可用于追踪异常用户活动、定位故障及防止系统崩溃。传统方法将观测流量与已知攻击模式库进行匹配，虽对已知威胁具有较高精确率，但无法泛化至规则集之外的新型攻击变体、零日漏洞利用或行为规避性流量，且规则库的维护需要持续的专业投入，往往滞后于不断演化的对抗性情势。

机器学习分类器如支持向量机（Support Vector Machine, SVM）、随机森林和提升梯度方法等，通过聚合窗口隐式捕获时间统计特征，但将每条流视为独立样本忽略了流间关系，导致部分异常被遗漏。此外，现实基准中多数类与少数类比例可超过500:1，现有方法难以将特征映射至类标签；由于学习目标被多数类主导，模型无法为少数类习得有效决策边界，使异常检测复杂化。序列建模方法如循环神经网络（Recurrent Neural Network, RNN）、长短期记忆网络（Long Short-Term Memory, LSTM）和Transformer直接处理时间维度，但将每条流独立处理而忽略并发流间的空间相关性，且序列模型数据需求量大，在高度偏斜数据集上训练产生的表示被多数类主导，导致稀有异常类学习不足。

图方法将流量快照表示为图，节点对应流，边编码通信关系。图神经网络（Graph Neural Network, GNN）可跨图传播信息，使每个节点纳入邻居上下文，但图拓扑通常基于启发式邻近规则构建，可能引入噪声边。动态图方法虽能随时间更新拓扑，但在标注异常样本极度稀缺时，无法将表示锚定于语义稳定的少数类嵌入，常导致检测失败。数据增强与生成方法被提出以缓解类不平衡，经典过采样方法如SMOTE在原始特征空间插值而不尊重底层数据分布，常生成不真实样本；条件GAN变体以类标签为条件改善多样性，但在高维混合类型流量特征上可能出现类边界混淆，若真实分布与生成分布的支持集不重叠，GAN目标将退化并产生不稳定样本。

研究人员观察到，流量图的空间拓扑与时序轨迹相关性均揭示异常特征：异常流在与其同时刻邻居的关系方式及其行为随时间的演化方式上均呈异常；时间上下文可解决空间角色中的歧义，而空间上下文可揭示单独无害但集体异常的时序模式。基于此，研究人员将异常流量建模为图，通过合成少数类样本缓解训练困难并提升检测准确率，面临三大挑战：（1）构建对异常检测敏感的图拓扑，因启发式邻接规则引入噪声且静态图缺失时间动态；（2）以原则性方式融合时空表示而不使某一模态主导；（3）处理无先验因果历史或已建立边的新IP地址或流。

为此，研究人员提出PRISM框架，包含以下核心创新：DAGC机制使邻接矩阵成为端到端可训练组件，捕获特征级与拓扑级异常信号；设计HSTE使每模态通过习得的门控向量选择性抑制另一模态的不相关维度，产生融合表示；提出WGAN-GP计算动态类原型，通过原型对齐正则化项与跨类排斥惩罚确保合成样本紧密聚类于正确类语义同时与邻近类保持分离。

该论文发表于《Alexandria Engineering Journal》。

PRISM采用三项主要关键技术方法：其一为动态自适应图构建机制，以查询—键值注意力结合top-k稀疏化和行归一化softmax生成稀疏邻接矩阵，并附加局部聚类系数与随机游走重要性两项拓扑描述符；其二为分层时空编码器，包含图Transformer空间编码器（以门控融合局部邻域聚合与全局自注意力消息）、因果时序注意力编码器（以因果掩码防止未来信息泄露的多头自注意力处理流历史）及双向时空门控融合层（以双向向量门控实现空间与时间分支的动态相互抑制）；其三为原型条件化WGAN-GP，以动态更新的类原型向量为中心初始化噪声分布，通过谱归一化残差块生成样本，并以原型对齐损失与基于余弦相似度的跨类排斥铰链损失约束生成语义，判别器输出瓦瑟 Thu 验分数，整体训练采用两阶段交替优化策略。实验基于NSL-KDD（125,973条训练/22,544条测试，41维特征，4类异常）、CICIDS2017（2,830,743条，78维特征，8类异常）和UNSW-NB15（2,540,044条，49维特征，9类异常）三个公开基准数据集。

研究结果方面，"主要结果"部分表明：PRISM在三个数据集上F1分数分别达99.21%、98.87%和93.47%，较BiNF提升0.42%、0.31%和0.73%；推理延迟约8-10 ms/1000条流，单流延迟约9.0 μs，吞吐量约110K流/秒；冷启动场景下性能衰减不超过0.6%；训练收敛快于BiNF，因原型条件化机制为生成器提供稳定梯度信号；统计显著性检验（配对双尾t检验，α=0.05）证实各数据集提升均显著（NSL-KDD: t=7.83, p<0.001；CICIDS2017: t=4.61, p=0.003；UNSW-NB15: t=5.37, p=0.001）。

"消融实验"部分显示：移除DAGC导致UNSW-NB15上F1降1.29%、召回率降2.09%，NSL-KDD降幅较小因粗粒度异常类别更依赖时间特征；移除CTAE分别降0.60%、0.53%和1.16%，证实因果时序建模对空间分支的补充作用；以简单拼接替代BiSTGF导致性能下降，证明双向门控的动态重加权机制必要性；移除原型条件化使NSL-KDD和UNSW-NB15分别降0.35%和0.52%，合成样本出现类间混合；移除梯度惩罚影响训练稳定性。top-k稀疏化参数k=8时性能最优，呈倒U型曲线，过小丢失长程关系线索，过大引入噪声边。时序窗口T=16最优，过短无法区分端口扫描与正常服务发现，过长因位置编码与前馈容量不足导致早期步骤梯度衰减。原型更新频率以每轮次（epoch）最优，固定原型导致语义错位，每批次更新因内部方差大而更差。生成器深度4层残差块最优，过浅无法复现子结构，过深出现模式同质化。损失权重λ₁=0.3、λ₂=0.4、λ₃=0.3经贝叶斯优化确定，原型锚定强度不足导致合成样本漂向主导类中心，排斥惩罚过强将生成器推入低密度区域，聚焦参数过小则分类梯度不足以对抗多数类简单负样本。合成增强比例以5:1最优，1:1至5:1单调提升，超过10:1因精度下降导致F1回落，G-mean趋势一致证实未以牺牲多数类准确率为代价。

"讨论"部分围绕稀有异常类别检测展开：NSL-KDD中U2R类仅52个训练样本，PRISM较BiNF提升14.29% F1，VQ-OCSVM因未见足够正例仅达12.50%；原型条件化较离散标签条件的优势在于以连续语义锚定向量初始化噪声分布，确保合成样本嵌入正确邻域；双向门控在少数节点稀疏时抑制不可靠空间维度，在图密集时放大空间贡献。UNSW-NB15上R2L类精度提升3.67%、召回率提升5.37%，证实排斥惩罚防止R2L-U2R跨类混淆。不同不平衡比例（10:1至500:1）下，GCN-LSTM在500:1时仅86.43% F1，而PRISM因原型锚定保持鲁棒；两个类原型向量余弦相似度超过阈值τ时定义为语义相邻，排斥惩罚在此类边界被触发时维持最小角分离，学习更锐利决策边界。

研究结论部分翻译如下：本文提出PRISM框架，应对现实世界网络流量异常检测中严重的类不平衡特征。PRISM集成三个核心组件：以端到端方式从分类目标学习任务敏感稀疏邻接结构的DAGC机制；通过双向向量门控联合编码图拓扑与因果流历史、实现空间与时间贡献动态重加权的HSTE；以及将少数类生成锚定于融合嵌入空间中动态更新语义原型的WGAN-GP。该设计确保合成样本在原始特征空间中既真实又与其目标类语义一致。PRISM在所有基准数据集上持续提升稀有异常类别的区分能力，在稀有类别上实现最高每类F1，在UNSW-NB15上总体宏F1提升0.73%。所有报告提升均具有统计显著性。推理时生成器被绕过，PRISM约8-10 ms/1000条流的延迟满足近实时网络监控管线要求。未来工作将扩展PRISM至流式场景，以增量方式更新图拓扑与类原型而无需完全重训练。一个方向是以局部近似替代全局重计算：新节点到达时仅使用近似最近邻索引识别当前嵌入空间中的最近邻，将每节点更新代价从图大小的二次降至对数级别。另一有希望的方向是利用特定异常类别中可观察到的结构偏置作为生成模型的额外归纳偏置，可能实现以更少数标注少数类样本进行检测。此外，开发以人类可读格式呈现告警的可解释性界面，将进一步提升PRISM在安全运营中心环境中的操作实用性。