在数据匮乏条件下评估用于零日入侵检测的元学习策略

《Scientific Reports》：Evaluating meta-learning strategies for zero-day intrusion detection under data scarcity

　　

摘要

物联网技术的快速发展大大增加了数字系统的攻击面，使得现代网络面临各种复杂的网络威胁，尤其是那些利用尚未被发现的漏洞的零日攻击。传统的入侵检测系统，尤其是基于特征的方法，严重依赖预定义的攻击模式和大量的标记数据集，这限制了它们识别新兴及前所未见攻击的能力。为了解决这一难题，元学习作为一种在数据匮乏情况下实现入侵检测的有效方法逐渐受到关注。然而，在入侵检测领域，基于梯度与基于度量的元学习方法的比较研究仍相对较少。本研究通过在少样本学习框架下评估两种代表性策略，探讨了元学习在零日入侵检测中的应用潜力：一种是基于模型无关元学习（MAML）的基于梯度的方法，它能快速适应新的攻击类型；另一种是使用原型网络的基于度量的方法，通过在学习到的嵌入空间中进行分类。此外，还采用了基于连体网络的完全连接网络作为基准模型进行对比分析。研究使用了包括CICIDS2017、CICIoT2023以及经过扩展的CIC-UNSW-NB15在内的三个多样且真实的基准数据集来对框架进行评估。在多类分类环境中模拟了零日攻击场景，以反映实际部署环境。实验结果表明，基于MAML的模型在所有数据集上均表现出优异的性能，在CICIDS2017上的准确率为96.67%，召回率为97.54%；在CICIoT2023上的准确率为92.87%，召回率为92.99%；在CIC-UNSW-NB15上的准确率为83.20%，召回率为83.50%。这些结果证明了基于梯度的元学习在快速应对前所未见攻击方面的有效性，同时也展示了其在开发能够应对不同网络环境中不断变化的零日威胁的智能入侵检测系统方面的巨大潜力。