物联网网络中用于恶意软件检测的深度学习模型比较研究：卷积神经网络、长短期记忆网络与混合架构

《Cybernetics and Intelligence》：A Comparative Study of Deep Learning Models for Malware Detection in IoT Networks: CNN, LSTM, and Hybrid Architectures

　　

物联网（IoT）的快速扩张加剧了安全担忧。许多物联网设备以有限的计算资源和不足的内置保护运行，这使其易受分布式拒绝服务（DDoS）、僵尸网络（botnets）和勒索软件（ransomware）等恶意软件攻击。传统基于签名（signature-based）的检测技术难以识别不断演化且先前未见过的威胁，凸显了对智能检测机制的需求。本研究提出一种混合卷积神经网络-长短期记忆网络（Hybrid Convolutional Neural Network-Long Short-Term Memory, CNN-LSTM）模型用于有效的物联网恶意软件检测。CNN组件从网络流量中提取空间特征，包括包级与流级特征；LSTM组件捕捉时间依赖性与顺序攻击模式。通过整合空间与时间学习，该混合架构增强了对已知与零日（zero-day）攻击的检测能力。实验结果表明，相较于独立的CNN与LSTM模型，该模型性能更优，准确率、精确率、召回率与F1分数均达99.92%，ROC-AUC为0.999703。

研究背景与问题提出

物联网技术已渗透医疗、智能家居与制造等多行业，但设备防护不足、算力受限、协议异构，使物联网成为僵尸网络、勒索软件与DDoS等攻击的高价值目标。传统基于签名的检测无法应对零日威胁，异常检测误报率高，传统机器学习（Machine Learning, ML）如决策树、随机森林（Random Forest, RF）与支持向量机（Support Vector Machine, SVM）难以同时刻画流量的空间相关性与时间演化性。现有深度学习（Deep Learning, DL）方案常单独侧重空间或时间建模，且多在单一数据集上验证，泛化性受限。为此，研究人员开展了一项面向物联网恶意软件检测的结构化混合模型研究，以弥补空间-时间特征联合建模的研究缺口。

研究内容与结论概要

研究人员以IoT-23预处理数据集（Kaggle版 iot23_preprocessed 2023）为样本队列，每类（Benign、C&C、DDoS、Okiru、Port Scan）约5000条平衡样本，构建序列化输入（滑动窗口k=10），在统一框架下实现并比较CNN、LSTM、门控循环单元（Gated Recurrent Unit, GRU）及Hybrid CNN-LSTM四类模型。结果显示混合模型在准确率、精确率、召回率、F1分数上均达0.9992，ROC-AUC为0.999703，显著优于单一模型与传统ML基线（SVM、RF），证明空间-时间联合学习对物联网流量检测具有决定性意义。论文发表于《Cybernetics and Intelligence》。

主要关键技术方法（≤250字）

研究人员采用IoT-23预处理数据集，按80/20划分训练测试集并做五折交叉验证；特征经Min-Max缩放与缺失值均值填补，以滑动窗口（window size k=10）构造时序样本，标签取窗口末位。统一实验环境为Python 3.9+、TensorFlow/Keras，Adam优化器（学习率0.001）、批次32、50轮、Dropout 0.3~0.5。CNN用三层Conv1D（64/128/256滤波器，核3/5/7）+MaxPooling1D；LSTM用堆叠层建模遗忘/输入/输出门；GRU作对照；混合模型将CNN扁平化输出接入LSTM。评估含混淆矩阵、ROC、PR曲线与消融实验。

研究结果

3 方法论

研究人员依标准混合结构设计CNN-LSTM：先清洗归一化，再滑动窗口成序，CNN提空间、LSTM捕时序，SoftMax分五类。通过序列构造算法与严格训练/测试序列隔离避免数据泄漏。

3.4 CNN架构

Conv1D提取包大小、流时长等局部空间模式，池化降维，全连接+SoftMax分类；公式(6)(7)(8)给出卷积、全连接与概率输出。

3.5 LSTM架构

LSTM以遗忘门f_t、输入门i_t、输出门o_t与细胞态C_t更新（公式9-13）保留长程依赖；GRU以单更新门简化对照。

3.6 混合CNN-LSTM架构

CNN特征图扁平化为序列向量入LSTM，公式(15)(16)(17)(18)描述空间提取与时间建模融合，实现瞬时与演变攻击同步识别。

4 结果与讨论

4.1-4.4 实验设置与指标

i5-12400/16GB级环境，五折交叉验证与独立测试集一致（表6），证明无过拟合。准确率等由公式(19)-(23)计算。

4.5 CNN等模型结果

CNN单模型约0.993，LSTM单模型约0.79~0.80且易将C&C/DDoS误判Benign；混合模型近1.0。ROC曲线混合AUC=1.000、CNN=0.992、LSTM=0.842。

消融研究（表8、图11）

去CNN降至0.9732准确率，去LSTM降至0.9872，去Dropout影响微小，证空间提取为基、时序补充、正则化辅助。

4.6 讨论

混合模型跨类混淆极低，泛化稳；SVM/RF远低于DL混合体；虽未做形式显著性检验，但跨折稳定。

5 结论与未来工作（翻译浓缩）

所提Hybrid CNN-LSTM通过CNN提空间（包大小、流行为）、LSTM捕时序（演变攻击），有效检DDoS、僵尸网络等。实验得精确率、召回率、F1=0.9992，ROC-AUC=0.999703。近完美性能受数据集平衡性影响，应谨慎解读。实际部署需经剪枝（pruning）、量化（quantization）轻量化以适配边缘设备。局限含仅用IoT-23、未验Bot-IoT/CICIDS、高流量下算力待优、实时低延迟挑战；未来在多数据集验证泛化性。

讨论部分总结

研究人员指出，混合模型虽在IoT-23上近完美，但单一数据集限制外推；计算开销制约边缘落地；序列滑动窗口与跨折隔离已控泄漏，但真实物联网协议/设备异质未覆盖。未来须跨Bot-IoT、CICIDS复核，并将轻量化（pruning/quantization）作为工程闭环，方能从基准论文走向运营级检测。