AI-IDS：一种基于人工智能的入侵检测系统，利用高效的鲸鱼优化算法和SVM技术提升网络安全水平

《Computers and Electrical Engineering》：AI-IDS: An AI-driven intrusion detection system using efficient whale optimization and SVM for enhanced network security

　　摘要：随着网络入侵手段的日益复杂，检测工作面临巨大挑战，这威胁到了数据加密、备份及系统可用性等关键安全服务的可靠性。尽管已有许多策略用于入侵检测，但往往难以达到所需的准确率。本文介绍了一种名为人工智能驱动的入侵检测系统（AI-IDS）的新式入侵检测系统，该系统利用人工智能技术来识别攻击。AI-IDS由三个主要部分组成：数据准备阶段、特征选择阶段以及分类阶段。该系统通过NSL-KDD数据集进行了测试。在数据准备阶段，首先提取特征并去除无效值，然后通过标准化处理将数据范围调整到预设区间内。在特征选择阶段，采用改进的鲸鱼优化算法来挑选最关键且最有用的特征，从而提升分类器的性能。特征选择方法的质量通过T检验进行评估。最后，选定的特征会被输入到经过优化的支持向量机中，用以检测和分类攻击。实验结果表明，优化后的支持向量机在准确率、精确度、召回率、R值以及假阳性率等方面均表现出优异的性能。

引言：物联网时代的到来使得从日常家用电器到先进工业设备等各类设备实现互联互通。国际数据公司预测，到2025年将有557亿台设备实现互联，其中四分之三的设备将与物联网相融合[1]。与此同时，这些物联网设备产生的数据量预计到2025年将增至73.1泽字节，是2019年18.3泽字节的三倍。在现有的4G/5G通信网络基础上，随着6G技术的即将出现，物联网框架有望成为标准的服务驱动型计算模型。这些设备的普及推动了智能家居、医疗保健、交通以及工业自动化等领域的发展。然而，物联网的普及性、多样性以及互联互通特性也带来了网络安全问题，成为阻碍这项技术更广泛应用的障碍[2]。《福布斯》杂志预计，到2026年全球网络安全市场的价值将达到约2700亿美元[2]。物联网环境本身就增加了遭受网络攻击的可能性，而且许多设备更注重功能性和成本效益，而忽视了强大的安全保障。许多计算能力有限的物联网设备难以实现高级安全协议的整合。此外，由于众多制造商的安全标准各不相同，物联网生态系统具有异构性和复杂性，导致防护水平参差不齐。这些设备的快速部署、被忽视的安全更新以及持续的数据传输，为网络犯罪分子提供了大量利用漏洞的机会。随着物联网技术在室内外无线环境中的应用不断扩展，其被滥用的可能性也越来越大。那些负责管理个人或半敏感数据的边缘设备尤其容易受到外部威胁。恶意分子可以利用这些无线系统固有的漏洞，非法获取并传播相关数据。这些网络架构本身缺乏防护，使得攻击者能够轻易从网络流量中提取敏感信息。尽管物联网带来了诸多好处，但其日益增长的互联互通性也使系统面临着各种安全威胁，这就凸显出建立强大且可靠的网络防御机制的重要性。网络威胁的发展速度之快前所未有。一旦物联网设备遭到成功攻击，攻击者就可以获取该设备本身以及它所提供的其他服务。物联网设备在应用层面与人们生活的私人领域密切相关，正因如此，它们成了黑客最青睐的目标之一。此外，入侵者还运用越来越复杂的手段，使得入侵检测和预防工作比以往任何时候都更加困难。数据加密、备份以及确保系统可用性等传统安全措施虽然至关重要，但在面对高级网络入侵时却常常力不从心。尽管有WEP、WPA和WPA2等协议旨在增强无线网络的安全性，但这些保护措施仍存在缺陷。尽管技术不断进步，但这些方法仍然存在固有缺陷，无法确保数据传输的绝对安全[3]。入侵检测系统最初的设计目的就是以高检测精度、最低假阳性率和最少假阴性率为目标，对网络活动进行识别和分类。构建入侵检测和分类框架需要综合考虑多种理念和分析方法[1]。在过去几十年里，人们越来越倾向于利用机器学习方法来提高入侵检测系统的效率[1,3]。通过机器学习，入侵检测系统可以被训练成能够识别并适应新出现的威胁，从而实现对物联网生态系统中常见的大规模数据集的实时分析。例如，监督学习可以通过包含恶意和良性流量标记实例的数据集来训练模型，从而使入侵检测系统能够准确地对新数据进行分析和响应。另一方面，无监督学习则可以通过分析数据内部的结构与关系，帮助识别那些未曾出现或全新的攻击模式。此外，半监督学习结合了标记数据和未标记数据，能够在标记数据有限的情况下，充分利用两种方法的优点，是一种较为平衡的解决方案。在本文中采用监督学习方法有两个原因：首先，监督学习模型是在包含输入数据及其对应标记输出的数据集上训练的，而我们的方法所使用的数据集正是如此；其次，监督学习在拥有充足数据时具有很高的准确率，而且还能通过预测结果的直接反馈来不断优化自身性能。这样一来，随着更多标记数据——包括合法和恶意流量实例——被输入系统，机器学习模型就能不断提升自身的入侵检测能力。在物联网环境中，由于设备种类繁多且威胁不断演变，这样的自适应入侵检测系统显得尤为重要。它不仅能帮助AI-IDS迅速识别已知威胁，还能借助适当的技术手段，发现此前未曾见过的恶意攻击模式。在本文中，我们提出了一种专门用于识别困扰物联网应用的攻击的新型入侵检测方法。该方法被称为人工智能驱动的入侵检测系统（AI-IDS），它分为三个连续的阶段：数据准备、特征选择以及分类。在评估过程中，我们使用了KDD Cup 99数据集。在数据准备阶段，我们会提取相关的特征并删除无效值，随后通过标准化处理将数据范围调整到特定区间内。在特征选择阶段，我们采用改进的鲸鱼优化算法来筛选出关键的特征。这些选定的特征随后会被输入到经过优化的支持向量机中，用于检测和分类攻击。初步测试结果显示，该支持向量机在准确率、精确度、召回率、R值以及假阳性率等指标上都表现优异。随着从家用电器到工业传感器等各种设备逐渐变得“智能”并通过网络进行通信，它们也带来了诸多潜在的漏洞。这些网络漏洞已成为众多网络威胁的焦点，使得物联网网络层变成了战斗场所。那些被海量设备所吸引的网络攻击者，往往不会考虑这些设备的安全性，他们设计了各种复杂的手段来利用这些系统。存在许多容易遭受网络入侵的漏洞。例如，窃听行为就是一种隐蔽的网络间谍活动。通过这种隐蔽却又具有侵入性的方式，恶意分子可以秘密地截获并记录网络中的通信内容。想象一下现代智能家居中的场景，各种设备不断共享关于用户行为、生活习惯甚至私人对话的信息。一个熟练的窃听者就可以收集到这些宝贵的数据，从而侵犯居民的隐私权。在医疗物联网领域，如果有人截获了传递给医务人员的关键健康数据，后果可能十分严重，包括严重的隐私泄露以及健康记录被恶意篡改等。在其他类型的物联网攻击中，中间人攻击更是体现了网络攻击者的胆大妄为。以农业物联网为例，如果攻击者成功截获了湿度传感器与主控制模块之间的通信，他们就可以故意篡改这些数据。这样的篡改可能会导致控制系统给出不恰当的灌溉指令，进而危及农作物的生长。中间人攻击的精髓就在于它的欺骗性，它让各方误以为自己正在进行正常的通信，而实际上他们的通信内容正在被秘密操控。重放攻击虽然因为使用了真实的指令而看似无害，但实际上却隐藏着巨大的危险。设想在一个配备有物联网安全装置的企业环境中，如果入侵者截获了一条真实的“授权访问”指令，他们就可以随意重复使用这条指令来获得未经授权的访问权限。这些指令的真实性质掩盖了它们被恶意重复使用的意图，因此很难被发现。此外，西比尔攻击在去中心化物联网框架中也是一种复杂的威胁。想象一个负责收集车辆交通数据的物联网智能城市系统，一个恶意分子可以通过西比尔攻击模拟出大量节点，向系统注入虚假的交通数据。这样的错误信息会导致交通管理模块得出错误的拥堵评估结果，进而造成不合理的交通路线规划，给实际交通带来麻烦。在本文中，我们提出的人工智能驱动的入侵检测系统（AI-IDS）是一个更为通用的自适应安全框架——物联网动态威胁自适应响应系统（DTAR-IoT）中的核心检测组件。尽管DTAR-IoT是一种全面的物联网安全解决方案，涵盖了数据预处理、智能特征选择、入侵检测以及自适应响应等多个方面，但AI-IDS仅专注于检测过程。AI-IDS利用所提出的改进鲸鱼优化算法来选择最佳特征，并借助优化后的支持向量机来进行攻击分类。这种接口集成方式确保了检测引擎能够有效地融入整个DTAR-IoT生态系统，从而实现可扩展且智能的物联网威胁防护。在本文中，我们提出了一套全面的方法，旨在应对物联网网络中的入侵和攻击问题。我们的方法运用不同的机器学习算法进行检测，为保护物联网生态系统免受潜在威胁提供了强大的框架。本文的主要贡献和创新点可以归纳为五个方面：•本文提出了一种改进版的鲸鱼优化算法（EWOA），用于特征选择策略，能够筛选出最具区分度的特征，仅使用14个属性就能以99%的准确率检测出入侵行为。•本文详细介绍了在NSL-KDD数据集中用于识别攻击的14个特定特征，为该方法的实际应用提供了有力支持。•本文对所提出的方法进行了全面评估，采用了准确率、召回率、精确度以及F1分数等多种指标，并将其性能与现有相关研究进行了对比。本文的其余部分结构如下：第2节介绍了用于特征选择的鲸鱼优化算法的背景知识，第3节分析了相关研究进展，第4节介绍了所提出的入侵检测方法及其评估结果，第5节阐述了物联网动态威胁自适应响应系统（DTAR-IoT），最后第6节总结了全文内容。

章节片段：背景与基本概念本节将对物联网环境中的动态威胁检测与响应领域的“背景与相关研究”进行全面概述。这一部分对于了解当前研究的背景以及相关知识体系具有重要意义。它从多个角度探讨了物联网生态系统的快速发展及其所带来的安全挑战。此外，它还深入研究了……相关研究近年来，有许多关于利用特征选择优化技术来检测和分类入侵行为的提案。根据最新的研究综述，人们发现越来越多的元启发式优化算法被用来减少数据的维度以及特征数量。本节总结了近年来在IDS领域中运用FS和ML算法所开展的重要研究。在[8]中，提出了一种针对物联网的动态威胁自适应响应系统（DTAR-IoT）。该系统是所提出的安全解决方案的总体框架，旨在保障物联网环境中的端到端安全。在这一架构中，由人工智能驱动的入侵检测系统（AI-IDS）将作为核心检测单元，负责检测和分类可疑网络流量。具体而言，AI-IDS采用改进的鲸鱼优化算法（EWOA）来选择最相关的特征。

实验结果部分对所提出的方法以及其他算法进行了评估，以衡量其性能。本研究的所有实验均使用NSL-KDD数据集，这是KDD Cup 99数据集的一个简化版本，其中的冗余数据和不平衡情况较少。在预处理阶段，通过Pandas.DataFrame.dropna函数去除了所有缺失值和空值。三个名义变量（协议类型、服务类型和标志位）则通过特定方法转换为了数值变量。

结论部分指出，本文提出了一种利用人工智能来检测攻击的新型入侵检测系统，即人工智能驱动的入侵检测系统（AI-IDS）。该系统由三个主要组成部分构成：数据准备阶段（DPS）、特征选择阶段（FSS）以及分类阶段（CS）。所研究的系统是使用NSL-KDD数据集进行实现和评估的。

伦理审批方面，本研究不存在任何伦理冲突。

Warda M. Shaban|Amir El-Ghamry|Adel Alshamrani|Fatma M. Talaat
埃及达米埃塔市霍鲁斯大学人工智能与信息学学院