基于固定时间窗口流图构建的图同构网络入侵检测方法

《Computer Communications》：Graph isomorphism network-based intrusion detection method constructed from fixed time-window flow graph

　　

网络入侵检测是确保网络安全的关键技术之一。在真实网络环境中，及早检测攻击流量至关重要。然而，现有方法主要依赖于网络流结束后的检测，这限制了其时效性。此外，攻击流量在连接早期阶段会伪装成正常流量，并在不同时期表现出不同的攻击行为。为解决这些挑战，本研究提出了一种基于固定时间窗口流图构建的图同构网络（命名为FTW-GIN）用于入侵检测。对于每个双向流，使用固定时间窗口对数据包进行分段。每个窗口内的前N个数据包用于构建图。随后使用GIN对这些图进行训练和分类。固定时间窗口策略通过刻画双向流在不同时间分段中的行为变化，捕获了分阶段的攻击特征。在CICIDS2017和CICDDoS2019数据集上使用不同方法进行了对比实验。实验结果表明，FTW-GIN在CICIDS2017上达到了99.84%的准确率（Accuracy）、98.06%的精确率（Precision）、95.16%的召回率（Recall）和96.16%的F1-score，与大多数基线方法相比表现出优越的综合性能。

该研究由Yao Tan、Haiyan Fu和Shenghui Wu完成，发表于《Computer Communications》。网络入侵检测是保障网络安全的关键技术，但现有方法存在明显时效性不足：基于流统计特征的检测需要等待网络流结束后才能提取特征；攻击流量在连接早期常伪装为正常流量，且同一连接在不同时期会表现出不同的攻击行为；图方法又往往依赖全局通信图，计算开销较大。为克服这些问题，研究人员提出了一种基于固定时间窗口流图构建的图同构网络（Graph Isomorphism Network, GIN）入侵检测方法FTW-GIN。该研究以双向流为处理单元，采用固定时间窗口对流量进行分段，利用每个窗口内的前N个数据包构造包级流图，再通过GIN完成训练与分类。该方法不依赖流结束后的统计特征，提高了入侵检测的及时性，同时通过刻画同一双向流在不同时间分段中的行为差异，增强了对阶段性攻击行为的识别能力。在CICIDS2017和CICDDoS2019数据集上的实验表明，FTW-GIN在准确率、召回率和F1-score等指标上优于大多数基线方法，具有较好的检测性能与稳定性。

研究使用CICIDS2017和CICDDoS2019数据集，从原始PCAP文件中通过Pyshark提取双向流并匹配标签；按双向流划分训练、验证和测试集（比例为72%、8%、20%）以避免数据泄漏；采用长度为60秒的固定时间窗切分双向流，取每窗前N个数据包构造图，节点为数据包，特征包括包长度、包间到达时间间隔和包序号，边按照突发行为和方向切换构建；最后使用GIN的求和聚合与全局加和读出进行图分类。

研究结果如下：

（1）每窗口数据包数量（N）。研究人员在两个数据集上比较了不同N值下的检测性能。当N=20时，FTW-GIN在CICIDS2017和CICDDoS2019上分别达到99.84%和97.29%的准确率，因此后续实验将每窗口用于建图的数据包数设为20。

（2）在流特征提取和图分类方面的优势。通过对比CIC+XGBoost、CIC+DFNN、GCN、GraphSAGE、FTW-GCN和FTW-GraphSAGE，FTW-GIN在准确率、召回率和F1-score上均领先；固定时间窗策略使FTW-GCN和FTW-GraphSAGE相比未采用该策略的模型也有明显提升，验证了固定时间窗策略的有效性。

（3）与现有研究的对比。在统一数据划分和评估协议下重新实现DNN、随机森林（Random Forest）、Autoencoder-LSTM、Improved-Transformer和TMG-IDS后，FTW-GIN在CICIDS2017和CICDDoS2019上均取得了较高的准确率、精确率和F1-score，同时保持较高召回率，整体性能优于这些已有方法。

（4）鲁棒性分析。样本量分析显示，FTW-GIN在训练样本降至原始10%时仍能达到约99%的准确率，具有较强的泛化能力。包丢失实验表明，在丢包率不超过10%时模型性能保持稳定，高丢包率会导致召回率明显下降。逐日独立评估显示，模型在多数捕获日期上表现稳定，CICIDS2017中Bot类导致周五召回率和F1-score较低，CICDDoS2019中部分日期的UDP-lag识别引起波动。时间噪声实验显示，在CICIDS2017上，即使时间噪声比例增至80%，各项指标仍基本稳定；在CICDDoS2019上性能略有下降但总体保持较高水平。

（5）消融实验。固定时间窗策略在CICIDS2017上可略微提升精确率、召回率和F1-score；在CICDDoS2019上应用该策略后四项指标均提升。节点特征方面，在CICDDoS2019上去掉包长度特征后，准确率、精确率、召回率和F1-score分别下降至83.31%、88.97%、87.17%和87.36%，说明包长度特征对检测性能贡献显著；CICIDS2017对时间间隔和包序号特征相对不敏感。

（6）检测延迟与时间效率分析。在CICIDS2017测试集上，71.21%的窗口图可在1秒内完成构图并触发检测，85.48%在10秒内完成，90.56%在30秒内完成。时间效率分析中，PCAP解析是主要时间开销，图构建和模型推理平均仅需0.0709毫秒/图和0.0090毫秒/图；端到端吞吐量达到129.71图/秒，对应4993.93包/秒。基于截止时间的检测分析显示，随着截止时间增加，可用图比例和检测性能提高，截止时间为30秒时F1-score达到约96%，可用图比例接近100%，无需等待完整60秒窗口即可完成有效检测。

讨论部分指出，FTW-GIN的主要局限包括：CICIDS2017中Bot类、CICDDoS2019中UDP-lag类识别率较低，因为它们具有低速率、隐蔽或间歇性通信特征；DrDoS_UDP和DrDoS_SSDP因早期包特征和突发模式高度相似而被合并为DrDoS_UDP_SSDP，仅靠轻量级包级特征难以区分；作为一种有监督方法，FTW-GIN在闭集假设下难以识别未知攻击。实际部署方面，除PCAP解析外，构图和GIN推理开销很小，模型具有部署潜力；同时，基于包长度、时间间隔和通信结构的特征在加密流量场景中仍有一定有效性。未来工作将引入协议语义、自适应时间窗口、开放集识别以及跨数据集验证。

研究结论可概括为：本研究提出了FTW-GIN，一种基于固定时间窗口流图构建的图同构网络入侵检测方法。该方法以双向流为处理单元，通过固定时间窗口对长时间行为进行分段，并利用每窗口前N个数据包构造包级流图，避免了对流结束后统计特征的依赖，从而实现了更及时的入侵检测。FTW-GIN在CICIDS2017上达到99.84%的准确率、98.06%的精确率、95.16%的召回率和96.16%的F1-score，在CICDDoS2019上达到97.29%的准确率和97.12%的F1-score，优于所有基线方法。鲁棒性实验、逐日独立评估、时间效率分析和消融实验均验证了固定时间窗策略、节点特征设计以及FTW-GIN模型的有效性。