《Frontiers in Artificial Intelligence》：Attention-enhanced deep learning model for MQTT intrusion detection in internet of medical things
编辑推荐：
专业术语翻译摘要
引言： 消息队列遥测传输（MQTT）协议在医疗物联网（IoMT）中的日益普及，催生了对高效入侵检测系统（IDSs）的迫切需求。
方法： 本研究提出了一种针对特定协议的入侵检测系统（IDS），该系统采用混合深度学习架构，由一维卷积神经网络与多头
专业术语翻译摘要
引言： 消息队列遥测传输（MQTT）协议在医疗物联网（IoMT）中的日益普及，催生了对高效入侵检测系统（IDSs）的迫切需求。
方法： 本研究提出了一种针对特定协议的入侵检测系统（IDS），该系统采用混合深度学习架构，由一维卷积神经网络与多头自注意力机制（CNN-MHSA）组成。该架构利用卷积特征提取模块获取局部流量特征，并通过多头自注意力机制捕获长程特征相关性。所提出的方法在CICIoMT2024数据集上进行评估，主要聚焦于被构建为二分类问题的MQTT攻击场景，其中五种不同的MQTT攻击变体（DoS-Connect Flood、DDoS-Connect Flood、DoS-Publish Flood、DDoS-Publish Flood和Malformed Data）被合并为一个单一的“攻击”类别，与良性流量进行区分。
结果： 测试结果显示，所提出方法的准确率（accuracy）达到99.40%，F1分数（F1-score）为99.52%，AUC值为0.9998。
讨论： 结果表明，所提出的CNN-MHSA框架为安全的医疗通信提供了一个稳健的基准，并且能够成功识别IoMT网络中的MQTT威胁。
论文解读文章
研究背景与动机
随着医疗物联网（IoMT）技术的不断发展，越来越多的医疗设备通过网络连接，实现了患者随访、诊断和决策等功能。然而，这种高度的互联性也带来了严峻的网络安全挑战。由于医疗设备资源受限且部署环境分散，一旦设备被攻破或网络出现恶意活动，可能导致未经授权的信息访问、篡改关键医疗信息甚至危及关键服务。因此，亟需引入强大的入侵检测框架来确保IoMT技术的安全应用。
MQTT协议因其简单高效的特点，在IoMT系统中被广泛采用。但该协议的集中式通信范式及其优势也使其面临严重的网络安全威胁，特别是拒绝服务（DoS）/分布式拒绝服务（DDoS）攻击、欺骗、未授权发布和无效数据包注入等。现有研究虽然提出了多种基于机器学习和深度学习的入侵检测方法，但仍存在一些不足：传统机器学习方法依赖大量的特征工程，难以建模复杂的非线性关系；而许多现有的深度学习架构主要关注通用入侵检测或在非IoMT环境的基准数据集上进行评估，未能充分代表当代IoMT通信环境。此外，专门针对MQTT协议，结合轻量级卷积特征提取与多头自注意力机制，并在最新的CICIoMT2024数据集上进行综合评估的研究相对有限。因此，开展此项研究旨在开发一种协议特定的、高效的入侵检测框架。
研究方法概述
研究人员提出了一种名为CNN-MHSA的混合深度学习架构，用于检测IoMT环境中的MQTT协议特定入侵。该方法首先从CICIoMT2024数据集中筛选出所有MQTT相关的攻击流量，并将其与良性流量构建成一个包含556,992条网络流实例的二分类数据集，每条流由45个统计特征表示。关键技术包括：
- 1.
一维卷积神经网络（1D CNN）： 使用三层堆叠的一维卷积层（每层64个滤波器，核大小为3）来分层提取网络流特征向量中的局部特征模式。
- 2.
多头自注意力机制（MHSA）： 在卷积层之后插入一个具有7个注意力头的MHSA模块，用于捕获不同特征之间的长程依赖关系，弥补卷积层在全局特征关联上的不足。
- 3.
分类层： 将经过注意力机制增强的特征输入两个全连接层，最终通过Sigmoid激活函数输出二分类概率。
研究结果
3.1 数据集描述
研究人员使用了CICIoMT2024数据集，该数据集模拟了40个IoT设备通过Wi-Fi、蓝牙和MQTT等信道通信的真实网络环境，包含超过870万条网络流记录。研究指出，该数据集中MQTT相关攻击占比较小，存在显著的类别不平衡问题，这促使研究人员采用了协议特定的过滤策略。
3.2 数据预处理与数据集准备
研究人员设计了一套预处理流程，从CICIoMT2024数据集中提取MQTT特定攻击流量，并将多分类问题转化为二分类任务。具体操作包括：将五种MQTT攻击变体（DoS-Connect Flood、DDoS-Connect Flood、DoS-Publish Flood、DDoS-Publish Flood和Malformed Data）合并为一个“攻击”类。最终数据集共包含556,992条网络流，每条流由45个统计特征表示，并按约82:18的比例划分为训练集（455,670条）和测试集（101,322条）。对于数据中发现的少量正无穷值（来自Rate、Srate和Drate特征），研究人员采用训练集对应特征的最大有限值进行替换，以避免数值不稳定。
3.3 提出的深度学习模型
研究人员提出的CNN-MHSA模型架构如下：输入层接收一个45×1的特征向量；随后是三个连续的卷积块，每个块包含一个Conv1D层（64个滤波器，核大小3）、批归一化（Batch Normalization）和Dropout（比率0.3）正则化，用于提取层次化的局部特征；接着是一个7头自注意力机制模块，用于捕获长程特征依赖；最后是两个全连接层，第一个包含256个单元并使用ReLU激活函数，第二个是单个单元的Sigmoid输出层，用于二分类。模型使用AdamW优化器，初始学习率为10-3，并以二元交叉熵作为损失函数。
3.4 训练策略与实验配置
模型在配备Intel Xeon CPU、256GB RAM和NVIDIA Tesla V100 GPU的高性能计算平台上使用TensorFlow 2.15进行训练。为应对训练数据中57.7%攻击样本和42.3%良性样本的轻微不平衡，研究人员采用了类别加权法（公式12），为良性类和攻击类分别分配权重1.18和0.87。此外，还进行了阈值优化以提高检测性能。
4.1 实验结果
研究人员报告了所提出CNN-MHSA模型在测试集上的优异性能：准确率达到99.40%，F1分数为99.52%，AUC高达0.9998。这些指标表明模型在区分良性和恶意MQTT流量方面表现卓越。
4.2 消融实验
为了验证各组件的重要性，研究人员进行了消融实验。通过移除MHSA模块或减少卷积层数，观察到模型性能显著下降，从而证明了所提出的混合架构中每个组件的有效性。
4.3 计算效率分析
研究人员对模型的推理速度进行了分析。在GPU环境下，模型处理单个样本的平均时间非常短，展示了其在实际部署中的潜力。即使在CPU环境下，模型也能保持合理的推理速度，体现了其轻量化的特点。
4.4 跨数据集验证
为评估模型的泛化能力，研究人员在MQTT-IoT-IDS2020数据集上进行了跨数据集验证。尽管性能略有下降，但模型仍保持了较高的检测精度，证明了其具有一定的泛化能力。
4.5 与现有方法的比较
研究人员将所提出的CNN-MHSA模型与其他现有的入侵检测方法进行了对比。结果显示，该模型在准确率、F1分数和AUC等关键指标上均优于或持平于多数对比方法，特别是在CICIoMT2024数据集上展现了领先的性能。
讨论与结论
讨论部分总结了研究的贡献和意义。研究人员指出，所提出的协议特定入侵检测框架和CNN-MHSA架构成功解决了现有研究中缺乏针对MQTT协议的综合评估以及轻量化混合架构的问题。通过在CICIoMT2024数据集上的全面评估，包括消融实验、计算效率分析和跨数据集验证，证明了该方法的有效性和泛化能力。研究表明，所提出的框架为IoMT网络中的MQTT威胁检测提供了一个鲁棒的基准解决方案，有助于保障安全的医疗通信。
结论部分指出，本研究提出的CNN-MHSA框架在检测IoMT网络中的MQTT威胁方面取得了显著成果，实现了99.40%的准确率和0.9998的AUC。该模型能够有效识别五种不同的MQTT攻击变体。未来的研究方向可能包括探索更复杂的攻击场景、将该框架扩展到其他物联网协议，以及将其集成到实际的边缘计算设备中以实现实时入侵检测。
