FG-Net：一种面向物联网入侵攻击分类的统一特征融合图框架

《Journal of Information Security and Applications》：FG-Net: A unified feature fusion graph-based framework for IoT intrusion attack classification

　　

FG-Net将物联网入侵检测重新定义为流级别图学习问题，其中每个网络流被视为一个节点，并利用特征级别的相似度建立关系。该模型解决了基于图的IDS中的过度平滑问题，即均匀邻域聚合可能导致恶意流量和良性流量的表示过于相似。FG-Net将基于局部GCN的学习与多头图注意力相结合，使其能够同时捕获附近流之间的关系和更广泛的多视角攻击相关性。所提出的自适应融合机制提升了分类性能，在BoT-IoT、ToN-IoT、CIC-IDS-2018和NF-UQ-NIDS上均取得了优异的准确率，据报道准确率高达99.85%。

引言

物联网极大地推动了工业数字化转型。然而，连接内部服务并产生有价值数据的工业物联网智能设备已成为网络攻击的常见目标。对传输命令和反馈的操纵可以改变智能设备的运行方式，导致虚假警报。保护物联网设备生成的信息免受篡改威胁至关重要[1]。例如，2014年，一次高级持续威胁（APT）网络攻击针对一家德国钢铁厂，导致工业控制系统中的控制元件受到影响，造成系统关闭和整条生产线停止，设备遭受重大物理损坏，并造成重大财务损失。2016年，恶意软件被用于攻击以色列的电力供应系统和德国的核能设施。此后，2018年，台积电的芯片在制造厂被发现含有病毒，导致机器损坏。2019年，委内瑞拉因全国电力系统遭到协同攻击而大面积停电[1]。随着物联网攻击变得日益多样化和复杂化（如DoS（拒绝服务）、DDoS（分布式拒绝服务）、欺骗、洪泛、僵尸网络和服务扫描），迫切需要建立智能和自适应的安全机制来保护网络基础设施[1]。入侵检测系统（IDS）是其中的核心，因为它们可以持续监控系统和网络活动以检测安全违规行为。IDS是第二道防线，用于补充防火墙和加密等传统预防性措施，而这些措施在大多数情况下不足以应对精心策划或不断变化的攻击模式[[1], [2]]。

在NIDS中广泛使用的算法使用机器学习（ML）来隔离流量运动活动的趋势[2]。基于ML的算法通常借助标记数据以监督方式学习判别特征[3]。另一方面，深度学习算法（DL）执行类似的任务，通过在原始或最少处理的网络流量数据上训练层次化特征表示来实现。卷积神经网络（CNNs）是用于识别IDS的广泛应用的DL算法之一，因为它可以检测流量特征的局部空间关系[[2], [3], [4], [5]]。通过使用共享权重和局部感受野的卷积滤波器，CNNs在初始层中学习低级流量模式，并随着时间通过时序算法学习时间，学习关于攻击模式的高级抽象。特别是对于时序建模，循环神经网络（RNNs）及其增强形式——长短期记忆（LSTM）网络，已被提出用于入侵检测[4]。这些算法可以通过随着时间推移的隐藏状态来表达序列变量的依赖性；因此，它们适合对流量演化和基于时间的攻击模式进行建模，如慢速攻击或多阶段攻击。尽管这些算法报告了良好的检测性能，但其主要缺点是它们主要提取小规模特征，无法捕获跨流量流的长距离依赖性。因此，图神经网络（GNNs）被提出用于入侵检测，以显式学习网络流量的关系结构[[6], [7]]。基于图的IDS中的节点表示网络对象（主机、流或会话），它们之间的交互、通信模式、公共端口、协议或时间相关性表示为边。这种公式化使IDS能够学习传统CNN或RNN基算法会忽略的结构依赖性和上下文信息。

图卷积网络（GCNs）是广泛采用的GNN，因其有效性和局部聚合能力而在入侵分类研究中备受推崇[8]。GCNs基于消息传递机制运行，其中每个攻击通过合并其从直接邻居接收到的特征信息来重新计算其表示。当使用多个卷积层时，节点（攻击）逐渐添加高阶邻域特征，使模型能够识别局部异常，如异常流量突发、端口扫描或协议滥用。这种局部性聚合使GCNs适用于对网络流量中的局部空间模式进行建模。然而，在入侵检测中，邻域聚合可能会产生不利影响，因为判别性的攻击特定信号可能通过均匀邻域聚合而丢失[[8], [9]]。由于所有邻居攻击的条件都被同等加权，恶意攻击的独特特征，如被入侵主机引起的突发流量、异常协议使用或同步扫描，很可能会与良性背景活动混合在一起。这种平均效应导致与攻击相关的节点表示变得更加类似于正常节点，这被称为过度平滑。这些观察表明，当面对真实世界物联网攻击的异质性和多阶段特性时，现有的入侵分类工作存在局限性，这在BoT-IoT、ToN-IoT和NF-UQ-NIDS等基准数据集中有所反映。

网络攻击通常以单一且一致的行为模式出现，这在流行的物联网入侵数据集中显而易见：BoT-IoT、ToN-IoT、NF-UQ-NIDS和CIC-IDS-2018。然而，在实时环境中，恶意活动往往是异质的并具有多视角特征，正如网络流量的各个维度所体现的那样。例如，在DDoS攻击中，少数被入侵的节点创建多个流量突发，而其他节点则以间歇方式参与以逃避检测[[6], [7]]。同样，基于僵尸网络的攻击可能包含主机之间通信模式的协作、离散的协议滥用以及难以通过均匀聚合方法识别的时间同步行为。

为了捕获这些模式，入侵分类问题被表述为基于流级别的入侵图表示，其中每个节点代表一个网络流，由入侵属性定义的单个流量流定义，如BoT-IoT数据集所述，包括流中的字节速率、数据包数量、协议使用情况、流持续时间等。

图1. 基于BoT-IoT数据集中的代表性DDoS流实例，从入侵图中多视角特征提取的图示。边定义为特征级别的相似度，基于网络流之间攻击特征的行为接近度。这种相似度揭示了具有相似攻击行为但可能有不同网络流来源的流量实例之间的潜在关系。

然而，根据文献综述，现有的基于图的模型使用同质聚合来聚合空间感知，这使得恶意和良性节点表示越来越相似，从而削弱了攻击特定信息[[8], [9], [10], [11]]。克服攻击特定信息丢失的一种方法是使用更多卷积层[11]，使GCN的更深层次具有更大的感受野，从而原则上使模型能够从更远的（高阶）邻居中学习，并由此将更多全网相关性作为协调或分布式攻击的潜在候选。然而，随着深度增加，算法从多样化邻域中整合渐进信息，因此节点表示趋向于收敛到整个图的平均值。这种效应在文献中被广泛讨论，被称为过度平滑[11]，意味着所有攻击都被同等对待，模型失去了有选择地强调攻击相关交互的能力。

为了改善这种同质邻域聚合，所提出的公式联合学习网络流的多视角以及流之间交互的互补视图，并在特征传播过程中有选择地控制其效果。该模型可以通过统一的融合机制整合不同视角的关系，来突出信息丰富的行为相关性并消除冗余或不相关的交互。这种判别性组合方法增强了所学流表示的判别力，并提高了对非同质和协同入侵活动的韧性。

为了克服这一约束，提出了FG-Net框架，其中引入了多视角图聚合，多个注意力头学习流到流交互的不同视角。一个头关注另一种相似度方面（例如基于强度的、协议导向的），从而使模型能够区分攻击之间的强相关性与弱或嘈杂的关联。与将所有邻居流同等对待不同，该模型可以优先考虑信息更丰富的交互并保留互补的上下文信息，如图1所示。此外，FG-Net使用一个学习自适应融合层，学习以最优方式融合多视角。这种动态融合过程根据每个学习表示对入侵分类任务的重要性来调整其值，从而只突出攻击的判别性特征。因此，本文的主要贡献是：

本文将入侵检测问题表述为使用流级别图表示，其中每个节点对应于一个独立的网络流，边编码流之间特征级别的行为相似度。

为了解决同质邻域聚合的局限性，所提出的FG-Net框架引入了多视角图聚合，其中学习多个交互视图以捕获网络流的多样化行为特征。这种设计使模型能够区分高权重的攻击特定相关性与弱或嘈杂的关联，从而缓解过度平滑效应并保留判别性入侵模式。

FG-Net纳入了统一的自适应融合机制，在特征传播过程中动态调节互补交互视角的贡献。通过强调信息丰富的行为相关性并抑制冗余或良性主导的交互，融合过程增强了所学流表示的判别力。

所提出的框架在多个当代物联网入侵数据集上进行了验证，包括BoT-IoT、ToN-IoT、NF-UQ-NIDS和CIC-IDS-2018，在具有不同攻击分布的四个数据集上达到了95.20-99.85%的准确率。这使得FG-Net适合部署在真实的物联网和IoMT环境中。

所提出模型的差异化：关键创新包括：

•与先前的入侵检测方法不同，这些方法主要依赖于基于数据包或序列的建模（例如CNNs、RNNs和双向长短期记忆BiLSTMs [[12], [13], [14], [15], [16], [17], [18], [19]]），FG-Net将入侵检测定义为基于流的相似度图，允许显式建模具有相似攻击行为的流量实例之间的关系。这种图形式的公式化使所提出的模型具有网络范围内的行为相关性，这对于识别无法通过孤立流分析或时序分析检测的分布式和协调攻击至关重要。

•现有的图模型执行局部邻域聚合或以无集体融合方案的方式获取全局信息[22,27,28]。虽然有一些基于注意力的图模型（例如ResACAG（残差自适应上下文感知图）[25]）试图纳入上下文信息，但这些模型在架构和计算需求方面可能计算复杂，限制了其可扩展性和可解释性。相比之下，FG-Net提出了一种融合方法，主动平衡互补的交互视图，使模型能够有选择地关注攻击相关的相关性，同时抑制良性或冗余的交互。

•此外，一些先前的研究在整合融合机制时使用更静态的操作，例如平均、堆叠或拼接[16,18,19,26]，并未直接学习各种特征视图的相对重要性。FG-Net从根本上不同，因为它使用学习的自适应融合方法，在传播特征时控制各种交互视角的贡献，从而保留判别性攻击特征并减少过度平滑。

•与仅依赖于传统数据集（例如NSL-KDD、BoT-IoT）的先前研究不同，所提出的模型在更广泛和更多样化的数据集范围内进行了验证，包括CIC-IDS-2018、ToN-IoT和NF-UQ-NIDS，使其适合用于基于IoMT和IoT的部署。

论文结构：本文其余部分组织如下：第2节对不同作者的研究出版物进行分析和研究，以识别现有技术中的差距并提供解决方案。第3节包含所提出的技术，提供概念概述和详细说明。第4节包含实验和讨论的结论。

本节涵盖评估参数、数据集详情、最先进方法及图形化结果。小节摘要

**文献综述**

本节全面审查了物联网（IoT）背景下入侵检测系统（IDS）的最新发展，重点聚焦于两个主要研究方向：基于深度学习的模型和基于图的模型。基于深度学习的模型小节考察了多种深度学习方法，包括强化学习、循环神经网络（RNN）、卷积神经网络（CNN）以及采用优化策略的混合模型。这些模型在基准数据集上表现出较高的准确率，但经常面临以下挑战：

**所提出的模型**

在本节中，首先概述了所提出模型的整体框架，随后介绍了其技术与数学细节。最后对所提出模型进行了总结。

**环境设置与评估参数**

模型在Google Colab Pro上进行训练，并以Python语言实现。网络参数见表2。所有实验均使用Python（BoT-IoT和CSE-CIC-IDS-2018流水线分别使用版本3.11.7和3.12.3）、PyTorch以及PyTorch Geometric作为主要的深度学习和图神经网络框架，并使用torch_geometric.nn.GCNConv作为所提模型中图卷积组件的实现。数据处理方面使用Pandas和numpy。

**结论**

本文提出了FG-Net，这是一种专为物联网和一般网络环境设计的新颖融合图入侵检测模型。当前大多数模型在图学习上下文中要么专注于网络流量和邻域的均质聚合，这导致恶意流量和良性流量的表示无法区分，并削弱了对攻击特征的刻画能力。为克服这些问题，本文提出了FG-Net，即融合图……

**资金**

本研究未获得任何外部资助。

**伦理审查**

本研究不涉及人类参与者或动物，因此无需进行伦理审批。

**CRediT作者贡献声明**

Kajol Mittal：撰写初稿、验证、项目管理、形式分析、数据整理。Payal Khurana Batra：撰写-审阅与编辑、监督、资源提供、形式分析。Vikas Saxena：撰写-审阅与编辑、验证、监督、方法论。

Kajol Mittal | Payal Khurana Batra | Vikas Saxena