Light-SIoT-GAD：面向智能物联网网络的轻量级关系感知图入侵检测方法

《Symmetry》：Lightweight Relation-Aware Graph Neural Networks for Network Threat Detection in the Social Internet of Things

　　

摘要

物联网中的网络威胁检测必须利用设备间的有类型关系：一个流量统计表现平淡的设备，相对于其所有权、共置关系和社会连接而言可能仍已被攻陷。现有的基于图的入侵检测器丢弃了关系类型信息，而轻量级检测器压缩的是表格模型而非图模型。本文提出Light-SIoT-GAD，一种轻量级关系感知图检测器，将有类型关系作为一等输入加以利用。该模型为每种关系类型学习一个标量权重，并在关系变换之间共享一个小基底，使得每增加一种关系类型仅产生少量混合系数而非完整的权重矩阵，同时结合监督特征选择、有界邻居采样和8位训练后量化以实现网关部署。双轨评估在一张包含16,216台设备的真实SIoT关系图上分离出有类型聚合的效果（注入异常），并在三个已标注的NetFlow v2语料库上与经典方法、深度表格方法和图基线方法（包括跨语料库迁移和消融实验）进行攻击检测对比。Light-SIoT-GAD在全部三个语料库上达到或超过最强的无类型图基线方法，在仅73,962个参数的条件下实现AUPRC 0.9986，远少于非共享R-GCN的参数量；在最稀疏的语料库上，梯度提升的表格集成模型仍表现更优，这将结论限定在具有可用结构的图适用范围内。收益究竟源于关系语义还是仅来自逐关系参数化这一问题是直接测试的：置换关系标签后，密集语料库在四位小数内不变，仅在最稀疏语料库上损失0.0083 AUPRC，因此有类型优势在该处真实存在，而在其他情况下则是容量效应。在社交轨道上，异常是按照指定协议注入而非观测所得的，移除消息传递后AUPRC从0.9990骤降至0.4869（同一注入条件下），从而将收益来源归结为关系图上的传播；该轨道衡量的是关系结构是否承载信号，而非针对真实SIoT攻击的准确率。量化后的模型在CPU上占用85.4 KB，每1000条边的处理时间为14.38毫秒。学习到的关系门控被证明仅能识别到逐关系重标度的等价类，且留一关系干预实验发现SIoT分类体系中的任何关系在注入协议下都不是起关键作用的，因此社交轨道支持有类型的参数化方式，但不支持对各关系进行排序。