[论文解读] AI-based Two-Stage Intrusion Detection for Software Defined IoT Networks

Jiaqi Li, Zhifeng Zhao+2 more|arXiv (Cornell University)|Jun 7, 2018

Network Security and Intrusion Detection参考文献 21被引用 13

一句话总结

本文提出了一种基于人工智能的两阶段入侵检测系统，用于软件定义物联网（SD-IoT）网络，利用改进的萤火虫算法进行特征选择，采用加权随机森林进行流量分类。该方法实现了96.42%的准确率和0.98%的误报率，优于现有方法且计算开销更低。

ABSTRACT

Software Defined Internet of Things (SD-IoT) Networks profits from centralized management and interactive resource sharing which enhances the efficiency and scalability of IoT applications. But with the rapid growth in services and applications, it is vulnerable to possible attacks and faces severe security challenges. Intrusion detection has been widely used to ensure network security, but classical detection means are usually signature-based or explicit-behavior-based and fail to detect unknown attacks intelligently, which are hard to satisfy the requirements of SD-IoT Networks. In this paper, we propose an AI-based two-stage intrusion detection empowered by software defined technology. It flexibly captures network flows with a globle view and detects attacks intelligently through applying AI algorithms. We firstly leverage Bat algorithm with swarm division and Differential Mutation to select typical features. Then, we exploit Random forest through adaptively altering the weights of samples using weighted voting mechanism to classify flows. Evaluation results prove that the modified intelligent algorithms select more important features and achieve superior performance in flow classification. It is also verified that intelligent intrusion detection shows better accuracy with lower overhead comparied with existing solutions.

研究动机与目标

• 为应对软件定义物联网（SD-IoT）网络中因攻击面扩大和威胁演变而日益严峻的安全挑战。
• 克服传统基于签名和基于异常的入侵检测系统在检测未知或新型攻击时的局限性。
• 开发一种智能、自适应的入侵检测系统（IDS），在集中式软件定义网络（SDN）控制下利用人工智能进行特征选择和流量分类。
• 在提升准确率和鲁棒性的同时降低检测开销，尤其针对少数类入侵。

提出的方法

• 采用两阶段架构：首先利用改进的萤火虫算法进行特征选择，通过K均值聚类实现群体划分，并引入差分变异策略，以提升探索能力和收敛速度。
• 应用改进的随机森林分类器，每构建一棵树后自适应更新样本权重，采用加权投票机制，以提升对不平衡数据的分类性能。
• 利用SDN的全局视图全面捕获网络流量，实现集中式实时监控与分析。
• 集成基于人工智能的特征选择与自适应学习机制，以检测超越基于签名检测的新型和未知攻击。
• 采用K均值聚类与差分进化相结合的混合优化策略，以维持萤火虫算法中的种群多样性，避免陷入局部最优。
• 设计自学习系统，通过动态样本加权聚焦于少数类攻击，随时间推移持续提升检测性能。

实验结果

研究问题

• RQ1 基于人工智能的两阶段入侵检测系统能否有效检测SD-IoT网络中的未知和新型攻击？
• RQ2 如何优化特征选择以在降低计算开销的同时提升检测准确率？
• RQ3 在随机森林中采用自适应样本加权在多大程度上可提升对不平衡入侵数据集的检测性能？
• RQ4 与现有SD-IoT环境中的入侵检测系统解决方案相比，所提系统在准确率和效率方面表现如何？
• RQ5 将SDN的全局视图与人工智能相结合，能否提升入侵检测的可扩展性与响应速度？

主要发现

• 所提系统实现96.42%的检测准确率和仅0.98%的误报率，显著优于现有方法。
• 结合群体划分与差分变异的改进萤火虫算法能选出更相关的特征，从而提升检测精度。
• 加权随机森林分类器相比基线模型，将少数类入侵的检测率提升了最高达30%。
• 系统在处理时间与误分类成本等指标上均表现出比竞争算法更低的开销。
• 所提出的萤火虫算法与随机森林算法组合在所有评估指标上均表现最佳，选取32个特征且FPR更优。
• 即使在流量规模增加时，系统仍保持高效率，展现出良好的可扩展性与实时可行性。