编辑推荐：
物联网网络安全中基于图神经网络的入侵检测框架研究提出ADAP-GNN，通过动态选择GraphSAGE和GAT架构优化威胁识别。实验表明，该框架在九个数据集上显著提升检测准确率并降低计算成本。
Mortada Termos|Zakariya Ghalmane|Mohamed-el-Amine Brahmia|Ahmad Fadlallah|Ali Jaber|Mourad Zghal
CESI LINEACT, UR 7527, 斯特拉斯堡, 法国
摘要
新的、复杂的攻击正在威胁物联网（IoT）网络，危及设备的安全性和可靠性。因此，网络入侵检测系统（NIDS）对于保护这些网络变得至关重要，而基于人工智能的NIDS已成为一种有前景的解决方案。深度学习的一个相对较新的子领域——图神经网络（GNNs），通过捕捉网络数据中的复杂关系模式进一步推动了这一领域的发展。像GraphSAGE这样的架构在节点层面采用邻居采样技术，而图注意力网络（GAT）则利用注意力机制来突出重要节点，在各种应用中展现了出色的性能。然而，这些架构在NIDS的背景下尚未得到充分探索。此外，没有一种GNN架构在所有网络中都是普遍最优的，因为它们的性能取决于网络的具体图属性。为了解决这些问题，我们提出了一个新框架，包括两个主要方面：（i）将GNN架构适配用于物联网网络的入侵检测；（ii）根据物联网网络的图属性动态选择最合适的GNN配置，使用所谓的“自适应属性感知图神经网络（ADAP-GNN）”。这种方法可以在含有大量恶意节点的数据集中安全地部署邻居采样，因为错过关于罕见攻击的信息的风险较低。此外，在中心性熵较高的网络中，注意力机制也表现出优势。实验结果证明了属性感知模型选择对于开发强大的基于GNN的NIDS的重要性，突显了所提出方法的可适应性和有效性。
引言
在当今日益互联的数字世界中，物联网（IoT）的网络安全变得至关重要。识别潜在威胁和攻击是确保互联网连接安全和数据保密性的关键步骤[1]。用于识别威胁的主要工具之一是网络入侵检测系统（NIDS），它旨在持续监控网络流量以检测任何敌对活动[2]。随着网络威胁的演变和现代网络的复杂性，传统的基于规则的NIDS方法难以跟上步伐。这促使研究人员将重点转向基于人工智能的NIDS，这些系统使用异常检测或训练强大的分类器。
尽管机器学习（ML）和深度学习（DL）模型已经取得了显著成果[3]，但它们仅限于孤立地检查每个流量或作为短时间序列的一部分进行检测。如果不探索设备及其在网络中的连接之间的关系模式，这些模型对结构化攻击将毫无察觉，而这些攻击在单个流量层面可能看起来是良性的[4]。为了解决这一挑战，图机器学习被用来为模型提供更广阔的视角。一个针对图形数据设计的深度学习模型子领域——图神经网络（GNNs）应运而生。基于GNN的NIDS由于能够探索图中的关系模式，在与其他DL模型相比时展现了最先进的结果[5]。图神经网络（GNNs）设计用于直接处理图结构化数据，其中节点代表实体，边表示它们之间的关系[6]。通过消息传递方法，每个节点从其邻居那里收集信息，并用其特征及其连接提供的上下文更新自己的表示。这一迭代过程使GNNs能够学习出反映其在图中位置的高维节点表示。在网络流量数据中，可以构建一个图，其中设备是节点，它们之间的流量是边。将GNNs应用于这样的图可以有效地捕捉复杂交互，使其成为网络入侵检测系统的强大工具[7]。例如，GNN模型在检测PortScan攻击方面表现更好，攻击者通过这种攻击来识别开放的端口和脆弱的服务。GNN有多种架构，其中两种广泛采用的是GraphSAGE（Graph SAmple and AggreGatE）[8]和图注意力网络（GAT）[9]。GraphSAGE利用邻居采样技术在大图中实现可扩展的学习，并训练一个聚合函数以确保归纳性的节点嵌入。另一方面，GAT利用注意力机制为相邻节点赋予权重。
将图神经网络（GNNs）应用于网络入侵检测系统（NIDS）已经显示出比传统深度学习模型更优越的性能，特别是因为物联网数据可以自然地被建模为图。然而，现有文献缺乏系统性的研究，以确定哪种GNN架构最适合给定的物联网网络，这取决于其拓扑属性。
我们的贡献有两个方面。首先，我们解决了标准GNN架构（通常是节点中心的）与NIDS要求（以边为中心）之间的不匹配问题。虽然之前已经提出了E-GraphSAGE[10]来将GraphSAGE适配用于NIDS，但我们的工作更进一步，引入了E-GAT，这是一种新的以边为中心的图注意力网络变体。这种适配并非简单，需要重新设计关键架构组件，包括基于相邻边特征重新制定边注意力机制以及修改消息传递和聚合过程。
其次，我们提出了一个基于规则的选择框架，根据物联网网络的图属性动态选择最合适的GNN架构（无论是利用注意力机制的E-GAT，还是采用邻居采样机制的E-GraphSAGE）。这种选择基于两个关键指标，这两个指标反映了网络的结构和安全特性：度中心性熵和攻击者比例。这些指标在节点层面计算，并被选中是因为它们直接影响两种GNN机制的相对性能。我们的框架在训练之前进行这种选择，确保了部署的便捷性、检测性能的提升以及完全的可解释性。基于规则的方法保证了透明度，并避免了训练或推理期间动态切换带来的额外复杂性。与需要大量训练时间和计算资源来探索大型设计空间的神经架构搜索方法不同。需要注意的是，其他GNN变体，如GCN、GIN和图变换器，由于在基于边的入侵检测任务中的理论和实践不兼容性，未包含在本研究中。
我们在本文中的贡献包括：
- —
通过将邻居采样纳入E-GraphSAGE模型来扩展用于NIDS的边变体GNN。
- —
提出了一种新的边变体E-GAT，它结合了注意力机制以增强特征聚合和适应性。
- —
提出ADAP-GNN，这是一种基于规则的模型选择算法，根据数据集和网络的属性选择最合适的GNN配置。
- —
在九个NIDS数据集上进行了全面的实验。
- —
比较了不同模型的实时推理性能。
我们通过广泛的实验验证了我们的框架，比较了九个不同数据集中的不同GNN配置。结果表明，我们的基于规则的选择方法不仅提高了网络入侵检测的有效性，而且在必要时还降低了计算成本。
本文的其余部分组织如下：第2节回顾了相关工作。第3节详细介绍了所使用的模型以及我们的方法和选择算法。第4节展示了实验评估，第5节对本文进行了总结。
相关研究
相关工作
本节回顾了在网络入侵检测系统（NIDS）中使用基于图的方法的关键研究，从手工设计的复杂网络度量到数据驱动的图神经网络（GNNs）。之后，提供了关于图神经网络以及学习节点有用表示的过程的背景信息。最后，探讨了现有的GNN架构搜索策略及其在入侵检测背景下的局限性。
提出的方法
在这项工作中，我们提出了可以利用邻居采样技术和注意力机制的以边为中心的GNN变体实现。同时，我们介绍了自适应属性感知图神经网络（ADAP-GNN），这是一个根据数据集的图属性选择最合适GNN配置的框架。在本节中，解释了以边为中心的GraphSAGE和GAT的变体，即E-GraphSAGE和E-GAT模型。
实验评估
在本节中，展示了E-GraphSAGE和E-GAT在NIDS中的实验评估。此外，还在九个数据集上测试了提出的ADAP-GNN，这些数据集在规模、拓扑和格式上各不相同。首先描述了数据集及其属性。然后指定了实验设置。最后，展示了结果，进行了分析，并提供了见解和讨论。
结论
本研究提出了ADAP-GNN，这是一个轻量级且可解释的自适应属性感知框架，用于增强物联网环境中的网络入侵检测系统。我们的方法利用领域特定的见解，根据反映物联网网络结构和安全特性的图派生指标来选择最合适的GNN配置，从而实现明智的模型选择。我们的第一个贡献解决了标准节点中心GNN的局限性。
利益冲突声明
作者声明他们没有已知的财务利益或个人关系可能影响本文报告的工作。
致谢
这项工作得到了CESI EAST Region和Ektidar的支持，这是一个旨在赋能青年的黎巴嫩项目。
