IDS-Twin：基于数字孪生的无线网络入侵检测系统

物联网设备快速普及带来无线连接增强的同时也加剧了复杂演变的网络威胁，传统基于人工智能的入侵检测系统依赖离线训练和静态模型，难以适应动态环境中的持续变化的设备行为和攻击模式。本文提出基于数字孪生的IDS-Twin框架，通过对比学习构建自适应性异常检测模型，可在实时流量中利用少量标注数据持续学习，并采用轻量级软件回放引擎按时间戳顺序流式传输流量数据，实现系统对新型或演化攻击的持续检测与适应。实验表明该方案在UNSW-NB15和CIC-IoT-2023数据集上优于现有入侵检测方法，尤其在检测已知与未知攻击方面表现突出。

摘要：

物联网（IoT）设备的迅速普及极大地增强了无线连接性，但同时也增加了面临复杂且不断演变的网络威胁的风险。目前基于人工智能（AI）的入侵检测系统（IDS）通常依赖于离线训练和静态模型，这限制了它们在设备行为和攻击模式持续变化的动态环境中进行适应的能力。为了解决这些挑战，我们提出了IDS-Twin，这是一种专为无线IoT设计的基于数字孪生（DT）的入侵检测框架。IDS-Twin采用了一种由对比学习驱动的自适应异常检测模型，能够在仅有少量标记数据的情况下从流式流量中进行实时学习。DT组件被实现为一个轻量级的软件重放引擎，通过按时间戳顺序依次流式传输数据流来模拟实时情况，从而使系统能够持续检测并适应新的或不断演变的攻击。在UNSW-NB15和CIC-IoT-2023数据集上的实验验证表明，IDS-Twin在检测无线网络中的已知和未知攻击方面表现出了卓越的性能和适应性，优于现有的IDS解决方案。

引言

入侵检测系统（IDS）已成为现代网络安全架构中的关键组成部分，尤其是在网络攻击的复杂性和频率不断增加的情况下[1]、[2]。无线通信和物联网（IoT）系统的快速发展迫切需要开发实时、智能且具有适应性的IDS。在这方面，基于机器学习（ML）的IDS展现出了巨大的潜力[3]、[4]，尤其是在学习复杂流量模式以识别入侵行为方面。这些方法能够实现快速部署，并在异常检测和入侵预防方面达到高精度，尤其是在IoT安全领域。例如，[5]中的作者对集成方法与单独的分类器进行了全面评估。[6]中的研究介绍了一种基于监督学习的轻量级IDS，用于在资源受限的IoT环境中检测网络攻击和异常行为。[7]提出了一种基于对比学习的方法，以增强ML分类器的性能并提高入侵检测的准确性。此外，[8]提出了一种基于对比学习的新型在线入侵检测框架，该框架包含一个自主异常检测模块和无标签的在线适应机制。在同一背景下，[9]的工作提出了一种基于数字孪生（DT）的入侵检测方法，用于工业控制系统，该方法通过使用八个监督学习模型的离线评估构建了一个堆叠集成分类器以支持实时检测。尽管ML在捕获复杂流量模式以进行入侵检测方面显示出巨大潜力，但其在实际的IoT部署中的性能仍受到现代网络动态特性的限制[10]。这一限制主要是由于异构IoT设备的快速增长和多样化应用协议导致的，这些因素产生了高度可变且不可预测的流量行为。这种变异性引入了显著的类内差异，使得ML模型难以随时间保持一致的表示。基于ML的IDS往往难以识别零日攻击，因为它们严重依赖于历史标记数据，并且缺乏检测先前未见或不断演变威胁行为的适应性[11]、[12]。此外，良性和恶意流量之间的行为趋同进一步加剧了这一限制，降低了类别的可分性并降低了检测精度。除了这些算法上的限制外，在实时环境中部署基于ML的IDS可能非常耗费资源，因为它通常需要专门的硬件和支持基础设施。这些限制凸显了需要一种新的入侵检测范式的需求，这种范式能够从未标记且不断演变的流量数据中学习出鲁棒、具有区分性的表示，同时保持对系统行为的上下文感知。