阅读笔记-Active Learning For Wireless IoT Intrusion Detection

文章发表于2018年 IEEE WIreless Commmunications，作者来自同济大学以及AT&T Lab

本文主要研究的是无线入侵检测里的human-in-the-loop active learning

目录

Introduction

Intrusion Detection For Wireless Internet of Things

Active Learning for Anomaly Detection

active learning

query strategy of active learning

Active Learning in Intrusion Detection

Active Learning for Wireless IoT Intrusion Detection

Introduction

intrusion detection technology分为三类

• Misused-based methods

首先基于诸如领域知识或专家经验等信息来构建一组signatures，然后尝试在接下来的网络数据中寻找一种可以匹配数据库中一个或多个signature的特殊模式。但是这种方法不能检测未知种类的入侵，因此会有较高的false-negative rate。为了解决之一问题，misused-based IDS 需要频繁更新数据库中的signature和规则。

• Anomaly-based methods

首先学习正常的网络行为，然后找出与正常网络情况不相符合的异常。这种方法可以有效地检测之前没有发生过的未知类型攻击。此外，由于机器学习正常的网络行为，在大多数情况下没有提供的入侵检测的精确的规则，所以攻击者学习规则并使自己的攻击策略变得不可检测的行为很少发生。这一方法的主要缺点是虚警率高。

• Hybrid methods

将misused-based和anomaly-based结合起来，寻求false-positive rate和false-negative rate的平衡

主动学习(active learning)是一个机器学习的子领域，它强调从有限的训练样本中学到有用的信息。主动学习可以利用机器学习和领域专家的经验。它可以显著地减少花费在label上的精力，进而快色地构建一个入侵检测的机器学习模型。

Intrusion Detection For Wireless Internet of Things

1. IoT具有新颖的构架，其中始终存在将IoT与互联网连接的边界节点
2. IoT中的传感器节点直接连接到不受信任的互联网，并通过其IP地址在全局被识别，这使得IoT更容易受到Internet的入侵
3. 物联网节点受资源限制并通过有损链接进行连接

Active Learning for Anomaly Detection

为了克服数据缺乏的困难并且减少机器学习中较长的处理时间，引入了human-in-loop，利用领域专家的指导来调整优化训练阶段的学习行为。将人的经验引入机器学习的循环可以很大程度上提升知识发现的过程，因而获得由于普通机器学习算法的结果。

active learning

由于在很多机器学习问题中，获取未标记的数据的成本远低于标记的数据，为了解决这一问题，提出了主动学习的方法，即：使用尽可能少的标记数据来获得高准确率，以最小化获取标记数据的代价。

query strategy of active learning

• Uncertainty Sampling

不确定性采样策略查询在当前模型下最不可能标记的实例。

• Query by Committee

QBC策略随着委员会成立开始学习，其中委员会的每个成员代表一个学习模型或假设。

• Expected Model Change

选择最大程度改变当前模型参数的数据实例

• Expected Error Change

在这种查询策略下，将首先为每个数据实例以及现有的带标签的训练集训练模型。 然后将计算在此模型中测试的其余未标记实例的预期误差。 将选择预期损失最小的数据实例。

• Variance Reduction

由于模型重新训练和误差估计带来的巨大计算代价，很难直接最小化期望误差，但是可以通过减少输出方差来间接减少期望误差。

• Information Density

使用密度策略，系统可以选出信息量和代表性均衡的实例。

Active Learning in Intrusion Detection

在许多入侵检测场景下，或者去足够的攻击数据非常耗时并且十分依赖于领域专家。而IoT设备受限的电能、存储空间和计算能力让为无线物联网设计IDS变得很具有挑战性。不同无线物联网节点之间受限制的通道能力也使得收集大量的训练数据变得不可能。

考虑到结构的简化性和计算高效性，uncertainty sampling是基于主动学习的IDS最经常事用的查询框架。

Active Learning for Wireless IoT Intrusion Detection

实验部分

使用主动学习进行入侵检测的方法步骤：

1. 采用无监督的局部离群因子方法来检测数据集中的异常
2. 应用主动学习算法迭代执行有监督学习/标签选择/专家标注直到精确率和召回率达到阈值（本例中精确率和召回率的阈值均为99%），有监督的学习算法使用XGBoost，标签选择策略选择uncertainty sampling

数据集：train:test=8:2

1）KDD99 2）AWID dataset

现有的挑战

1. 无线物联网设备的电量、内存和计算资源有限，如何有效地从如此资源受限的分布式系统中收集数据仍是未知的
2. 现有许多主动学习的查询策略，但是哪一种是最适合无线物联网IDS的设计的也是未知的
3. 现有入侵检测的机器学习模型当网络行为根据变化的环境而变化时会定期更新，如何让主动学习的方法适应这些更新