[对比学习][入侵检测]A Multi-Channel Contrastive Learning Network Based Intrusion Detection Method

研究背景:

        网络入侵检测是保障网络安全的关键技术之一。随着网络攻击手段日益复杂，传统的入侵检测方法面临诸多挑战，包括数据高维、类别不平衡、特征间的非线性关系等问题。为此，本文提出了一种基于多通道对比学习网络（MCLDM）的入侵检测方法，利用多通道特征构建与对比学习技术，提升模型对复杂网络攻击的检测能力。通过实验分析，基于多通道对比学习网络的入侵检测方法在数据集CICIDS17上达到98.43%的准确率，在数据集KDDCUP99上达到93.94%的准确率20

核心方法

论文提出的MCLDM方法结合了多通道特征增强和三元组卷积神经网络（TCNN），通过自监督和对比学习对数据进行深度特征提取与优化。其流程分为以下几步：

1. 数据预处理与重构：首先使用自编码器对网络流量数据进行重构。正常流量和攻击流量分别通过自编码器得到重构后的特征向量。
2. 自相关矩阵计算：接着，论文使用自相关矩阵来捕捉原始数据及其重构数据之间的相互依赖关系，通过计算自相关矩阵，将数据转化为多通道特征矩阵。
3. 多通道特征构建：将不同的特征通道（原始数据、自相关矩阵等）进行组合，形成更具代表性的多通道数据，为后续模型输入提供更丰富的特征。
4. 三元组卷积神经网络：通过三元组对比学习，模型将锚点样本（正常流量）、正样本（正常流量）和负样本（攻击流量）输入到TCNN中，优化三元组损失函数，最大化不同类样本间的距离，最小化同类样本间的距离。

论文创新点分析

        相较于传统的对比学习简单通过全连接层将正负样本拉开距离的方式，本论文采用了三元卷积对比学习(TCNN)的方式，即在传统的对比学习提取特征的环节，通过加入卷积层从小至大逐步提取局部特征，可以有效改善训练效果。并通过三元组计算方法，三元组通常包含三个部分：

1. Anchor（锚点样本）：代表一个具体的样本，通常是一个基准样本。
2. Positive（正样本）：与锚点样本同类的样本，期望在嵌入空间中与锚点样本距离较近。
3. Negative（负样本）：与锚点样本不同类的样本，期望在嵌入空间中与锚点样本距离较远。

通过三元组学习，TCNN能够更好地区分相似类别的数据样本，这在处理如人脸识别、网络入侵检测等任务中非常有效,这种卷积对比学习在以下场景下性能优于传统方法。

• TCNN优于普通对比学习的场景：复杂高维数据、有显著局部特征（如时序性、局部依赖）、数据不平衡严重的场景，如网络入侵检测、医学成像等。
• 普通对比学习更优的场景：低维数据、没有复杂局部模式的任务，如静态图像分类、文本分类或已提取好特征的结构化数据场景。

        其次论文融合了双编码器的方法，训练一个正常样本自编码器，一个异常样本自编码器，分别对样本进行重构，可以更好的学习到样本的特征。

        自相关矩阵与多通道特征构建可以揭露样本空间中时间序列间的联系，系统可以对数据异常更为敏感，提升准确率。

论文总结

        本文整体上是对传统对比学习方法的两个层面上的优化-----特征构建层与正负样本对比层，本文在特征构建层加入了自编码器，自相关矩阵以及多通道构建，最后进行卷积学习的方法，使得特征构建更具有针对性，而在正负样本对比层使用了三元组对比方法，令其适应入侵检测场景，取得了可观的准确率。