A Dual-Tier Adaptive One-Class Classification IDS for Emerging Cyberthreats

在当今数字化时代，我们对物联网（IoT）和工业物联网（IIoT）系统的依赖程度已经极大，这有助于进行敏感的活动，例如银行交易、个人、企业数据和法律文件交换。黑客不断利用弱安全措施和工具进行攻击。网络入侵检测系统（IDS）是防范此类网络威胁的主要工具。然而，基于机器学习的IDS在特定攻击模式上训练时，往往会错误地分类新出现的网络攻击。此外，受监督学习者的攻击实例有限以及网络威胁不断演变进一步加剧了这个问题。这强调了需要一个能够识别和从不熟悉/未知攻击中学习的适应性IDS框架。在这项研究中，我们提出了一个基于单类分类的IDS系统，结构为两层。第一层区分正常活动和攻击/威胁，而第二层确定检测到的攻击是否已知或未知。在第二层中，我们还嵌入了一个多分类机制和聚类算法。该模型不仅识别未知攻击，而且通过聚类未知攻击对其进行重新训练。这使我们的模型具有未来可靠性，能够随着威胁模式的出现而不断发展。利用第一层的单类分类器（OCC），我们的方法绕过了攻击样本的需求，解决了数据不平衡和零日攻击的问题。第二层的OCC可以有效地将未知攻击与已知攻击分开。我们的方法和评估表明，所提出的框架在实际部署中具有很大的潜力。

提出一种可适应的IDS框架，能够识别和学习来自未知攻击的特征，以应对不断进化的网络安全威胁。

该框架分为两个层次，第一层使用单类分类器（OCC）来区分正常活动和攻击/威胁，第二层确定检测到的攻击是已知的还是未知的，并使用多分类机制和聚类算法来重新训练模型以适应新的攻击模式。

该方法绕过了攻击样本的需求，解决了数据不平衡和零日攻击的问题。实验结果表明，该框架在实际部署中具有良好的潜力。

相关研究包括使用深度学习技术的IDS，以及使用聚类算法来识别未知攻击的方法。