DOI: https://doi.org/10.62411/jcta.15419
تاريخ النشر: 2026-01-31
المؤلف: Fabrice Kabura وآخرون
الموضوع الرئيسي: أمن الشبكات وكشف التسلل
نظرة عامة
تقدم هذه البحث إطار عمل هجيني جديد لاكتشاف التسلل الشبكي، يسمى CNN-RBF-Attention، مصمم لمعالجة التحديات التي تطرحها زيادة تعقيد وحجم حركة المرور الشبكية، خاصة في بيئات إنترنت الأشياء والسحاب. يجمع الإطار بين ثلاثة مكونات رئيسية: شبكة عصبية تلافيفية (CNN) لاستخراج الميزات الهرمية، وشبكة دالة الأساس الشعاعي (RBF) للتصنيف غير الخطي المحلي، وآلية انتباه تعزز تركيز النموذج على أنماط حركة المرور التمييزية. لمكافحة عدم توازن الفئات، يتم تطبيق تقنية زيادة العينة للأقليات الاصطناعية (SMOTE) على بيانات التدريب. تم تقييم النموذج على مجموعات بيانات CICIDS2017 و CICIDS2018، حيث يظهر أداءً متفوقًا مقارنةً بنماذج CNN و RBF المستقلة، محققًا دقة عالية ودرجات F1، متفوقًا بشكل خاص في الاسترجاع لفئات الهجوم الأقلية.
تشير النتائج إلى أن الإطار المقترح يخفف بشكل فعال من قيود أنظمة اكتشاف التسلل الحالية، خاصة في اكتشاف فئات الهجوم الأقلية والمتداخلة مع الحفاظ على معدلات إيجابية كاذبة منخفضة. تؤكد النتائج على أهمية دمج تعلم الميزات العميقة، والتصنيف المحلي، وآليات الانتباه، التي تعزز مجتمعة حساسية النموذج لأنماط التسلل الدقيقة دون المساس بالكفاءة الحاسوبية. على الرغم من أدائه الواعد، يعترف البحث بالقيود مثل الاعتماد على مجموعات بيانات مرجعية ثابتة والحاجة إلى مزيد من الاستكشاف في تحديات النشر في العالم الحقيقي، بما في ذلك انحراف المفهوم واستراتيجيات الهجوم المتطورة. ستسعى الأعمال المستقبلية إلى تكييف الإطار للإعدادات التشغيلية، مع دمج التقييم في الوقت الحقيقي واستراتيجيات التعلم عبر الإنترنت، بالإضافة إلى تعزيز القابلية للتفسير من خلال تصور الانتباه وتحليل صلة النماذج الأولية. بشكل عام، يوفر هيكل CNN-RBF-Attention أساسًا قويًا لتطوير أنظمة اكتشاف التسلل الذكية الأكثر موثوقية وقابلية للنشر في بيئات الشبكة المعقدة.
مقدمة
تسلط مقدمة هذه الورقة البحثية الضوء على التحديات التي تطرحها النمو السريع للبنى التحتية المترابطة، المدفوعة بتقنيات مثل إنترنت الأشياء (IoT) و 5G. أدى هذا التوسع إلى زيادة تعقيد حركة المرور الشبكية وارتفاع في التهديدات السيبرانية المتطورة، بما في ذلك برامج الفدية وهجمات DDoS. أنظمة اكتشاف التسلل الشبكي التقليدية (NIDS)، التي تعتمد على طرق الكشف القائمة على التوقيع، غير كافية لتحديد التهديدات الجديدة والمتقدمة، مما يؤدي غالبًا إلى معدلات إيجابية كاذبة مرتفعة وسرعة غير كافية لتلبية متطلبات حركة المرور الحديثة.
لتجاوز هذه القيود، تقترح الورقة إطار عمل هجيني جديد يدمج الشبكات العصبية التلافيفية العميقة (DCNNs) مع شبكة دالة الأساس الشعاعي المعززة بالانتباه (ARBF) لتحسين اكتشاف التسلل. يستفيد هذا النهج من DCNNs لاستخراج الميزات بشكل فعال، وشبكات RBF للتصنيف الدقيق، وآلية انتباه لتعزيز صلة الأنماط المكتشفة. الأهداف الرئيسية لهذا البحث هي تعزيز دقة الكشف والاسترجاع عبر أنواع الهجمات المختلفة، وتقليل الإيجابيات الكاذبة، وتحسين قدرة النموذج على التكيف مع التهديدات الجديدة، كل ذلك مع ضمان هيكل قابل للتوسع. ستتناول الأقسام التالية من الورقة الأعمال ذات الصلة، وهيكل الإطار المقترح واستراتيجيات التدريب، والإعدادات التجريبية، والنتائج من التقييمات على مجموعات بيانات محددة.
طرق
تحدد هذه القسم المنهجية التجريبية المستخدمة لتقييم نموذج CNN-RBF-Attention الهجين المقترح لاكتشاف التسلل. تستخدم التجارب مجموعات بيانات CICIDS2017 و CICIDS2018 المرجعية، مع استثناءات محددة لفئات الهجوم ذات أحجام العينات الصغيرة لضمان الاستقرار في التقييمات متعددة الفئات. تقارن الدراسة أداء النموذج الهجين ضد نماذج CNN و RBF المستقلة، بالإضافة إلى المتغيرات الهجينة مع وبدون آليات الانتباه. تخضع جميع النماذج لخط أنابيب معالجة مسبقة موحد، ويتم إجراء دراسة إلغاء لتقييم مساهمات المكونات الفردية. من الجدير بالذكر أن النموذج الهجين المعزز بالانتباه يظهر تحسينات كبيرة في الاسترجاع لفئات الهجوم الأقلية مع الحفاظ على معدلات إيجابية كاذبة منخفضة.
عند مقارنة نموذج CNN-RBF-Attention الهجين مع أنظمة اكتشاف التسلل الحالية الرائدة، تشير النتائج إلى أداء تنافسي، خاصة في مقاييس الاسترجاع ودرجة F1 عبر المهام الثنائية ومتعددة الفئات. يتفوق النموذج المقترح على الأساليب التقليدية للتعلم العميق، خاصة في السيناريوهات التي تتميز بعدم توازن الفئات وأنماط الهجوم المتداخلة. على عكس الهياكل المتكررة التي غالبًا ما تكافح مع استرجاع الفئات الأقلية، يستفيد النموذج الهجين من مزيج من استخراج ميزات CNN الهرمية، ونمذجة RBF المحلية، ووزن الانتباه، مما يعزز حساسيته لأنماط الهجوم النادرة. لا يحقق هذا النهج أداءً قويًا مع هيكل خفيف الوزن فحسب، بل يؤكد أيضًا على أهمية الإبلاغ الشامل عن المقاييس، بما في ذلك الاسترجاع ودرجة F1، للتقييم الفعال في التطبيقات الحساسة للأمان.
نتائج
تم تقييم نتائج نموذج CNN-RBF-Attention الهجين المقترح على مجموعات بيانات CICIDS2018 و CICIDS2017، مع التركيز على مهام التصنيف الثنائية ومتعددة الفئات. تم مقارنة النموذج ضد شبكات CNN و RBF المستقلة، مع التأكيد على مقاييس الأداء التي تبرز الاسترجاع والاسترجاع المتوسط الموزون بسبب الطبيعة غير المتوازنة لمجموعات بيانات اكتشاف التسلل. شملت خطوات المعالجة المسبقة زيادة العينة باستخدام SMOTE، وترميز التسمية، واختيار الميزات لتعزيز تعميم النموذج والتخفيف من عدم توازن الفئات. تشير النتائج إلى أن نموذج CNN-RBF-Attention تفوق على الأسس عبر جميع المقاييس، متفوقًا بشكل خاص في الاسترجاع ودرجة F1 مع الحفاظ على معدل إيجابي كاذب منخفض، خاصة لفئات الهجوم الأقلية والصعبة الاكتشاف.
على مجموعة بيانات CICIDS2018، أظهر النموذج المقترح أداءً قويًا، محققًا فصلًا شبه مثالي بين حركة المرور الطبيعية والهجمات، كما يتضح من مصفوفة الالتباس ومنحنيات ROC. تم عزو قدرة النموذج على تعزيز الحساسية لأنماط الهجوم الدقيقة إلى دمج مناطق قرار RBF المحلية مع وزن قائم على الانتباه. وبالمثل، أكدت النتائج على مجموعة بيانات CICIDS2017 الأكثر تحديًا قوة النموذج ضد عدم توازن الفئات الشديد، مع اكتشاف فعال للهجمات ذات التردد المنخفض وأقل عدد من الأخطاء في التصنيف. بشكل عام، أثبت الهيكل الهجين أنه حل موثوق لأنظمة اكتشاف التسلل العملية، مع إعطاء الأولوية للاسترجاع العالي والتحكم في الإنذارات الكاذبة في التطبيقات الواقعية.
نقاش
في إطار CNN-RBF-Attention الهجين المقترح لأنظمة اكتشاف التسلل الشبكي (NIDS)، يتم استخدام شبكة عصبية تلافيفية عميقة (CNN) كمستخرج ميزات آلي، تحول بيانات حركة المرور الشبكية الخام إلى تمثيلات مضغوطة وتمييزية. يتكون هيكل CNN من عدة طبقات Conv1D، وطبقات تجميع، وطبقات متصلة بالكامل، مصممة لالتقاط الأنماط الزمنية المحلية والتمثيلات عالية المستوى. تعمل متجهات الميزات المستخرجة من الطبقة الكثيفة قبل الأخيرة كمدخلات لمصنف دالة الأساس الشعاعي (RBF)، الذي يقوم بنمذجة الحدود غير الخطية في فضاءات الميزات عالية الأبعاد بشكل فعال، مما يعزز فصل أنماط حركة المرور الطبيعية والضارة.
يعمل مصنف RBF على الميزات عالية المستوى التي تنتجها CNN، باستخدام خلايا دالة الأساس الشعاعي الغاوسية لقياس التشابه بين متجهات الميزات المدخلة والنماذج الأولية المتعلمة. يسمح هذا النهج بالتمييز الدقيق، وهو مفيد بشكل خاص لفئات الهجوم المتداخلة أو الأقلية. بالإضافة إلى ذلك، يتم دمج آلية انتباه في طبقة RBF لوزن النماذج الأولية الأكثر معلوماتية بشكل ديناميكي، مما يحسن الحساسية لأنماط الهجوم الدقيقة. يتم تقييم النموذج المقترح على مجموعات بيانات مرجعية (CICIDS2017 و CICIDS2018)، مع معالجة التحديات مثل عدم توازن الفئات واكتشاف الهجمات النادرة، بينما يظهر أداءً معززًا من خلال الجمع بين استخراج الميزات العميقة، والتصنيف القائم على النماذج الأولية، وآليات الانتباه التكيفية.
DOI: https://doi.org/10.62411/jcta.15419
Publication Date: 2026-01-31
Author(s): Fabrice Kabura et al.
Primary Topic: Network Security and Intrusion Detection
Overview
This research presents a novel hybrid framework for network intrusion detection, termed CNN-RBF-Attention, designed to address the challenges posed by the increasing complexity and scale of network traffic, particularly in IoT and cloud environments. The framework combines three key components: a convolutional neural network (CNN) for hierarchical feature extraction, a radial basis function (RBF) network for localized nonlinear classification, and an attention mechanism that enhances the model’s focus on discriminative traffic patterns. To combat class imbalance, the Synthetic Minority Over-sampling Technique (SMOTE) is applied to the training data. Evaluated on the CICIDS2017 and CICIDS2018 datasets, the model demonstrates superior performance compared to standalone CNN and RBF models, achieving high accuracy and F1-scores, particularly excelling in recall for minority attack classes.
The findings indicate that the proposed framework effectively mitigates the limitations of existing intrusion detection systems, particularly in detecting minority and overlapping attack classes while maintaining low false-positive rates. The results underscore the importance of integrating deep feature learning, localized classification, and attention mechanisms, which collectively enhance the model’s sensitivity to subtle intrusion patterns without compromising computational efficiency. Despite its promising performance, the study acknowledges limitations such as the reliance on static benchmark datasets and the need for further exploration into real-world deployment challenges, including concept drift and evolving attack strategies. Future work will aim to adapt the framework for operational settings, incorporating real-time evaluation and online learning strategies, as well as enhancing interpretability through attention visualization and prototype relevance analysis. Overall, the CNN-RBF-Attention architecture offers a robust foundation for developing more reliable and deployable intelligent intrusion detection systems in complex network environments.
Introduction
The introduction of this research paper highlights the challenges posed by the rapid growth of interconnected infrastructures, driven by technologies such as the Internet of Things (IoT) and 5G. This expansion has led to increased network traffic complexity and a rise in sophisticated cyber threats, including ransomware and DDoS attacks. Traditional Network Intrusion Detection Systems (NIDS), which rely on signature-based detection methods, are inadequate for identifying novel and advanced threats, often resulting in high false positive rates and insufficient speed for modern traffic demands.
To overcome these limitations, the paper proposes a novel hybrid framework that integrates Deep Convolutional Neural Networks (DCNNs) with an Attention-Enhanced Radial Basis Function (ARBF) network for improved intrusion detection. This approach leverages DCNNs for effective feature extraction, RBF networks for precise classification, and an attention mechanism to enhance the relevance of detected patterns. The primary objectives of this research are to enhance detection accuracy and recall across various attack types, minimize false positives, and improve the model’s adaptability to new threats, all while ensuring a scalable architecture. The subsequent sections of the paper will delve into related works, the proposed framework’s architecture and training strategies, experimental setups, and results from evaluations on specific datasets.
Methods
The section outlines the experimental methodology employed to evaluate the proposed hybrid CNN-RBF-Attention model for intrusion detection. The experiments utilize the CICIDS2017 and CICIDS2018 benchmark datasets, with specific exclusions of attack categories with minimal sample sizes to ensure stability in multiclass evaluations. The study compares the performance of the hybrid model against standalone CNN and RBF models, as well as hybrid variants with and without attention mechanisms. All models undergo a uniform preprocessing pipeline, and an ablation study is conducted to assess the contributions of individual components. Notably, the attention-enhanced hybrid model demonstrates significant improvements in recall for minority attack classes while maintaining low false positive rates.
In comparing the hybrid CNN-RBF-Attention model with existing state-of-the-art intrusion detection systems, the results indicate competitive performance, particularly in recall and F1-score metrics across both binary and multiclass tasks. The proposed model outperforms conventional deep learning approaches, especially in scenarios characterized by class imbalance and overlapping attack patterns. Unlike recurrent architectures that often struggle with minority class recall, the hybrid model benefits from a combination of hierarchical CNN feature extraction, localized RBF modeling, and attention-based weighting, enhancing its sensitivity to rare attack patterns. This approach not only achieves robust performance with a lightweight architecture but also emphasizes the importance of comprehensive metric reporting, including recall and F1-score, for effective evaluation in security-critical applications.
Results
The results of the proposed hybrid CNN-RBF-Attention model were evaluated on the CICIDS2018 and CICIDS2017 datasets, focusing on both binary and multiclass classification tasks. The model was compared against standalone CNN and RBF networks, with performance metrics emphasizing recall and macro-averaged recall due to the imbalanced nature of intrusion detection datasets. The preprocessing steps included SMOTE oversampling, label encoding, and feature selection to enhance model generalization and mitigate class imbalance. The findings indicate that the CNN-RBF-Attention model outperformed the baselines across all metrics, particularly excelling in recall and F1-score while maintaining a low false positive rate, especially for minority and hard-to-detect attack classes.
On the CICIDS2018 dataset, the proposed model demonstrated strong performance, achieving near-perfect separation between benign and attack traffic, as evidenced by the confusion matrix and ROC curves. The model’s ability to enhance sensitivity to subtle attack patterns was attributed to the integration of localized RBF decision regions with attention-based weighting. Similarly, the results on the more challenging CICIDS2017 dataset confirmed the model’s robustness against severe class imbalance, with effective detection of low-frequency attacks and minimal misclassifications. Overall, the hybrid architecture proved to be a reliable solution for practical intrusion detection systems, prioritizing high recall and controlled false alarms in real-world applications.
Discussion
In the proposed hybrid CNN-RBF-Attention framework for network intrusion detection systems (NIDS), a deep Convolutional Neural Network (CNN) is utilized as an automated feature extractor, transforming raw network traffic data into compact, discriminative representations. The CNN architecture comprises multiple Conv1D layers, pooling layers, and fully connected layers, designed to capture local temporal patterns and higher-level abstractions. Feature vectors extracted from the penultimate dense layer serve as inputs to a Radial Basis Function (RBF) classifier, which effectively models nonlinear decision boundaries in high-dimensional feature spaces, enhancing the separation of normal and malicious traffic patterns.
The RBF classifier operates on the high-level features produced by the CNN, utilizing Gaussian radial basis neurons to measure similarity between input feature vectors and learned prototypes. This approach allows for precise discrimination, particularly beneficial for overlapping or minority attack classes. Additionally, an attention mechanism is integrated into the RBF layer to dynamically weight the most informative prototypes, improving sensitivity to subtle attack patterns. The proposed model is evaluated on benchmark datasets (CICIDS2017 and CICIDS2018), addressing challenges such as class imbalance and the detection of rare attacks, while demonstrating enhanced performance through the combination of deep feature extraction, prototype-based classification, and adaptive attention mechanisms.