DOI: https://doi.org/10.1038/s41598-026-37289-1
PMID: https://pubmed.ncbi.nlm.nih.gov/41667560
تاريخ النشر: 2026-02-10
المؤلف: S. Rohith وآخرون
الموضوع الرئيسي: الشبكات المعرفة بالبرمجيات و5G
نظرة عامة
تقدم البحث LightIDS-SDN، وهو إطار عمل للكشف عن التسلل موحد ومفسر مصمم لبيئات الشبكات المعرفة بالبرمجيات (SDN)، ويعالج التعقيد المتزايد للهجمات السيبرانية. في قلب هذا الإطار يوجد خوارزمية DFE-GQPSO، التي تعمل على تحسين اختيار الميزات من خلال تقليل التكرار مع الحفاظ على دقة الكشف العالية. تستخدم البنية نموذج تعلم عميق هجين، MSDC-Net، الذي يدمج طبقات Transformer، وشبكات الكبسولة، ووحدات BiLSTM لالتقاط الاعتمادات السياقية والمكانية والتسلسلية في حركة مرور الشبكة بشكل فعال. يعزز هذا النهج متعدد الأبعاد بشكل كبير من الكشف عن أنماط التسلل المعقدة.
يتضمن LightIDS-SDN وحدة Explain-Edge، التي تستفيد من SHAP وGrad-CAM لصنع قرارات شفافة، ويستخدم التعلم الفيدرالي مع FedAvg لضمان نشر قابل للتوسع ويحافظ على الخصوصية عبر وحدات تحكم SDN الموزعة. تظهر النتائج التجريبية على مجموعة بيانات InSDN فعاليتها، حيث تحقق دقة تبلغ 98.73%، ودقة تبلغ 98.80%، واسترجاع يبلغ 98.65%، ودرجة F1 تبلغ 98.72%، متجاوزة الطرق القياسية الحالية. لا يعالج الإطار فقط القيود الحرجة لأنظمة الكشف عن التسلل الحالية، مثل عدم الكفاءة الحاسوبية ونقص التفسير، ولكنه يضع أيضًا الأساس للتقدم المستقبلي، بما في ذلك النشر في العالم الحقيقي، والتحقق عبر مجموعات بيانات متنوعة، وتقنيات التفسير المعززة لدعم استجابة الحوادث التي تركز على الإنسان.
مقدمة
تناقش المقدمة مجموعة بيانات قرصنة السيارات، التي هي محددة المجال وتركز على الشبكات داخل المركبات (IVN). يجادل المؤلفون، Toldinas وآخرون، بأن هذه المجموعة من البيانات تعزز الحاجة إلى نماذج زمنية في تحليل بيانات المركبات. كما يصفون نهجهم المبتكر في تحويل بيانات الحركة إلى صور ثنائية الأبعاد، مما يسهل التصنيف باستخدام الشبكات العصبية التلافيفية (CNNs). تستخدم هذه الطريقة المعتمدة على الصور طبقات تلافيفية ثنائية الأبعاد لتعزيز عملية التصنيف، مما قد يحسن دقة الكشف عن حوادث قرصنة السيارات.
الطرق
تشمل المنهجية المقترحة لإطار عمل LightIDS-SDN خط أنابيب متعدد المراحل يتضمن المعالجة المسبقة، واختيار الميزات، والتعلم الفيدرالي، والتصنيف الهجين العميق، والتفسير. تسهل البنية التفاعل بين الأجهزة الطرفية، ووحدات تحكم SDN، وخادم التجميع المركزي، مما يعزز بشكل كبير نموذج تكامل ML-SDN التقليدي. الابتكار الرئيسي هو إدخال تحليل التهديدات المستوحى من الكم، الذي يهدف إلى تحسين تحليل الأمان لهياكل SDN من خلال تجنب الاستخدام المباشر لميزات حركة المرور الخام في المصنفات.
استخدم الإعداد التجريبي مجموعات بيانات CIC-IDS2017 وInSDN، وتم تنفيذه بلغة بايثون 3.9 مع أطر تعلم عميق متقدمة مثل TensorFlow وKeras وPyTorch. تم إجراء تقليل الأبعاد باستخدام خوارزمية DFE-GQPSO للاحتفاظ بالميزات ذات الصلة للتصنيف. تم محاكاة بيئة التعلم الفيدرالي مع وحدات تحكم SDN الافتراضية، حيث تم تدريب كل منها على نموذج MSDC-Net المحلي على بيانات مقسمة. قامت خوارزمية FedAvg بتجميع أوزان النموذج مع الحفاظ على خصوصية البيانات. تم إجراء التجارب على مدار 100 جولة تواصل، حيث نفذ كل وحدة تحكم خمس دورات تدريب محلية لكل جولة، مدعومة بأجهزة عالية الأداء.
لتقييم أداء الكشف عن إطار عمل LightIDS-SDN، تم استخدام مقاييس متعددة، بما في ذلك الدقة (Acc)، والدقة (Prec)، والاسترجاع (Rec)، ودرجة F1، ودرجة كابا لكوهين (κ)، والمساحة تحت منحنى التشغيل للمتلقي (AU-ROC)، ومصفوفة الالتباس. توفر هذه المقاييس تقييمًا شاملاً لقدرات تصنيف النموذج، خاصة في مجموعات البيانات غير المتوازنة، مما يضمن فهمًا قويًا لدقتها، وقابليتها للتعميم، وموثوقيتها في التمييز بين الفئات. يعزز استخدام هذه المقاييس بشكل جماعي الفعالية التشغيلية لإطار عمل LightIDS-SDN في بيئات SDN في العالم الحقيقي.
النتائج
تشير النتائج إلى أن مجموعة بيانات InSDN قدمت عدم توازن كبير في الفئات، يتميز بوجود عينات حركة مرور حميدة مقارنة بأنواع الهجمات الأقل تكرارًا. لتصحيح هذا التوازن، تم استخدام تقنية الزيادة الاصطناعية للأقليات (SMOTE)، كما هو موضح في الجدول 2، الذي يوضح توزيع الفئات قبل وبعد عملية التوازن.
بينما عالجت SMOTE بشكل فعال تمثيل الفئة الأقل، تعترف الدراسة بحدودها الجوهرية، بما في ذلك إمكانية إدخال ضوضاء اصطناعية وخطر الإفراط في التكيف. لمواجهة هذه التحديات، نفذ الباحثون ضبطًا دقيقًا للمعلمات، والتحقق المتقاطع، وإدماج تقنيات التنظيم. كانت هذه الاستراتيجيات حاسمة في ضمان أن النموذج حافظ على أداء قوي في التعميم عبر مجموعات بيانات متنوعة.
المناقشة
تؤكد قسم المناقشة في ورقة البحث على الحاجة الملحة لأنظمة كشف التسلل المتقدمة (IDS) المصممة لتلبية المشهد المتطور للتهديدات السيبرانية، خاصة ضمن بيئات الشبكات المعرفة بالبرمجيات (SDN). غالبًا ما تكافح طرق IDS التقليدية مع الكشف عن الهجمات الجديدة وإدارة الإيجابيات الكاذبة، بينما تثير جمع البيانات المركزي مخاوف تتعلق بالخصوصية ومخاطر الفشل في نقطة واحدة. تقترح هذه الدراسة إطار عمل خفيف الوزن وقابل للتوسع ويحافظ على الخصوصية، يسمى LightIDS-SDN، والذي يستخدم استخراج الميزات العميقة المستوحاة من الكم مع تحسين سرب الجسيمات (DFE-GQPSO) لاختيار الميزات بكفاءة، مما يعزز كل من دقة الكشف والكفاءة الحاسوبية.
تشمل المساهمات الرئيسية تطوير بنية MSDC-Net الهجينة، التي تدمج وحدات Transformer، وشبكة الكبسولة، وBiLSTM لتحليل شامل لحركة مرور الشبكة. يظهر الإطار أداءً متفوقًا على حلول IDS الحالية على مجموعة بيانات InSDN، محققًا مقاييس محسنة مثل الدقة، والدقة، والاسترجاع، ودرجة F1. بالإضافة إلى ذلك، يعزز إدماج آليات الذكاء الاصطناعي القابلة للتفسير، مثل SHAP وGrad-CAM، من قابلية تفسير مخرجات النموذج، مما يعزز الثقة في أنظمة الكشف الآلي. تحدد الورقة فجوة بحثية كبيرة في دمج التقنيات المتقدمة لأمان SDN، مقترحة نهجًا موحدًا يعالج تحديات خصوصية البيانات، والكفاءة الحاسوبية، والحاجة إلى التفسير في تصميمات IDS.
القيود
يظهر إطار العمل المقترح للتعلم العميق الفيدرالي، الذي يتضمن اختيار ميزات محسّن بالكم وبنية MSDC Net الهجينة، دقة كشف عالية وموثوقية. ومع ذلك، قد تعيق عدة قيود نشره العملي. تشمل هذه القيود التحديات المحتملة المتعلقة بقابلية توسيع الإطار في التطبيقات الواقعية، وتعقيد الحوسبة المرتبط بالتحسين الكمومي، والحاجة إلى تدابير خصوصية بيانات كبيرة في بيئات التعلم الفيدرالي.
علاوة على ذلك، قد يتطلب دمج عناصر الحوسبة الكمومية أجهزة متخصصة وخبرة، مما قد يحد من إمكانية الوصول للتنفيذ الأوسع. يعد معالجة هذه القيود أمرًا حيويًا لضمان إمكانية استخدام الإطار بشكل فعال في السيناريوهات العملية مع الحفاظ على مزايا أدائه.
DOI: https://doi.org/10.1038/s41598-026-37289-1
PMID: https://pubmed.ncbi.nlm.nih.gov/41667560
Publication Date: 2026-02-10
Author(s): S. Rohith et al.
Primary Topic: Software-Defined Networks and 5G
Overview
The research presents LightIDS-SDN, a federated and explainable intrusion detection framework tailored for Software-Defined Networking (SDN) environments, addressing the growing complexity of cyberattacks. Central to this framework is the DFE-GQPSO algorithm, which optimizes feature selection by minimizing redundancy while maintaining high detection accuracy. The architecture employs a hybrid deep learning model, MSDC-Net, integrating Transformer layers, Capsule Networks, and BiLSTM units to effectively capture contextual, spatial, and sequential dependencies in network traffic. This multi-faceted approach significantly enhances the detection of sophisticated intrusion patterns.
LightIDS-SDN incorporates the Explain-Edge module, leveraging SHAP and Grad-CAM for transparent decision-making, and utilizes federated learning with FedAvg to ensure scalable and privacy-preserving deployment across distributed SDN controllers. Experimental results on the InSDN dataset demonstrate its effectiveness, achieving an accuracy of 98.73%, precision of 98.80%, recall of 98.65%, and an F1-score of 98.72%, surpassing existing benchmark methods. The framework not only addresses critical limitations of current intrusion detection systems, such as computational inefficiency and lack of explainability, but also sets the stage for future advancements, including real-world deployment, validation across varied datasets, and enhanced explainability techniques to support human-centric incident response.
Introduction
The introduction discusses the Car Hacking dataset, which is domain-specific and focuses on in-vehicle networks (IVN). The authors, Toldinas et al., argue that this dataset reinforces the necessity for temporal models in analyzing vehicular data. They also describe their innovative approach of converting traffic data into 2D images, which facilitates classification using convolutional neural networks (CNNs). This image-based method employs 2D convolutional layers to enhance the classification process, potentially improving the accuracy of detecting car hacking incidents.
Methods
The proposed methodology for the LightIDS-SDN framework encompasses a multi-stage pipeline that includes preprocessing, feature selection, federated learning, deep hybrid classification, and explainability. The architecture facilitates interaction among edge devices, SDN controllers, and a central aggregation server, significantly enhancing the traditional ML-SDN integration paradigm. A key innovation is the introduction of a quantum-inspired threat analysis, which aims to improve the security analysis of SDN architectures by avoiding the direct use of raw traffic features in classifiers.
The experimental setup utilized the CIC-IDS2017 and InSDN datasets, implemented in Python 3.9 with advanced deep learning frameworks such as TensorFlow, Keras, and PyTorch. Dimensionality reduction was performed using the DFE-GQPSO algorithm to retain relevant features for classification. The federated learning environment was simulated with virtual SDN controllers, each training a local instance of the MSDC-Net model on partitioned data. The FedAvg algorithm aggregated model weights while maintaining data privacy. The experiments were conducted over 100 communication rounds, with each controller executing five local training epochs per round, supported by high-performance hardware.
To evaluate the detection performance of the LightIDS-SDN framework, multiple metrics were employed, including Accuracy (Acc), Precision (Prec), Recall (Rec), F1-Score, Cohen’s Kappa Score (κ), Area Under the Receiver Operating Characteristic Curve (AU-ROC), and the Confusion Matrix. These metrics provide a comprehensive assessment of the model’s classification capabilities, particularly in imbalanced datasets, ensuring a robust understanding of its accuracy, generalizability, and reliability in distinguishing between classes. The use of these metrics collectively enhances the operational effectiveness of the LightIDS-SDN framework in real-world SDN environments.
Results
The results indicate that the InSDN dataset presented a significant class imbalance, characterized by a predominance of benign traffic samples relative to less frequent attack types. To rectify this imbalance, the Synthetic Minority Over-sampling Technique (SMOTE) was employed, as detailed in Table 2, which illustrates the class distribution before and after the balancing process.
While SMOTE effectively addressed the minority class representation, the study acknowledges its inherent limitations, including the potential for synthetic noise introduction and the risk of overfitting. To counter these challenges, the researchers implemented careful parameter tuning, cross-validation, and the incorporation of regularization techniques. These strategies were crucial in ensuring that the model maintained robust generalization performance across various datasets.
Discussion
The discussion section of the research paper emphasizes the urgent need for advanced Intrusion Detection Systems (IDS) tailored to the evolving landscape of cyber threats, particularly within Software-Defined Networking (SDN) environments. Traditional IDS methods often struggle with detecting novel attacks and managing false positives, while centralized data collection raises privacy concerns and risks of single-point failures. This study proposes a lightweight, scalable, and privacy-preserving IDS framework, named LightIDS-SDN, which utilizes a novel Deep Feature Extraction with Quantum-Inspired Particle Swarm Optimization (DFE-GQPSO) for efficient feature selection, enhancing both detection accuracy and computational efficiency.
Key contributions include the development of the hybrid MSDC-Net architecture, which integrates Transformer, Capsule Network, and BiLSTM modules for comprehensive analysis of network traffic. The framework demonstrates superior performance over existing IDS solutions on the InSDN dataset, achieving improved metrics such as accuracy, precision, recall, and F1-score. Additionally, the incorporation of explainable AI mechanisms, such as SHAP and Grad-CAM, enhances the interpretability of the model’s outputs, fostering trust in automated detection systems. The paper identifies a significant research gap in the integration of advanced technologies for SDN security, proposing a unified approach that addresses the challenges of data privacy, computational efficiency, and the need for explainability in IDS designs.
Limitations
The proposed federated deep learning framework, which incorporates quantum-optimized feature selection and the hybrid MSDC Net architecture, demonstrates high detection accuracy and robustness. However, several limitations may hinder its practical deployment. These include potential challenges related to the scalability of the framework in real-world applications, the computational complexity associated with quantum optimization, and the need for substantial data privacy measures in federated learning environments.
Furthermore, the integration of quantum computing elements may require specialized hardware and expertise, which could limit accessibility for broader implementation. Addressing these limitations is crucial for ensuring that the framework can be effectively utilized in practical scenarios while maintaining its performance advantages.