DOI: https://doi.org/10.1016/j.array.2025.100501
تاريخ النشر: 2025-08-29
المؤلف: Waqas Ishtiaq وآخرون
الموضوع الرئيسي: أمن الشبكات وكشف التسلل
نظرة عامة
تقدم هذه البحث CST-AFNet، وهو نموذج جديد يعتمد على الانتباه المزدوج مصمم للكشف عن التسلل في بيئات إنترنت الأشياء (IoT) وإنترنت الأشياء الصناعية (IIoT). يستخدم النموذج الشبكات العصبية التلافيفية متعددة المقاييس (CNNs)، ووحدات التكرار المغلقة ثنائية الاتجاه (BiGRU)، وآليات الانتباه الزمني والقنوي لالتقاط الأنماط الزمانية المكانية من بيانات الحركة بشكل فعال. تم تقييم CST-AFNet على مجموعة بيانات Edge-IIoTset، حيث حقق أداءً ملحوظًا، محققًا دقة 100% في التصنيف الثنائي و99.97% في التصنيف متعدد الفئات، مع نتائج قوية بشكل خاص للفئات الأقل. تؤكد هذه النتائج على إمكانيات النموذج للتطبيقات الواقعية في أمان IIoT.
بالنظر إلى المستقبل، يقترح المؤلفون التحقيق في نشر CST-AFNet ضمن أطر الحوسبة الفيدرالية والحوسبة الطرفية لتعزيز الخصوصية وقابلية التوسع. كما يهدفون إلى دمج تقنيات التعلم عبر الإنترنت والذكاء الاصطناعي القابل للتفسير لتعزيز قدرة النموذج على التكيف مع التهديدات المتطورة وتحسين قابلية التفسير لمحللي الأمن. ومع ذلك، لم تقيم الدراسة الحالية مرونة النموذج ضد الهجمات العدائية أو تسمم البيانات، وهي اعتبارات حاسمة للبيئات الصناعية الحساسة للأمن. يجب أن تركز الأبحاث المستقبلية على معالجة هذه الثغرات من خلال دمج التعلم المستمر، والصلابة ضد الهجمات العدائية، وتقييم فعالية النشر في الوقت الحقيقي.
مقدمة
تتناول مقدمة هذه الورقة البحثية القضية الحرجة للكشف عن التسلل في بيئات إنترنت الأشياء (IoT) وإنترنت الأشياء الصناعية (IIoT)، التي أصبحت أكثر عرضة للوصول غير المصرح به والهجمات الإلكترونية بسبب طبيعتها المعقدة والمتنوعة واعتمادها على بروتوكولات خفيفة الوزن. مع تحول هذه الأنظمة إلى جزء لا يتجزأ من قطاعات مثل التصنيع والرعاية الصحية والنقل، فإن الحاجة إلى آليات أمان متقدمة يمكن أن تتكيف مع مشهد التهديدات الديناميكي أمر بالغ الأهمية. الحلول الأمنية التقليدية، المصممة لبيئات أكثر ثباتًا وغنية بالموارد، غير كافية للقيود والتحديات الفريدة التي تطرحها بنى IoT/IIoT، بما في ذلك القدرة المحدودة على المعالجة والتعامل مع البيانات في الوقت الحقيقي.
لمعالجة هذه التحديات، يقترح المؤلفون إطار عمل جديد للتعلم العميق يسمى CST-AFNet (شبكة دمج الانتباه الزماني المكاني التلافيفي). تجمع هذه البنية بين الشبكات التلافيفية متعددة المقاييس مع وحدة تكرار مغلقة ثنائية الاتجاه (BiGRU) وآلية انتباه مزدوج لتعزيز الكشف عن التهديدات الإلكترونية المتكررة والنادرة. تم تصميم CST-AFNet لاستخراج الميزات المكانية تلقائيًا من أنماط الحركة المتنوعة مع التقاط الاعتماد الزمني، مما يسمح له بتحديد أنماط الهجوم المعقدة بشكل فعال. يمكن استخدام النموذج بشكل مبتكر لآليات الانتباه للتركيز على خطوات الزمن الأكثر معلوماتية والميزات الحرجة، مما يحسن دقة الكشف في البيئات اللامركزية ذات الموارد المحدودة. يهدف هذا البحث إلى سد الفجوات الموجودة في منهجيات الكشف عن التسلل، مما يمهد الطريق للنشر العملي في تطبيقات IoT الواقعية وتعزيز مرونة الأمن السيبراني بشكل عام.
الطرق
تتكون المنهجية المقترحة في هذه الدراسة من ثلاثة مكونات رئيسية تهدف إلى تعزيز تصنيف كل من الهجمات الإلكترونية المتكررة والنادرة: (1) شبكة عصبية تلافيفية متعددة المراحل (CNN)، (2) دمج وحدة تكرار مغلقة ثنائية الاتجاه (Bi-GRU)، و(3) تنفيذ آليات انتباه مزدوجة لاستخراج الميزات. تم تصميم نموذج CNN متعدد المراحل لدمج المخرجات من طبقات Conv1D المتوازية ذات أحجام النواة المختلفة (3، 5، و7) لتسهيل استخراج الميزات متعددة المقاييس. يسمح هذا النهج للنموذج بالكشف عن الأنماط المحلية الدقيقة، والميزات المتوسطة، والمعلومات السياقية الأوسع الضرورية لتحديد أنواع التسلل المتنوعة.
تبدأ البنية بثلاث طبقات Conv1D متوازية، والتي يتم دمجها بعد ذلك، وتطبيعها، وتنظيمها باستخدام تقنيات الإسقاط. تلتقط طبقة Bi-GRU الأنماط التسلسلية، بينما تعطي آليات الانتباه المزدوج الأولوية للميزات الزمنية والقنوية الهامة. يتم إجراء التصنيف النهائي باستخدام طبقات كثيفة وsoftmax، مما يصنف الهجمات إلى 15 فئة متميزة. تعزز هذه المنهجية الشاملة بشكل فعال قدرة النموذج على الكشف وتصنيف التهديدات الإلكترونية المتنوعة، مستفيدة من كل من تمثيلات الميزات المحلية والعالمية.
النتائج
تظهر نتائج الدراسة فعالية نموذج CST-AFNet المقترح للكشف عن التسلل متعدد الفئات في بيئات إنترنت الأشياء الصناعية (IIoT). تم تنفيذ النموذج باستخدام TensorFlow/Keras، ويشمل طبقات متنوعة، بما في ذلك Conv1D وGRU، إلى جانب آليات انتباه مخصصة. حقق النموذج دقة إجمالية مثيرة للإعجاب تبلغ 99.97%، مع دقة متوسطة، واسترجاع، ودرجات F1 تتجاوز 99.3% عبر فئات متعددة من الهجمات الإلكترونية، بما في ذلك DDoS_HTTP، وDDoS_TCP، وMITM. ومن الجدير بالذكر أنه بينما تفوق النموذج في تحديد معظم أنواع الهجمات، أظهر أداءً أقل نسبيًا في فئة بصمة الأصابع، مما يشير إلى تحديات في الكشف عن الهجمات الدقيقة.
كشفت عملية التدريب عن تقارب سريع، حيث استقرت دقة التدريب والتحقق فوق 99% بعد بضع دورات فقط، مما يشير إلى تعلم فعال وتعميم. حافظ النموذج على مقاييس أداء قوية، محققًا 100% دقة، واسترجاع، ودرجة F1 في مهام التصنيف الثنائي، مما يؤكد موثوقيته في التمييز بين حركة المرور العادية وهجمات. على الرغم من تعقيد النموذج ومتطلبات الحوسبة بسبب بنيته العميقة وآليات الانتباه، تشير النتائج إلى قوته ودقته في التعامل مع سيناريوهات حركة مرور IIoT المتنوعة وغير المتوازنة، متفوقًا على الأساليب الحالية للكشف عن التسلل.
المناقشة
تسلط المناقشة الضوء على تطور أنظمة الكشف عن التسلل (IDS) لشبكات IoT وIIoT، مع التأكيد على قيود الطرق التقليدية المعتمدة على التوقيع في الكشف عن الهجمات الجديدة. ظهرت تقنيات التعلم الآلي (ML) والتعلم العميق (DL) كبدائل فعالة، مع الاستفادة من التطورات الأخيرة التي تستخدم هياكل مثل الشبكات العصبية التلافيفية (CNNs) ووحدات التكرار المغلقة (GRUs) لتعزيز قدرات الكشف. ومع ذلك، تكافح العديد من النماذج الحالية مع عدم توازن البيانات، وتفتقر إلى آليات الانتباه المدمجة، وغالبًا ما يتم تقييمها على مجموعات بيانات قديمة لا تعكس الظروف الواقعية. يعالج CST-AFNet المقترح هذه الفجوات من خلال دمج CNNs متعددة المقاييس، والنمذجة الزمنية ثنائية الاتجاه، وآليات الانتباه المزدوج، مما يظهر أداءً قويًا على مجموعة بيانات Edge-IIoTset، محققًا دقة تصل إلى 100% في التصنيف الثنائي و99.97% في التصنيف متعدد الفئات.
تلتقط بنية CST-AFNet الأنماط الزمانية المكانية في حركة مرور الشبكة بشكل فعال، مما يجعلها مناسبة للنشر في العالم الحقيقي. تعزز استراتيجية تدريب النموذج، التي تشمل معدلات تعلم تكيفية وإيقاف مبكر، من قوتها وقدراتها على التعميم. ستركز الأعمال المستقبلية على نشر CST-AFNet في بيئات الحوسبة الفيدرالية والطرفية لتحسين الخصوصية وقابلية التوسع، بالإضافة إلى دمج التعلم عبر الإنترنت وتقنيات الذكاء الاصطناعي القابل للتفسير للتكيف مع التهديدات المتطورة. بالإضافة إلى ذلك، سيكون من الضروري معالجة مرونة النموذج ضد الهجمات العدائية وتسمم البيانات لتطبيقه في الأنظمة الصناعية الحساسة للأمن.
DOI: https://doi.org/10.1016/j.array.2025.100501
Publication Date: 2025-08-29
Author(s): Waqas Ishtiaq et al.
Primary Topic: Network Security and Intrusion Detection
Overview
This research presents CST-AFNet, a novel dual attention-based deep learning model designed for intrusion detection in Internet of Things (IoT) and Industrial Internet of Things (IIoT) environments. The model utilizes multi-scale convolutional neural networks (CNNs), bidirectional gated recurrent units (BiGRU), and temporal-channel attention mechanisms to effectively capture spatiotemporal patterns from traffic data. Evaluated on the Edge-IIoTset dataset, CST-AFNet achieved remarkable performance, attaining 100% accuracy in binary classification and 99.97% in multiclass classification, with particularly strong results for minority classes. These outcomes underscore the model’s potential for real-world applications in IIoT security.
Looking ahead, the authors propose to investigate the deployment of CST-AFNet within federated and edge computing frameworks to bolster privacy and scalability. They also aim to incorporate online learning and explainable AI techniques to enhance the model’s adaptability to evolving threats and improve interpretability for security analysts. However, the current study did not assess the model’s resilience against adversarial attacks or data poisoning, which are critical considerations for security-sensitive industrial environments. Future research should focus on addressing these vulnerabilities through the integration of continual learning, adversarial robustness, and evaluations of real-time deployment efficacy.
Introduction
The introduction of this research paper addresses the critical issue of intrusion detection in Internet of Things (IoT) and Industrial Internet of Things (IIoT) environments, which are increasingly vulnerable to unauthorized access and cyberattacks due to their complex, heterogeneous nature and reliance on lightweight protocols. As these systems become integral to sectors such as manufacturing, healthcare, and transportation, the need for advanced security mechanisms that can adapt to the dynamic threat landscape is paramount. Traditional security solutions, designed for more static and resource-rich environments, are inadequate for the constraints and unique challenges posed by IoT/IIoT infrastructures, including limited processing power and real-time data handling.
To tackle these challenges, the authors propose a novel deep learning framework named CST-AFNet (Convolutional Spatio-Temporal Attention Fusion Network). This architecture combines multi-scale convolutional networks with a Bidirectional Gated Recurrent Unit (BiGRU) and a dual attention mechanism to enhance the detection of both frequent and rare cyber threats. CST-AFNet is designed to automatically extract spatial features from diverse traffic patterns while capturing temporal dependencies, allowing it to effectively identify complex attack patterns. The model’s innovative use of attention mechanisms enables it to focus on the most informative time steps and critical features, thereby improving detection accuracy in resource-constrained, decentralized environments. This research aims to bridge existing gaps in intrusion detection methodologies, paving the way for practical deployment in real-world IoT applications and enhancing overall cybersecurity resilience.
Methods
The proposed methodology in this study comprises three main components aimed at enhancing the classification of both frequent and rare cyberattacks: (1) a multi-stage Convolutional Neural Network (CNN), (2) the integration of a Bidirectional Gated Recurrent Unit (Bi-GRU), and (3) the implementation of dual attention mechanisms for feature extraction. The multi-stage CNN model is designed to concatenate outputs from parallel Conv1D layers with varying kernel sizes (3, 5, and 7) to facilitate multi-scale feature extraction. This approach allows the model to detect fine-grained local patterns, mid-level features, and broader contextual information essential for identifying diverse intrusion types.
The architecture begins with three parallel Conv1D layers, which are subsequently concatenated, normalized, and regularized using dropout techniques. The Bi-GRU layer captures sequential patterns, while the dual attention mechanisms prioritize significant temporal and channel-wise features. The final classification is performed using dense and softmax layers, categorizing attacks into 15 distinct classes. This comprehensive methodology effectively enhances the model’s ability to detect and classify various cyber threats, leveraging both local and global feature representations.
Results
The results of the study demonstrate the effectiveness of the proposed CST-AFNet model for multiclass intrusion detection in Industrial Internet of Things (IIoT) environments. Implemented using TensorFlow/Keras, the model incorporates various layers, including Conv1D and GRU, alongside custom attention mechanisms. The model achieved an impressive overall accuracy of 99.97%, with macroaveraged precision, recall, and F1-scores exceeding 99.3% across multiple cyberattack categories, including DDoS_HTTP, DDoS_TCP, and MITM. Notably, while the model excelled in identifying most attack types, it exhibited relatively lower performance in the Fingerprinting class, indicating challenges in detecting subtle attacks.
The training process revealed rapid convergence, with both training and validation accuracies stabilizing above 99% after just a few epochs, suggesting effective learning and generalization. The model maintained strong performance metrics, achieving 100% precision, recall, and F1-score in binary classification tasks, confirming its reliability in distinguishing between normal and attack traffic. Despite the model’s complexity and computational demands due to its deep architecture and attention mechanisms, the results indicate its robustness and precision in handling diverse and imbalanced IIoT traffic scenarios, outperforming existing methods for intrusion detection.
Discussion
The discussion highlights the evolution of Intrusion Detection Systems (IDS) for IoT and IIoT networks, emphasizing the limitations of traditional signature-based methods in detecting novel attacks. Machine learning (ML) and deep learning (DL) approaches have emerged as effective alternatives, with recent advancements utilizing architectures such as Convolutional Neural Networks (CNNs) and Gated Recurrent Units (GRUs) to enhance detection capabilities. However, many existing models struggle with data imbalance, lack integrated attention mechanisms, and are often evaluated on outdated datasets that do not reflect real-world conditions. The proposed CST-AFNet addresses these gaps by incorporating multi-scale CNNs, bidirectional temporal modeling, and dual attention mechanisms, demonstrating robust performance on the Edge-IIoTset dataset, achieving up to 100% accuracy in binary classification and 99.97% in multiclass classification.
The CST-AFNet architecture effectively captures spatiotemporal patterns in network traffic, making it suitable for real-world deployment. The model’s training strategy, which includes adaptive learning rates and early stopping, further enhances its robustness and generalization capabilities. Future work will focus on deploying CST-AFNet in federated and edge computing environments to improve privacy and scalability, as well as integrating online learning and explainable AI techniques to adapt to evolving threats. Additionally, addressing the model’s resilience against adversarial attacks and data poisoning will be crucial for its application in security-critical industrial systems.