31、利用联合学习检测物联网中的隐形攻击

利用联合学习检测物联网中的隐形攻击

在物联网（IoT）环境中，隐形攻击的检测是一项具有挑战性的任务。传统的检测方法可能难以应对那些伪装成正常系统程序的恶意软件和高级持续威胁（APT）。为了解决这些问题，一种名为ProvIoT的系统被提出，它通过联合学习的方式，利用因果路径和自动编码器模型来检测物联网中的隐形攻击。

1. 系统架构与工作原理

• 图构建与路径选择 ：
• 对于每个目标程序，本地大脑（Local Brain）会根据数据收集模块收集的系统事件生成溯源图（provenance graphs）。
• 通过一系列随机游走从溯源图中提取因果路径。考虑到计算效率和检测准确性，选择最稀有的15%的因果路径进行后续分析。
• 因果路径的稀有性通过频率数据库计算。事件的规律性计算公式为 (R(e = (u, v, r)) = \frac{\vert F req(u,v,r)\vert}{\vert F req(u,*,r)\vert})，因果路径的规律性为 (R(P = (e_1, e_2, …, e_n)) = \prod_{e\in P} R(e) \cdot \alpha)，其中 (\alpha) 是一个校正因子，用于防止长路径的规律性趋于零。路径的稀有性则是其规律性的补集，即 (1 - R(P))。
• 为了避免使用整个溯源图带来的大量良性噪声和过高的计算开销，使用频率数据库提取稀有因果路径。
• 文档嵌入模型 ：
• 提取的因果路径需要进行向量化处理，以便本地检测模型进行处理。