KAN-LSTM: Benchmarking Kolmogorov-Arnold Networks for Cyber Security Threat Detection in IoT Networks

إليك ملخص تقني مفصل لورقة البحث بعنوان: "KAN-LSTM: تقييم شبكات كولموغوروف-أرنولدت لأمن السيبراني في شبكات إنترنت الأشياء (IoT)."

1. بيان المشكلة

يواجه اكتشاف التهديدات السيبرانية في بيئات إنترنت الأشياء والشبكات تحديات كبيرة بسبب:

• تعقيد البيانات: تتضمن بيانات حركة مرور الشبكة علاقات مكانية وزمنية معقدة تجد النماذج التقليدية صعوبة في التقاطها في آن واحد.
• محدودية الشبكات العصبية متعددة الطبقات (MLPs): تستخدم هذه الشبكات دوال تنشيط ثابتة وأوزان خطية، مما يجعلها أقل كفاءة في تقريب الدوال غير الخطية المعقدة في البيانات عالية الأبعاد.
• القابلية للتوسع وعدم التوازن: غالبًا ما تعاني نماذج التعلم العميق الحالية (مثل CNN وLSTM) من عدم توازن مجموعات البيانات (أنواع الهجمات النادرة) ومن مشاكل القابلية للتوسع، مما يؤدي إلى ارتفاع معدلات الإنذارات الكاذبة أو تفويت عمليات الكشف.
• نقص التقييم المرجعي لشبكات KAN: على الرغم من أن شبكات كولموغوروف-أرنولدت (KANs) أظهرت نتائج واعدة في مجالات أخرى، إلا أن فعاليتها المحددة في الأمن السيبراني وكشف التسلل (IDS) لم يتم تقييمها أو وضع معيار مرجعي لها رسميًا.

2. المنهجية

يقترح المؤلفون بنية هجينة تسمى KAN-LSTM ويجرون دراسة تقييم شاملة.

أ. الأساس النظري: شبكات كولموغوروف-أرنولدت (KANs)

على عكس الشبكات العصبية التقليدية (MLPs) حيث يتم تعلم الأوزان وتكون دوال التنشيط ثابتة، تعتمد شبكات KAN على مبرهنة تمثيل كولموغوروف-أرنولدت.

• الآلية: تستبدل شبكات KAN دوال التنشيط الثابتة بـ دوال أحادية المتغير قابلة للتعلم (يتم تمثيلها كدوال B-spline) تقع على حواف الرسم البياني للشبكة.
• الميزة: يسمح هذا للشبكة بتعلم أنماط التنشيط ديناميكيًا، مما يوفر تقريبًا أفضل للدوال بعدد أقل من المعلمات وقابلية تفسير أعلى.

ب. البنية المقترحة: KAN-LSTM

يقترح النموذج بنية هجينة ثلاثية المراحل مصممة لالتقاط الميزات المكانية المحلية والاعتمادات الزمنية طويلة المدى:

1. طبقة الشبكة العصبية الالتفافية (CNN):
   • تُستخدم طبقتان من CNN لترميز الاعتمادات الميزات المحلية.
   • يتم تحويل بيانات المدخلات (تدفقات حركة المرور أحادية البعد) إلى تنسورات ثنائية الأبعاد للاستفادة من قدرات CNN في استخراج الأنماط المكانية.
2. طبقة الذاكرة الطويلة قصيرة المدى (LSTM):
   • تعالج طبقة واحدة من LSTM مخرجات الـ CNN لالتقاط الاعتمادات الزمنية والتسلسلية في حركة مرور الشبكة.
   • يعالج هذا مشكلة تلاشي التدرج (vanishing gradient) ويحتفظ بالنقاط الرئيسية المتعلمة عبر الزمن.
3. طبقة KAN:
   • يتم تغذية مخرجات الـ LSTM إلى طبقة KAN لنمذجة الخرائط غير الخطية عالية الأبعاد.
   • تقوم هذه المرحلة باستخراج الميزات التكيفي باستخدام دوال spline قابلة للتعلم لتصنيف حركة المرور.
4. المخرج: مصنف ثنائي باستخدام دالة فقدان التقاطع الثنائي (Binary Cross-Entropy - BCE).

ج. الإعداد التجريبي

• مجموعات البيانات: تستخدم الدراسة أربع مجموعات بيانات لضمان القوة والتنوع:
  1. UNSW-NB15: حركة مرور هجينة (حقيقية/محاكاة) (49 ميزة).
  2. NSL-KDD: نسخة محسنة من KDD Cup 99 (41 ميزة).
  3. CICIDS2017: حركة مرور واقعية مع هجمات متنوعة (80 ميزة).
  4. Tri-IDS (مساهمة جديدة): مجموعة بيانات ضخمة ومدمجة جديدة تدمج BOT-IoT و NSL-KDD و CICIDS2017 (120 ميزة، حوالي 76.5 مليون صف) لإنشاء معيار مرجعي متوازن وغير منحاز بأنماط حركة مرور متنوعة.
• النماذج المرجعية (Baselines): تمت مقارنة النموذج المقترح بكل من CNN، وLSTM، وMLP (بطبقتين و5 طبقات)، وKANs القياسية، وConvKAN.
• المقاييس: الدقة (Accuracy)، الدقة المحددة (Precision)، الاستدعاء (Recall)، ومقياس F1 (F1-Score).

3. المساهمات الرئيسية

1. أول تقييم مرجعي لـ KAN في الأمن السيبراني: تعد هذه أول دراسة تقيم بشكل منهجي شبكات KAN لكشف التسلل، مما يثبت تفوقها على الـ MLPs التقليدية من حيث الدقة وكفاءة المعلمات.
2. نموذج KAN-LSTM الهجين: تقديم بنية مبتكرة تجمع بين استخراج الميزات المكانية لـ CNN، ونمذجة الزمن لـ LSTM، وتقريب الدوال التكيفي لـ KAN.
3. مجموعة بيانات Tri-IDS: إنشاء وإطلاق مجموعة بيانات ضخمة ومدمجة (Tri-IDS) لمعالجة عدم توازن البيانات وتوفير معيار مرجعي صارم واسع النطاق للأبحاث المستقبلية.
4. تقييم شامل: اختبار واسع النطاق عبر أربع مجموعات بيانات مختلفة، مما يثبت قدرات التعميم للنموذج عبر أنماط حركة المرور وأنواع الهجمات المختلفة.

4. النتائج

تفوق نموذج KAN-LSTM باستمرار على جميع النماذج المرجعية (CNN، وLSTM، وMLP، وConvKAN، وKANs المستقلة) عبر جميع مجموعات البيانات الأربع.

• UNSW-NB15: حقق KAN-LSTM دقة بلغت 95.89%، متفوقًا على أقرب منافس (KANs(5) بنسبة 94.45%)، ومتفوقًا بشكل ملحوظ في الدقة المحددة (94.50%) ومقياس F1 (94.01%).
• NSL-KDD: حقق دقة 94.05% ومقياس F1 بلغ 94.35، مع دقة محددة ملحوطة بلغت 98.95%.
• CICIDS2017: أظهر أداءً استثنائيًا بدقة 99.28% ومقياس F1 بلغ 99.66، مما يمثل تحسنًا بنسبة 5% عن أقرب متغير له.
• Tri-IDS: في مجموعة البيانات الضخمة المدمجة، حقق KAN-LSTM دقة 93.76% ومقياس F1 بلغ 93.39، مما يثبت قوته ضد أنماط حركة المرور غير المتوازنة والمتنوعة للغاية.

ملاحظات رئيسية:

• تفوقت النماذج القائمة على KAN عمومًا على نماذج MLP وCNN التقليدية، خاصة في التعامل مع عدم توازن الفئات (ارتفاع الاستدعاء والدقة المحددة).
• نجحت بنية KAN-LSTM الهجينة في التخفيف من قيود المكونات الفردية، موازنةً بين ترميز العلاقات المحلية وغير المحلية.

5. الأهمية والخاتمة

• تحول في النموذج: تثبت الدراسة أن شبكات KAN هي بديل قابل للتطبيق ومتفوق للنماذج التقلالية للتعلم العميق في الأمن السيبراني، مما يوفر اتجاهًا جديدًا للنماذج الدفاعية التكيفية.
• الكفاءة: تحقق شبكات KAN دقة أعلى بعدد أقل بكثير من المعلمات القابلة للتعلم مقارنة بـ MLPs، مما يشير إلى إمكانية نشرها في بيئات إنترنت الأشياء محدودة الموارد.
• القوة: أظهر نموذج KAN-LSTM قدرة على الصمود أمام عدم توازن البيانات والانحياز، وهو مطلب حاسم لأنظمة كشف التسلل في العالم الحقيقي حيث تكون الهجمات أحداثًا نادرة.
• العمل المستقبلي: يقر المؤلفون بالقيود الحالية لشبكات KAN، مثل بطء سرعة المعالجة وتكاليف التدريب، ويدعون إلى إجراء المزيد من الأبحاث لتحسين القابلية للتوسع والكفاءة لتطبيقات الدفاع السيبراني في الوقت الفعلي.

باختصار، ترسي هذه الورقة البحثية KAN-LSTM كحل رائد لكشف تهديدات إنترنت الأشياء، مستفيدة من المزايا الرياضية لشبكات كولموغوروف-أرنولدت للتغلب على القيود الهيكلية للشبكات العصبية التقليدية في البيئات الأمنية المعقدة.