Neurosymbolic Learning for Advanced Persistent Threat Detection under Extreme Class Imbalance

Dieser Artikel stellt eine neurosymbolische Architektur vor, die einen optimierten BERT-Modellansatz mit Logik-Tensor-Netzwerken kombiniert, um unter Berücksichtigung extremer Klassenungleichgewichte und der Notwendigkeit von Erklärbarkeit Advanced Persistent Threats in drahtlosen IoT-Netzwerken effektiv zu erkennen.

Das Wesentliche

Stellen Sie sich vor, Sie sind der Sicherheitschef einer riesigen, modernen Smart City. Tausende von Geräten – von intelligenten Thermostaten bis hin zu Überwachungskameras – sind miteinander vernetzt. Das ist großartig, aber es gibt ein Problem: Kriminelle (die sogenannten „Advanced Persistent Threats" oder APTs) schleichen sich wie unsichtbare Spione unter den normalen Datenverkehr.

Das größte Dilemma ist dabei: Die Nadel im Heuhaufen.
Von 100 Nachrichten sind 98 völlig harmlos (normale Nutzer, die Kaffee bestellen oder die Temperatur regeln). Nur 2 sind bösartige Angriffe. Herkömmliche KI-Systeme sind wie ein müder Wachhund, der so oft „Wuff!" schreit, wenn er nur eine Katze sieht, dass er am Ende gar nicht mehr merkt, wenn ein echter Einbrecher kommt. Oder sie sind wie ein schwarzer Kasten: Sie sagen „Gefahr!", aber niemand weiß, warum.

Diese Forscher haben eine neue Lösung entwickelt, die sie „Neurosymbolisches Lernen" nennen. Hier ist, wie es funktioniert, einfach erklärt:

1. Der Detektiv und der Logik-Experte (Die zwei Köpfe)

Stellen Sie sich das neue System als ein Team aus zwei Spezialisten vor, die zusammenarbeiten:

• Der Detektiv (BERT): Das ist ein sehr schlauer KI-Modell, das wie ein erfahrener Privatdetektiv ist. Es hat Millionen von Fällen gelesen und erkennt Muster. Es schaut sich die Datenströme an und sagt: „Hey, diese Abfolge von Paketen sieht verdächtig aus, wie ein Spion, der sich langsam durchschlängelt."
• Der Logik-Experte (LTN): Das ist der zweite Partner, der wie ein strenger Richter oder ein Anwalt mit einem Gesetzestext ist. Er versteht nicht nur Muster, sondern auch die Regeln. Er fragt: „Ist die Datenmenge wirklich zu groß? Ist der Port, über den die Daten fließen, ungewöhnlich?"

Der Clou: Normalerweise arbeiten diese beiden getrennt. Hier lernen sie gemeinsam. Der Detektiv findet den Verdächtigen, und der Logik-Experte prüft sofort, ob die Beweise (die Daten) auch wirklich die Regeln eines Verbrechens erfüllen. Das macht das System nicht nur schlau, sondern auch ehrlich. Es kann Ihnen genau sagen: „Ich habe Alarm geschlagen, weil der Datenfluss zu schnell war UND der Port falsch war."

2. Die zweistufige Sicherheitskontrolle (Die Filter)

Da die meisten Daten harmlos sind, würde es den Detektiv verrückt machen, jeden einzelnen zu prüfen. Deshalb bauen die Forscher eine zweistufige Kontrolle ein:

• Stufe 1: Der grobe Sieb (Binäre Erkennung): Ein schneller Filter schaut nur: „Ist das hier harmlos oder gefährlich?" Er ignoriert die Details und filtert die 98% harmlosen Daten sofort heraus. Nur wenn er unsicher ist (Alarm!), geht es weiter.
• Stufe 2: Die feine Analyse (Kategorisierung): Wenn Stufe 1 Alarm schlägt, schaut sich der Logik-Experte genau an, was genau los ist. Ist es ein Einbruch? Ist es Datenklau? Ist es ein Versuch, sich im Netzwerk umzusehen?

Das ist wie ein Flughafen: Zuerst scannt man alle Gepäckstücke grob. Nur wenn der Scanner piept, öffnet man den Koffer und schaut genau hin. Das spart Zeit und verhindert, dass man bei jedem harmlosen Socken Alarm schlägt.

3. Das Problem der seltenen Angriffe (Die Nadel im Heuhaufen)

Das größte Problem bei solchen Angriffen ist, dass sie so selten sind. Wenn man einem KI-Modell nur 100 Beispiele von Diebstahl und 10.000 Beispiele von harmlosen Daten gibt, lernt die KI oft nur: „Sag immer 'Harmlos', dann hast du recht."

Die Forscher haben eine clevere Strategie angewendet:

• Sie haben dem System gesagt: „Wenn du einen Diebstahl übersiehst, ist das viel schlimmer als wenn du fälschlicherweise einen harmlosen Socken verdächtigst."
• Sie haben das Training so gesteuert, dass das System besonders auf die seltenen, schwierigen Fälle achtet, statt nur auf die leichten.

4. Warum das Ergebnis so wichtig ist

Das Ergebnis dieses Systems ist beeindruckend:

• Es schlägt fast nie falsch: Von 1000 Alarmen sind nur 1 oder 2 falsch. Das ist entscheidend, damit die Sicherheitsleute nicht von falschen Alarmen erschöpft werden („Alert Fatigue").
• Es ist erklärbar: Wenn das System Alarm schlägt, kann es wie ein menschlicher Detektiv sagen: „Hier sind die drei Beweise, die mich dazu gebracht haben." Das ist wie ein schwarzer Kasten, der plötzlich ein Fenster hat.
• Es funktioniert in der echten Welt: Es wurde mit echten Daten aus IoT-Netzwerken getestet und hat gezeigt, dass es auch bei extremen Ungleichgewichten (98% harmlos, 2% böse) funktioniert.

Zusammenfassend:
Die Forscher haben ein Sicherheits-System gebaut, das nicht nur extrem gut darin ist, die winzigen, versteckten Angriffe in einem Meer von Daten zu finden, sondern das auch versteht, warum es das tut. Es ist wie ein Wachhund, der nicht nur bellt, sondern Ihnen auch genau beschreiben kann, warum er den Einbrecher erkannt hat – und das, obwohl er nur selten einen Einbrecher zu sehen bekommt. Das macht es perfekt für die sichere Zukunft unserer vernetzten Welt.

Technische Zusammenfassung

1. Problemstellung

Die zunehmende Verbreitung von Internet-of-Things (IoT)-Geräten in Smart Cities und industriellen Umgebungen erweitert die Angriffsfläche für Advanced Persistent Threats (APTs). Diese Angriffe sind besonders heimtückisch, da sie in mehreren Stadien (z. B. Initialer Kompromittierung, Aufklärung, laterale Bewegung, Datenexfiltration) ablaufen und sich oft in legitimen Datenverkehr tarnen.

Die Detektion von APTs in drahtlosen IoT-Netzwerken steht vor zwei Hauptproblemen:

• Extreme Klassenungleichgewichte (Class Imbalance): Der Datenverkehr besteht zu ca. 98,35 % aus normalem Verkehr, während Angriffsbeispiele extrem selten sind. Herkömmliche Deep-Learning-Ansätze scheitern oft daran, diese seltenen Klassen zu erkennen, da sie auf Gesamtgenauigkeit optimiert sind.
• Mangelnde Erklärbarkeit (Explainability): Bestehende IDS-Lösungen (Intrusion Detection Systems) basieren oft auf „Black-Box"-Modellen (z. B. reine CNNs oder LSTMs). Analysten können die Entscheidungsfindung nicht nachvollziehen, was eine autonome Bereitstellung ohne menschliche Aufsicht unmöglich macht. Zudem generieren viele Methoden synthetische Daten (z. B. SMOTE), die echte Angriffsmuster verzerren können.

2. Methodik: Neurosymbolische Architektur (BERT + LTN)

Das Paper schlägt einen hybriden Ansatz vor, der neuronale Mustererkennung mit symbolischer logischer Reasoning kombiniert. Die Architektur besteht aus folgenden Komponenten:

• Datenvorverarbeitung:

  • Verwendung des SCVIC-APT2021-Datensatzes (über 315.000 Einträge, 98,35 % normaler Verkehr).
  • Reduktion von 84 auf 12 hochdiskriminierende Merkmale (z. B. Paketgrößen, Inter-arrival times, TCP-Flags) durch konsensbasierte Feature-Selektion.
  • Transformation der tabellarischen Netzwerkdaten in sequenzielle Token, die für BERT verarbeitbar sind, unter Beibehaltung der semantischen Bedeutung der Features.

• Neuronaler Pfad (BERT):

  • Ein angepasstes BERT-Modell (bert-base-uncased) verarbeitet die 12 Features als Token-Sequenz (inkl. [CLS] und [SEP] Tokens).
  • Aufgabe: Mustererkennung und Kontextualisierung komplexer Interaktionen zwischen Netzwerkflüssen.
  • Erklärbarkeit: Die Attention-Weights von BERT zeigen, welche Features für eine Vorhersage am wichtigsten sind (Feature Attribution).

• Symbolischer Pfad (Logic Tensor Networks - LTN):

  • Ein paralleler Pfad nutzt LTNs, um logische Prädikate zu lernen, die domänenspezifische Konzepte abbilden (z. B. „große Datenübertragung", „ungewöhnliche Port-Aktivität").
  • Mechanismus: Jedes Prädikat wird durch ein kleines MLP (Multi-Layer Perceptron) mit einer Sigmoid-Ausgabe realisiert, das einen „Erfüllungsgrad" (Satisfaction Degree) zwischen 0 und 1 ausgibt.
  • Attention-Mechanismus: Lernbare Gewichte bestimmen, welche Eingabe-Features für jedes Prädikat relevant sind.
  • Erklärbarkeit: Die Ausgabe ist direkt interpretierbar als logische Bedingung, die erfüllt ist oder nicht.

• Hierarchische Klassifizierung (Zwei-Stufen-Ansatz):

  • Stufe 1 (Binäre Detektion): Unterscheidung zwischen „Normal" und „Angriff". Dies löst das extreme Ungleichgewicht (98:2), indem nur verdächtige Flüge weiterverarbeitet werden. Hier wird Focal Loss verwendet, um schwer zu klassifizierende Beispiele zu gewichten.
  • Stufe 2 (APT-Kategorisierung): Nur für als Angriff markierte Flüge erfolgt die Klassifizierung in die 5 APT-Stadien. Da hier nur Angriffsdaten vorliegen, ist das Ungleichgewicht weniger extrem.

• Multi-Objective Training:

  • Die Verlustfunktion kombiniert drei Komponenten: Focal Loss für Stufe 1, gewichteten Cross-Entropy-Loss für Stufe 2 und einen Konsistenz-Loss, der sicherstellt, dass die LTN-Logik mit der tatsächlichen Detektion übereinstimmt.

3. Wichtige Beiträge

1. Erster neurosymbolischer Transformer-Ansatz für IoT-IDS: Integration von BERT und LTN während des Trainings, um Erklärbarkeit intrinsisch (nicht nachträglich wie bei SHAP/LIME) zu gewährleisten.
2. Architektonische Lösung für Klassenungleichgewicht: Ein zweistufiger Ansatz, der synthetische Daten (SMOTE) vermeidet und stattdessen die Problemstruktur nutzt, um das Ungleichgewicht zu adressieren.
3. Statistisch validierte Erklärbarkeit: Der Nachweis, dass die vom Modell gelernten Erklärungen auf echten, signifikanten Unterschieden zwischen Angriff und normalem Verkehr basieren (75 % der Features zeigen signifikante Unterschiede).

4. Ergebnisse

Die Evaluation erfolgte auf dem SCVIC-APT2021-Datensatz mit einem zurückgehaltenen Testset:

• Binäre Detektion (Angriff vs. Normal):
  • F1-Score: 95,27 %
  • False Positive Rate (FPR): 0,14 % (kritisch für autonome Systeme, um Alarmmüdigkeit zu vermeiden).
  • Gewichteter F1-Score: 99,70 %.
• Multiklassen-Klassifizierung (APT-Stadien):
  • Macro F1-Score: 76,75 %.
  • Die Leistung variiert je nach Angriffsart; „Data Exfiltration" ist am schwierigsten zu erkennen (F1: 40,86 %), da diese Angriffe sehr selten und leise sind.
• Vergleich mit Baselines:
  • Der neurosymbolische Ansatz (0,76 Macro F1) übertrifft reine BERT-Modelle (0,39) und andere Baselines signifikant.
  • Obwohl die reine Genauigkeit bei Multiklassen-Lösungen (wie ACM/PKI) leicht höher sein kann, bietet das vorgeschlagene Modell die entscheidenden Vorteile der Interpretierbarkeit und Operationellen Zuverlässigkeit (niedrige FPR).

5. Bedeutung und Fazit

Das Paper demonstriert, dass neurosymbolisches Lernen eine vielversprechende Richtung für die IoT-Sicherheit ist. Es löst das Dilemma zwischen hoher Leistung und Transparenz.

• Vertrauenswürdigkeit: Durch die statistische Validierung der Attention-Weights und logischen Prädikate können Sicherheitsanalysten den Entscheidungen des Systems vertrauen.
• Praxistauglichkeit: Der extrem niedrige False-Positive-Rate macht das System für den Einsatz in autonomen IoT-Umgebungen (z. B. Smart Cities, kritische Infrastruktur) geeignet, wo menschliche Überprüfung nicht immer möglich ist.
• Zukunftsperspektive: Die aktuelle Architektur (110M Parameter) ist für Gateways oder Monitoring-Server ausgelegt. Zukünftige Arbeiten werden sich auf Modell-Distillation zur Reduzierung des Rechenaufwands konzentrieren.

Zusammenfassend bietet dieses Framework einen robusten, erklärbaren und hocheffizienten Weg zur Erkennung komplexer APTs in stark unausgewogenen IoT-Datenströmen.