A-THENA: Early Intrusion Detection for IoT with Time-Aware Hybrid Encoding and Network-Specific Augmentation

Probleemstelling

De snelle groei van het Internet of Things (IoT) heeft de aanvalsvlakken voor cyberdreigingen aanzienlijk vergroot. IoT-apparaten opereren vaak onder strenge resource-beperkingen (beperkte rekenkracht, geheugen en energie), wat ze kwetsbaar maakt voor geavanceerde aanvallen zoals DDoS, malware en man-in-the-middle-aanvallen.
Bestaande Intrusion Detection Systems (IDS) hebben twee belangrijke tekortkomingen:

1. Late detectie: Veel systemen wachten tot een volledige sessie is voltooid om statistische kenmerken te berekenen, wat leidt tot vertraging in de reactietijd.
2. Verlies van tijdsinformatie: Traditionele Deep Learning-modellen (zoals Transformers) gebruiken vaak discrete posities (0, 1, 2...) om pakketten te ordenen. Dit negeert de werkelijke aankomsttijden (timestamps) van pakketten. In netwerkverkeer zijn de tijdsintervallen tussen pakketten echter cruciaal; bijvoorbeeld, een brute-force-aanval heeft vaak zeer korte intervallen, terwijl normaal verkeer wisselende intervallen heeft. Het negeren hiervan leidt tot "temporele aliasing" en minder accurate detectie.

Methodologie: A-THENA

A-THENA is een lichtgewicht, end-to-end Early Intrusion Detection System (EIDS) dat direct werkt op ruwe packetbytes in plaats van vooraf geëxtraheerde statistische kenmerken. De architectuur is gebaseerd op een Transformer en omvat de volgende kerncomponenten:

1. Time-Aware Hybrid Encoding (THE):

   • In plaats van discrete indices, vervangt A-THENA de posities door continue tijdstempels ($t$).
   • Het systeem implementeert drie varianten van tijdsbewuste codering: TA Sinusoidal, TA Fourier en TA Rotary Positional Encoding (RoPE).
   • Een dynamisch selectiemechanisme kiest tijdens de validatie de beste codering voor een specifieke dataset, waardoor het systeem zich aanpast aan de unieke tijdsdynamiek van verschillende netwerken.

2. Network-Specific Augmentation (NA):

   • Om data-ongelijkheid en gebrek aan data op te lossen, gebruikt het systeem een hybride versterkingspipeline:
     • Offline: Dynamische generatie van subflows (korte pakketsequenties) en hybride oversampling om klassenbalans te creëren.
     • Online: Tijdens het trainen worden pakketten verstoord via technieken zoals Jitter Injection (variatie in tijdstempels), Traffic Scaling, Packet Drop, Packet Insertion en Noise Injection. Dit verbetert de robuustheid tegen variaties in netwerkcondities.

3. Early Detection Loss (EDL):

   • Een aangepaste verliesfunctie die zwaardere straffen oplegt voor fouten in korte flows (weinig pakketten). Dit dwingt het model om nauwkeurige voorspellingen te doen op basis van slechts een klein aantal pakketten, in plaats van te wachten op volledige sessies.

4. Lichtgewicht Architectuur:

   • Het model is geoptimaliseerd voor edge-apparaten met slechts één Transformer-blok, een kleine verborgen dimensie en een maximaal aantal pakketten van 30.

Belangrijkste Bijdragen

• Unificatie van Tijd en Vroege Detectie: A-THENA is het eerste systeem dat tijdsbewuste codering (vervanging van indices door timestamps) combineert met een doelbewuste optimalisatie voor vroege detectie in een lichtgewicht Transformer-architectuur.
• Hybride Coderingsframework: In plaats van één codering te forceren, selecteert het systeem dynamisch de beste tijdsrepresentatie (Sinusoidal, Fourier of RoPE) per scenario.
• Robuuste Data-Augmentatie: Introductie van een specifieke augmentatiepijplijn voor ruwe netwerkverkeer die zowel pakketinhoud als tijdsdynamiek verstoort, wat ontbreekt in bestaande methoden die zich richten op tabulaire data.
• Edge-Deployability: Het systeem is succesvol gedemonstreerd op een Raspberry Pi Zero 2 W, wat bewijst dat het geschikt is voor resource-beperkte IoT-omgevingen.

Resultaten

A-THENA werd geëvalueerd op drie benchmark datasets: CICIoT23-WEB, MQTT-IoT-IDS2020 en IoTID20.

• Prestatieverbetering:
  • Gemiddeld 6,88% hogere nauwkeurigheid dan de beste traditionele positi-codering.
  • 3,69% hoger dan de sterkste op kenmerken gebaseerde machine learning-modellen.
  • 6,17% hoger dan leidende alternatieven voor tijdsbewuste codering.
  • Bereikte 100% nauwkeurigheid op CICIoT23-WEB en MQTT-IoT-IDS2020, en 93,83% op IoTID20.
• Vroege Detectie:
  • Het systeem kan dreigingen vaak al detecteren op basis van 1 enkel pakket (op twee van de drie datasets), terwijl traditionele methoden vaak wachten tot 30 pakketten zijn verwerkt.
  • Valse alarmen (FAR) en valse negatieven (FNR) zijn nagenoeg nihil (0% op twee datasets).
• Efficiëntie:
  • Inferentie-tijd: ~1,42 ms voor een flow van 30 pakketten op een Raspberry Pi Zero 2 W.
  • Geheugengebruik: Slechts 3,25 MB RAM en een modelgrootte van ~40 KB.
  • Dit is ongeveer 480 keer sneller dan traditionele pipelines die eerst statistische kenmerken moeten extraheren (wat ~664 ms kost).

Betekenis en Conclusie

A-THENA markeert een doorbraak in IoT-beveiliging door te bewijzen dat het mogelijk is om zeer accurate, vroege detectie van aanvallen uit te voeren op uiterst beperkte hardware. Door de tijdsdynamiek van netwerkverkeer direct te modelleren in plaats van te vertrouwen op statische statistieken, overtreft het systeem zowel traditionele machine learning-methoden als geavanceerde deep learning-architecturen.

De studie onderstreept dat het negeren van tijdsintervallen in netwerkverkeer een fundamentele beperking is voor bestaande IDS-oplossingen. A-THENA biedt een praktische, schaalbare en real-time oplossing die de betrouwbaarheid van IoT-netwerken kan vergroten zonder de prestaties van de apparaten te beïnvloeden. De openbare beschikbaarheid van de code en het succes op edge-apparaten maken het een sterke kandidaat voor implementatie in echte IoT-ecosystemen.