Enhancing Adversarial Robustness in Network Intrusion Detection: A Layer-wise Adaptive Regularization Approach

Technische Samenvatting: Verbetering van Adversariële Robuustheid in Netwerkintrusiedetectie via LARAR

Probleemstelling
Netwerkintrusiedetectiesystemen (NIDS) op basis van deep learning worden steeds kwetsbaarder voor adversariële aanvallen, waarbij onwaarneembare perturbaties in invoergegevens leiden tot verkeerde classificatie. Hoewel state-of-the-art adversariële trainingsmethoden de robuustheid hebben verbeterd, kampen ze met aanzienlijke beperkingen: ze behandelen neurale netwerken als "zwarte dozen" en passen uniforme regularisatie toe op alle lagen zonder te begrijpen hoe adversariële perturbaties zich door specifieke verborgen lagen voortplanten of versterken. Dit gebrek aan inzicht op lagniveau verhindert gerichte verdedigingsstrategieën, wat leidt tot inefficiënte toewijzing van middelen en een gebrek aan interpreteerbaarheid met betrekking tot welke delen van het netwerk het meest vatbaar zijn voor aanvallen. Bovendien falen bestaande methoden vaak om adversariële voorbeelden vroeg in het inferentieproces te detecteren.

Methodologie: Het LARAR-kader
Het artikel stelt LARAR (Layer-wise Adversarial Robustness using Adaptive Regularization) voor, een kader dat is ontworpen om conventionele adversariële training uit te breiden met drie kerninnovaties:

1. Layer Vulnerability Score (LVS) Metric:
   De auteurs introduceren een gekwantificeerde metric om de gevoeligheid van elke verborgen laag voor adversariële aanvallen te meten. LVS wordt berekend als het genormaliseerde verschil tussen schone en adversariële activaties voor een gegeven laag $l$:
   $$LVS(l) = \frac{1}{B} \sum_{i=1}^{B} \frac{\|h^{(l)}(x_{adv}^i) - h^{(l)}(x_i)\|_2}{\|h^{(l)}(x_i)\|_2 + \epsilon_{small}}$$
   Deze metric identificeert welke lagen perturbaties versterken en biedt interpreteerbaarheid van de interne stroom van adversariële ruis.

2. Adaptieve Lagen-specifieke Regularisatie:
   In tegenstelling tot traditionele benaderingen die uniforme straffen toepassen, maakt LARAR gebruik van een samengestelde verliesfunctie die een leerbare, lagen-specifieke regularisatieterm bevat. Het totale verlies ($L_{total}$) combineert Cross-Entropy Loss ($L_{CE}$), Auxiliary Loss ($L_{aux}$), Gradient Alignment Loss ($L_{GA}$), Feature Smoothing Loss ($L_{FS}$) en de adaptieve LVS-term:
   $$L_{total} = L_{CE} + \lambda_{aux}L_{aux} + \lambda_{GA}L_{GA} + \lambda_{FS}L_{FS} + \beta \sum_{l=1}^{L} w^{(l)} \cdot LVS^{(l)}$$
   De gewichten $w^{(l)}$ zijn leerbare parameters die worden bijgewerkt via gradient descent. Dit stelt het model in staat om automatisch sterkere regularisatie toe te wijzen aan lagen met een hogere empirische kwetsbaarheid (hoge LVS) en deze te verminderen voor robuuste lagen.

3. Multi-level Supervisie en Vroege Detectie:
   Het kader integreert Auxiliary Classifiers (enkele lineaire lagen) op intermediaire verborgen lagen om multi-level supervisie te bieden, waardoor feature-representaties worden versterkt voordat de uiteindelijke output wordt gegenereerd. Bovendien stelt het systeem statistische detectiedrempels ($\tau^{(l)}$) in op basis van het gemiddelde en de standaardafwijking van LVS-waarden van schone validatiegegevens. Als de LVS van een invoer op een willekeurige laag zijn drempel overschrijdt, wordt het voorbeeld gemarkeerd als adversariëel, wat een vroege exit en detectie mogelijk maakt voordat de laatste classificatielaag wordt bereikt.

Experimentele Opstelling
Het kader werd geëvalueerd op de UNSW-NB15-dataset, een benchmark voor netwerkintrusiedetectie met 82.332 voorbeelden en 42 kenmerken. Het basismodel bestond uit een twee-laags MLP (dimensies 128 en 64) met ReLU-activaties en batch-normalisatie. De auteurs vergeleken LARAR met een standaard Vanilla NN en een Base ADVNN (een state-of-the-art adversariële trainingsmethode zonder lagen-specifieke analyse). De evaluatie omvatte schone nauwkeurigheid en robuustheid tegen Fast Gradient Sign Method (FGSM), Projected Gradient Descent (PGD) en transfer-aanvallen.

Belangrijkste Resultaten

• Verbetering van Robuustheid: LARAR behaalde een schone nauwkeurigheid van 95,01%. Onder adversariële omstandigheden toonde het aanzienlijke verbeteringen ten opzichte van de Base ADVNN:
  • FGSM: 31,45% nauwkeurigheid (vs. 27,00% voor Base ADVNN), een verbetering van 16,4%.
  • PGD: 33,18% nauwkeurigheid (vs. 28,70% voor Base ADVNN), een verbetering van 15,6%.
  • Transfer-aanvallen: 42,51% nauwkeurigheid (vs. 38,29% voor Base ADVNN), een verbetering van 11,02%.
• Aanvalsuccespercentage (ASR): LARAR verlaagde het succespercentage van aanvallen met ongeveer 4,2% tot 4,4% ten opzichte van de Base ADVNN over alle aanvalstypen heen.
• Lagenanalyse: De LVS-metric onthulde dat de eerste verborgen laag consequent kwetsbaarder was dan de tweede. De adaptieve gewichten convergelden succesvol om hogere regularisatiedruk toe te wijzen aan de kwetsbaardere laag, wat de mogelijkheid van het mechanisme valideert om verdedigingsmiddelen te prioriteren.
• Efficiëntie: Hoewel LARAR een rekenkundige overhead van 18% in de trainingstijd introduceerde ten opzichte van Base ADVNN (door LVS-berekening en auxiliary losses), behield het dezelfde inferentiële tijd (0,8 ms) tijdens normale operatie. Met ingeschakelde vroege detectie kon de inferentiële tijd met 25% worden verkort voor voorbeelden die met vertrouwen werden geclassificeerd.

Betekenis en Claims
Het artikel stelt dat LARAR de "zwarte doos"-beperking van huidige adversariële verdedigingen aanpakt door interpreteerbare, lagen-specifieke kwetsbaarheidsscores te bieden. Deze granulariteit maakt het mogelijk:

1. Gerichte Verdediging: Rekenkracht specifiek toe te wijzen aan de meest kwetsbare lagen in plaats van uniforme regularisatie toe te passen.
2. Vroege Detectie: Adversariële voorbeelden te identificeren op intermediaire lagen, wat mogelijk de latentie en de rekenlast tijdens inferentie verlaagt.
3. Ontwerpinzicht: Actieerbare data te bieden voor beveiligingspraktici om te begrijpen hoe perturbaties zich voortplanten, wat suggereert dat feature-extractors in een vroeg stadium specifieke hardening vereisen.

De auteurs concluderen dat hoewel LARAR een bescheiden overhead in training met zich meebrengt, de afweging gerechtvaardigd is door de aanzienlijke winst in robuustheid en de verbeterde interpreteerbaarheid van het verdedigingsmechanisme. Het werk positioneert LARAR als een stap naar meer principiële, transparante en efficiënte adversariële verdediging in NIDS.