Enhancing Adversarial Robustness in Network Intrusion Detection: A Layer-wise Adaptive Regularization Approach

技术摘要：通过 LARAR 增强网络入侵检测的对抗鲁棒性

问题陈述
基于深度学习的网络入侵检测系统（NIDS）日益容易受到对抗攻击的影响，即输入数据的微小扰动会导致分类错误。尽管最先进的对抗训练方法已提高了鲁棒性，但它们存在显著局限性：它们将神经网络视为“黑盒”，对所有层应用统一的正则化，而未能理解对抗扰动如何通过特定隐藏层传播或放大。这种缺乏逐层洞察力的情况阻碍了针对性防御策略的实施，导致资源分配低效，且无法解释网络的哪些部分最容易受到攻击。此外，现有方法往往无法在推理过程的早期检测到对抗样本。

方法论：LARAR 框架
本文提出了LARAR（基于自适应正则化的逐层对抗鲁棒性），这是一个旨在扩展传统对抗训练的框架，包含三项核心创新：

1. 层脆弱性评分（LVS）指标：
   作者引入了一种量化指标，用于衡量每个隐藏层对对抗攻击的敏感度。LVS 计算为给定层 $l$ 的干净激活值与对抗激活值之间的归一化差异：
   $$LVS(l) = \frac{1}{B} \sum_{i=1}^{B} \frac{\|h^{(l)}(x_{adv}^i) - h^{(l)}(x_i)\|_2}{\|h^{(l)}(x_i)\|_2 + \epsilon_{small}}$$
   该指标识别出哪些层放大了扰动，从而提供了对抗噪声内部流动的可解释性。

2. 自适应逐层正则化：
   与传统方法应用统一惩罚不同，LARAR 采用复合损失函数，其中包含一个可学习的、特定于层的正则化项。总损失（$L_{total}$）结合了交叉熵损失（$L_{CE}$）、辅助损失（$L_{aux}$）、梯度对齐损失（$L_{GA}$）、特征平滑损失（$L_{FS}$）以及自适应 LVS 项：
   $$L_{total} = L_{CE} + \lambda_{aux}L_{aux} + \lambda_{GA}L_{GA} + \lambda_{FS}L_{FS} + \beta \sum_{l=1}^{L} w^{(l)} \cdot LVS^{(l)}$$
   权重 $w^{(l)}$ 是通过梯度下降更新的可学习参数。这使得模型能够自动为经验脆弱性较高（高 LVS）的层分配更强的正则化，并为鲁棒的层减少正则化。

3. 多级监督与早期检测：
   该框架在中间隐藏层集成了辅助分类器（单层线性层），以提供多级监督，从而在最终输出之前加强特征表示。此外，系统基于干净验证数据的 LVS 值的均值和标准差建立了统计检测阈值（$\tau^{(l)}$）。如果输入在任意层的 LVS 超过其阈值，则该样本被标记为对抗样本，从而实现在最终分类层之前提前退出和检测。

实验设置
该框架在UNSW-NB15数据集上进行了评估，这是一个包含 82,332 个样本和 42 个特征的网络入侵检测基准。基线模型由一个具有 ReLU 激活和批量归一化的两层 MLP（128 和 64 维）组成。作者将 LARAR 与标准 Vanilla NN 以及 Base ADVNN（一种没有逐层分析的最先进对抗训练方法）进行了比较。评估内容包括干净准确率以及针对快速梯度符号法（FGSM）、投影梯度下降（PGD）和迁移攻击的鲁棒性。

关键结果

• 鲁棒性提升： LARAR 实现了**95.01%**的干净准确率。在对抗条件下，与 Base ADVNN 相比，它表现出显著改进：
  • FGSM： 准确率为 31.45%（Base ADVNN 为 27.00%），提升了16.4%。
  • PGD： 准确率为 33.18%（Base ADVNN 为 28.70%），提升了15.6%。
  • 迁移攻击： 准确率为 42.51%（Base ADVNN 为 38.29%），提升了11.02%。
• 攻击成功率（ASR）： 与 Base ADVNN 相比，LARAR 在所有攻击类型上将攻击成功率降低了约 4.2% 至 4.4%。
• 层分析： LVS 指标显示，第一个隐藏层始终比第二个层更脆弱。自适应权重成功收敛，为更脆弱的层分配了更高的正则化压力，验证了该机制能够优先分配防御资源。
• 效率： 虽然由于 LVS 计算和辅助损失，LARAR 的训练时间比 Base ADVNN 增加了**18%**的计算开销，但在正常操作期间保持了相同的推理时间（0.8 毫秒）。启用早期检测后，对于确信分类的样本，推理时间可减少 25%。

意义与主张
本文声称，LARAR 通过提供可解释的、逐层的脆弱性评分，解决了当前对抗防御的“黑盒”局限性。这种粒度允许：

1. 针对性防御： 将计算资源专门分配给最脆弱的层，而不是应用统一正则化。
2. 早期检测： 在中间层识别对抗样本，可能降低推理过程中的延迟和计算负载。
3. 设计洞察： 为安全从业者提供可操作的数据，以理解扰动如何传播，表明早期阶段的特征提取器需要特定的强化。

作者总结道，虽然 LARAR 带来了适度的训练开销，但鲁棒性的显著提升和防御机制可解释性的增强证明了这种权衡是合理的。这项工作将 LARAR 定位为迈向 NIDS 中更原则化、更透明且更高效的对抗防御的一步。