A Federated Graph-Based Intrusion Detection Framework for Unknown Attack Detection in Internet of Medical Things(IoMT)

将医疗物联网（IoMT）想象成一座繁忙、高科技的医院，其中一切都是互联互通的。从智能心率监测器、胰岛素泵到可穿戴健身追踪器，这些设备不断进行交谈，分享关键数据以确保患者安全。这就像是医疗保健领域的一个数字神经系统，使医生能够更快速、更精准地开展工作。但就像真实的神经系统可能被病毒劫持一样，这个数字网络也容易受到网络犯罪分子的攻击，他们企图窃取秘密或关闭维持生命的设备。

为了抓捕这些数字窃贼，安全专家使用“入侵检测系统”（IDS）。可以将 IDS 想象成一名超级聪明的保安，时刻监视着流经医院网络的流量。传统的保安通过核对曾经见过的黑名单来寻找已知的坏人。但当一个穿着伪装的新型未知罪犯出现时，会发生什么呢？旧的保安会感到困惑。此外，在真实的医院里，保安不能仅仅为了学习而查看每个人的私人医疗记录；那将构成严重的隐私侵犯。挑战在于，如何构建一个既足够聪明、能识别全新的未知攻击，又绝不会窥视患者私密数据的保安。

本论文介绍了一种名为“联邦图结构入侵检测框架”的巧妙新方案。它结合了三个强大的理念来解决隐私和“未知攻击”问题。首先，该系统不是将数据视为简单的列表，而是将其视为一个社交网络图，其中设备是“人”，它们的连接则是“友谊”。这有助于系统观察设备之间是如何相互作用的，从而更容易发现一组设备是否开始表现出异常的协同行为。其次，它使用了联邦学习，这就像一群学生在一起为考试做准备，却从不分享彼此真实的笔记本。每家医院都在其本地数据上训练自己的安全模型，并且只向一位“中央老师”分享他们学到的“教训”（数学更新），从而保护所有患者记录的隐私。最后，系统利用了被称为**图卷积网络（GCN）和图注意力网络（GAT）**的高级数学技术来分析这些社交图谱，帮助系统即使在从未见过某种特定攻击的情况下，也能识别出攻击的“形状”。

研究人员使用名为 CICIoMT2024 的大规模医疗网络流量数据集来训练该模型。为了测试它是否真的能应对未知情况，他们不仅仅是在相同的数据集上进行测试；他们还向模型投掷了一组来自另一个数据集 CIC-DIAD2024 的完全不同的攻击，专门针对模型在训练期间从未遇到过的“Mirai”攻击进行测试。结果令人印象深刻：在区分“正常”流量与“恶意”流量的简单测试中，该系统的准确率达到了 99.65%。当任务变得更难，需要将流量分为六种不同的攻击类别时，它仍然实现了 90.64% 的准确率。

论文明确反对仅依赖于像标准深度学习（CNN）这类将数据点视为孤立岛屿的旧方法，也反对要求将所有私人患者数据倾倒到单个服务器上的传统集中式学习。作者认为，他们的方法之所以更优越，是因为它在设计之初就保护了隐私，并且在应对新的、未见的威胁时具有更强的泛化能力。他们通过广泛的实验和跨数据集验证衡量了这些结果，证明了该方法具有鲁棒性。虽然该系统在这些测试中非常有效，但作者指出，未来的工作仍需探索它如何应对更加复杂的对抗性攻击以及不同的现实场景。最终，这一框架为保护未来互联医疗免受下一波网络威胁的影响，提供了一种极具前景且兼顾隐私保护的方式。