利用连体网络构建单次入侵检测模型

利用有监督机器学习（ML）增强入侵检测系统的研究已受到广泛关注。有监督 ML 基于示例学习，需要大量代表性实例进行有效训练，并且需要对每一个未见过的网络攻击类别重新训练模型。然而，就地重新训练模型会因获取足量数据所需的时间窗口而使网络易受攻击。尽管异常检测系统针对未见攻击提供了粗粒度防御，但这些方法的准确性明显较低且误报率较高。本文详述了一种称为“单次学习（One-Shot Learning）”的补充方法，即利用新攻击类别的有限示例来识别众多类别中的新攻击类别。该模型无需重新训练即可给出新的网络攻击分类。一个连体网络（Siamese Network）被训练为基于成对相似性而非特征来区分类别，从而能够识别新的和先前未见的攻击。使用三个数据集评估了预训练模型仅基于一个示例对攻击类别进行分类的性能。结果证实了该模型在分类未见攻击方面的适应性，以及性能与对区分性类别表示需求之间的权衡。