Автоматизированное обнаружение сетевых атак в IoT-системах на основе LightGBM

Abstract

Рассмотрена задача автоматизированного обнаружения сетевых атак в инфраструктуре Интернета вещей с использованием алгоритма LightGBM. Определены особенности IoT-трафика, влияющие на построение системы обнаружения вторжений: дисбаланс классов, разнородность устройств, ограниченность вычислительных ресурсов и изменение профиля атак во времени. Предложена последовательность обработки данных, включающая очистку сетевых потоков, кодирование категориальных признаков, стратифицированное разделение выборки, настройку LightGBM и оценивание по accuracy, precision, recall, F1-score и ROC-AUC. Показано, что листовой способ роста деревьев и методы Gradient-based One-Side Sampling и Exclusive Feature Bundling делают LightGBM перспективным для анализа многомерного IoT-трафика. Сформулированы требования к экспериментальной проверке, предотвращающие завышение качества модели из-за утечки данных и дисбаланса классов.