多阶段知识蒸馏 VGAE 和 GAT 的鲁棒控制器区域网络入侵检测.pdfVIP

多阶段知识蒸馏VGAE和GAT的鲁棒控制器区域网络入侵检测

RobertFrenken,SidraGhayourBhatti,HanqinZhang,QadeerAhmed

TheOhioStateUniversity,Columbus,OH,USA

{frenken.2,bhatti.39,zhang.14641,ahmed.358}@

Abstract为两类：基于数据包和基于窗口的方法。基于数据包的

控制器局域网络（CAN）协议是车载通信的标准，但由于IDS分析单个CAN消息以实现快速检测，但无法捕捉

缺乏内置的安全功能，仍然容易受到网络攻击。本文提出上下文或跨数据包的相关性，这限制了它们对抗复杂攻

了一种多阶段入侵检测框架，利用无监督异常检测和针击如欺骗或重放(ChoandShin2016)的能力。基于窗

对汽车CAN流量定制的有监督图学习技术。我们的架构口的IDS考虑数据包序列，能够更好地检测此类攻击

本结合了变分图自动编码器（VGAE）用于结构化异常检模式，但在低流量或重放攻击下经常面临检测延迟和

译测以及知识蒸馏图注意力网络（KD-GAT）用于稳健的性能挑战(MuterandAsaj2011;Han,Kwak,andKim

攻击分类。CAN总线活动被编码为图形序列以建模时间2018)。

中依赖性和关系依赖性。该流水线应用基于VGAE的选择

最近的研究通过使用图模型的统计方法(Islam

1性欠采样来解决类别不平衡问题，然后进行GAT分类，

etal.2022)、先进的机器学习技术如深度卷积神经网

v并可选地进行得分级融合。紧凑的学生GAT实现了与

5教师模型相比96%的参数减少，同时保持了强大的预测络（DCNN）(Song,Woo,andKim2020a)以及轻量级

4KNN分类器(Derhabetal.2022)来解决这些限制。其

8性能。在六个公共CAN入侵数据集——Car-Hacking、

4Car-Survival和can-train-and-test上的实验显示了具有他研究利用时间或动态图特征来进行多种攻击类型的

0竞争力的准确性和效率，在F1分数上平均比现有方法提高精度检测(Refatetal.2022;Songetal.2024;He

.

8高了16.2%，特别是在高度不平衡的数据集上表现尤为etal.2024)。

0出色，F1分数最高提升了55%。尽管取得了显著的结果——例如，基于GNN和

5

2VAE的系统准确率超过97%——适应性和效率仍然是

:

v1介绍在资源受限的汽车环境中部署时的主要关注点(Yagiz

i

x现代车辆依赖电子控制单元（ECU）网络来管理从etal.2024)。知识蒸馏、可解释AI和图基特征学习是

r发动机功能到高级驾驶员辅助系统（ADAS）的一切。开发稳健且轻量级入侵检测系统的有前景策略，这些系

a

ECU之间的通信通常由控制器局域网（CAN）协议处统能够在有限资源下有效运行并提供更大的透明度。

理，该协议因其在车内网络（IVNs）中的可靠性和成本