1、2023 年 4 月 Chinese Journal of Network and Information Security April 2023 第 9 卷第 2 期 网络与信息安全学报 Vol.9 No.2 基于轻量级梯度提升机优化的工业互联网入侵检测方法 胡向东1,2，唐玲玲1（1.重庆邮电大学自动化学院/工业互联网学院，重庆 400065；2.重庆邮电大学现代邮政学院，重庆 400065）摘 要：入侵检测作为一种积极主动的安全防护技术，对于确保工业互联网安全起着至关重要的作用。为了满足工业互联网高准确率和高实时性的入侵检测需求，提出基于轻量级梯度提升机优化的工业互联网入侵检测方法。针对
2、工业互联网业务数据中难分类样本导致检测准确率低的问题，改进轻量级梯度提升机原有的损失函数为焦点损失函数，该损失函数可自适应动态调节不同类别数据样本的损失值和权重，支持模型在训练过程中降低易分类样本的权重，进而提高难分类样本的检测准确率；针对轻量级梯度提升机参数较多并且对模型的检测准确率、检测时间和拟合程度等影响较大的问题，利用果蝇优化算法选择模型的最优参数组合；在密西西比州立大学提供的天然气管道数据集上得到模型的最优参数组合并进行验证，并在储水罐数据集上进一步验证所提模型的有效性。实验结果表明，采用所提方法改进的模型在天然气管道数据集上的检测准确率较对比模型最少提高了 3.14%，检测时间较对
3、比模型中的随机森林和支持向量机分别降低了 0.35 s 和 19.53 s，较决策树和极端梯度提升机分别增加了 0.06 s 和 0.02 s，同时在储水罐数据集上取得了良好的检测结果。因此证明所提方法可以很好地识别工业互联网业务数据中的攻击数据样本，提升了在工业互联网入侵检测中的实用性。关键词：工业互联网；入侵检测；轻量级梯度提升机；焦点损失函数；果蝇优化算法 中图分类号：TN 918.91 文献标志码：A DOI:10.11959/j.issn.2096109x.2023020 Method on intrusion detection for industrial internet ba
4、sed on light gradient boosting machine HU Xiangdong1,2,TANG Lingling1 1.College of Automation/Institute of Industrial Internet,Chongqing University of Posts and Telecommunications,Chongqing 400065,China 2.College of Modern Posts,Chongqing University of Posts and Telecommunications,Chongqing 400065,C
5、hina Abstract:Intrusion detection is a critical security protection technology in the industrial internet,and it plays a vital role in ensuring the security of the system.In order to meet the requirements of high accuracy and high real-time 收稿日期：20220516；修回日期：20230216 通信作者：胡向东， 基金项目：教育部中国移动科研基金（MCM2
6、0180404）Foundation Item:The Joint Research Foundation of the Ministry of Education of the Peoples Republic of China and ChinaMobile(MCM20180404)引用格式：胡向东,唐玲玲.基于轻量级梯度提升机优化的工业互联网入侵检测方法J.网络与信息安全学报,2023,9(2):46-55.Citation Format:HU X D,TANG L L.Method on intrusion detection for industrial internet based
7、 on light gradient boostingmachineJ.Chinese Journal of Network and Information Security,2023,9(2):46-55.第 2 期 胡向东等：基于轻量级梯度提升机优化的工业互联网入侵检测方法 47 intrusion detection in industrial internet,an industrial internet intrusion detection method based on light gradient boosting machine optimization was propos
8、ed.To address the problem of low detection accuracy caused by difficult-to-classify samples in industrial internet business data,the original loss function of the light gradient boosting machine as a focal loss function was improved.This function can dynamically adjust the loss value and weight of d
9、ifferent types of data samples during the training process,reducing the weight of easy-to-classify samples to improve detection accuracy for difficult-to-classify samples.Then a fruit fly optimization algorithm was used to select the optimal parameter combination of the model for the problem that th
10、e light gradient boosting machine has many parameters and has great influence on the detection accuracy,detection time and fitting degree of the model.Finally,the optimal parameter combination of the model was obtained and verified on the gas pipeline dataset provided by Mississippi State University
11、,then the effectiveness of the proposed mode was further verified on the water dataset.The experimental results show that the proposed method achieves higher detection accuracy and lower detection time than the comparison model.The detection accuracy of the proposed method on the gas pipeline datase
12、t is at least 3.14%higher than that of the comparison model.The detection time is 0.35s and 19.53s lower than that of the random forest and support vector machine in the comparison model,and 0.06s and 0.02s higher than that of the decision tree and extreme gradient boosting machine,respectively.The
13、proposed method also achieved good detection results on the water dataset.Therefore,the proposed method can effectively identify attack data samples in industrial internet business data and improve the practicality and efficiency of intrusion detection in the industrial internet.Keywords:industrial
14、Internet,intrusion detection,light gradient boosting machine,focal loss,fruit fly optimization algorithm 0 引言 随着工业化与信息化深度融合、互联网+的持续拓展，以及智能制造等创新应用需求的强劲牵引，作为新型工业基础设施的工业互联网得到了快速发展。工业互联网在推动传统产业数字化、网络化和智能化升级改造，催生出众多新形态的工业控制与生产组织模式的同时，将工业控制系统与互联网结合，给入侵者提供了更多的攻击机会和可能，面临着更广泛复杂的信息安全风险1。例如，2017 年的“WannaCry”勒索
15、病毒事件，2021年的 DarkSide 勒索团伙勒索软件定向攻击事件。为了解决工业互联网所面临的安全风险，入侵检测系统2-3提供了一种安全有效的防护途径，实时地对网络的运行状态和数据交换行为进行监视，一旦发生可疑行为便发出警报并采取措施，入侵检测是一种积极主动的安全防护技术。近几年，机器学习技术在自然语言处理4、图像分割5和目标检测6等领域得到广泛应用，众多学者也将其引入工业互联网入侵检测中。Seth等7通过随机森林和主成分分析构建混合特征选择方法减少数据集的数量，缩短模型的预测时延，并通过轻量级梯度提升机对数据进行检测，实现了高预测率和低预测时延，但数据进行特征选择时容易丢失重要信息，从而
16、影响模型的检测准确率。Liang 等8提出了一种多特征聚类优化模型的工业互联网入侵检测方法，该方法可以有效地检测到新的未知攻击，同时解决了效率和准确性低的问题，但其误报率较高。石乐义等9采用相关信息熵方法进行特征选择，并使用 CNN-BiLSTM的融合模型从时间和空间两个维度分别提取特征，之后通过多头注意力机制对特征进行融合，该方法在密西西比州立大学天然气管道数据集上的准确率高达 99.21%，但其检测时间相对于传统机器学习算法仍然较长。王华忠等10从全局收敛速度和局部收敛速度两个方面对鲸鱼算法进行改进，并将改进后的鲸鱼算法用于支持向量机模型的参数寻优，以获得较高检测准确率。但该算法未考虑处理大规模数据时，支持向量机算法资源耗费大的问题。集成学习11作为机器学习的流行趋势，组合了多个弱学习器，比单个模型的性能更稳定，特别是在多分类问题上。鉴 于 集 成 学 习 中 的 轻 量 级 梯 度 提 升 机（LightGBM，light gradient boosting machine）在48 网络与信息安全学报 第 9 卷 多分类问题上的优势，本文将其运用到入侵检测领域，但直接使用 Lig