ASTRID-Net: улучшенная SE триплетная механизмом внимания глубокая нейросеть для безопасности IoT и IIoT

Почему важно защищать умные устройства

Дома, заводы, больницы и электростанции заполняются умными устройствами, которые ощущают, измеряют и управляют окружающим миром. Эта сеть гаджетов — часто называемая Интернетом вещей (IoT) и его промышленным аналогом IIoT — приносит удобство и эффективность, но одновременно открывает бесчисленные цифровые двери для злоумышленников. Один взломанный датчик может остановить производство, украсть медицинские данные или нарушить работу критически важных служб. В этом исследовании предлагается ASTRID-Net — новая система искусственного интеллекта, предназначенная для выявления таких вторжений в реальном времени, даже когда атаки редки, тонки или постоянно меняются.

Растущая проблема скрытых атак

Традиционные средства безопасности действуют как базы отпечатков: они ищут известные шаблоны вредоносного поведения. Такой подход терпит неудачу, когда злоумышленники изобретают новые методы, запускают массивные потоки трафика, чтобы перегрузить устройства, или маскируются в обычном шуме загруженной сети. Системы IoT и IIoT особенно уязвимы, поскольку объединяют множество типов устройств, работают на энергоограниченном оборудовании и часто полагаются на простые правила связи. Эти ограничения затрудняют установку тяжёлого программного обеспечения безопасности и облегчают злоумышленникам смешивание с нормальным трафиком. В результате организациям нужны более умные «стражи», которые могут учиться на опыте, отслеживать изменения трафика во времени и вызывать тревогу, когда что‑то кажется подозрительным, а не только когда это совпадает с хранимой сигнатурой.

Новый ИИ-страж для умных сетей

ASTRID-Net (сокращение от Adaptive Spatiotemporal Residual-Interpretable Detection Network) разработан с учётом этих требований. Вместо опоры на вручную созданные правила он обучается непосредственно на реальных сетевых записях из крупного, реалистичного эталонного набора Edge-IIoTset. Этот набор содержит более двух миллионов образцов, охватывающих нормальную активность и 15 различных типов атак — от подбора паролей и сканирования портов до программ-вымогателей и различных форм распределённых атак типа «отказ в обслуживании». ASTRID-Net преобразует каждую запись в последовательность чисел и обрабатывает её через несколько этапов, имитирующих подход внимательного человеческого аналитика: сначала поиск узнаваемых форм в данных, затем анализ развития событий во времени и, наконец, концентрирование внимания на наиболее значимых деталях.

Как система фокусируется на важном

Первый этап ASTRID-Net использует несколько параллельных обнаружителей шаблонов, каждый из которых смотрит на данные через разный «размер окна». Такой многошкальный взгляд помогает уловить как тонкие подсказки, например резкий всплеск в одном поле, так и более широкие тенденции, например медленное накопление подозрительного трафика. Специальное сокращённое соединение позволяет системе сохранять полезные низкоуровневые сигналы при построении более сложных признаков, что улучшает стабильность и скорость обучения. Затем двунаправленный модуль последовательности анализирует порядок событий вперёд и назад, улавливая, как пакеты до и после момента связаны между собой — это важно для обнаружения скоординированных или многоэтапных атак, разворачивающихся во времени.

Тройное внимание: время, каналы и пространство

Самая характерная особенность ASTRID-Net — его тройной механизм внимания. Одна часть учится определять, какие моменты в последовательности наиболее важны, чтобы краткий, но информативный всплеск странного трафика не был заглушён длинными отрезками рутинного поведения. Другая часть, вдохновлённая идеями «squeeze-and-excitation», учится выявлять типы сигналов — например определённые счётчики или временные метрики — которые несут наибольшую информацию, усиливая их и подавляя менее полезные. Третья часть выделяет информативные позиции по всему объединённому карте признаков, помогая модели сосредоточиться на тонких шаблонах, которые распределены, а не сгруппированы. Вкупе эти модули внимания действуют как прожектор, перемещающийся по времени и пространству признаков, позволяя системе направлять вычислительные ресурсы туда, где они наиболее необходимы.

Что означают результаты для повседневной безопасности

При тестировании на наборе данных Edge-IIoTset ASTRID-Net правильно отличал нормальный трафик от атак с точностью до 100% в простых задачах «атака против отсутствия атаки» и примерно 99,97% при определении одного из 15 типов атак. Важно, что он хорошо показал себя даже на редких категориях атак, которые многие системы пропускают. Для неспециалистов это означает, что метод предлагает перспективный способ создания более умных брандмауэров и инструментов мониторинга, способных защищать умные дома, заводы и критическую инфраструктуру с минимальным числом пропусков и ложных тревог. Хотя требуется дополнительная работа для адаптации подхода к сценариям с сохранением конфиденциальности и полностью распределённым развертыванием, ASTRID-Net указывает на будущее, в котором управляемая ИИ безопасность незаметно следит за растущим миром подключённых устройств.

Цитирование: Zannat, A., Ahmmed, M.S., Hossain, M.A. et al. ASTRID-Net: SE-enhanced triple attention deep learning framework for IoT and IIoT security. Sci Rep 16, 5874 (2026). https://doi.org/10.1038/s41598-026-36731-8

Ключевые слова: безопасность IoT, обнаружение вторжений, глубокое обучение, промышленный IoT, обнаружение кибератак