Здорников Егор Олегович — программист
Санкт-Петербург, 197101
Egor O. Zdornikov — Software Developer
Saint Petersburg, 197101
Попов Илья Юрьевич — кандидат технических наук, доцент
Санкт-Петербург, 197101, sc 57278564300
Ilya Yu. Popov — PhD, Associate Professor
Saint Petersburg, 197101
sc 57278564300
Введение. Распространение уязвимых устройств интернет вещей приводит к увеличению количество атак на такие устройства и требует разработки точных и ресурсно-эффективных средств их выявления. Существующие модели системы обнаружения вторжений плохо адаптируются к разным наборам данных. Представлено решение этой проблемы на основе архитектуры Edge-Mamba — «легковесной модели» на базе линейновременной селективной State Space-архитектуры. Приведена оценка возможности переносить модели между гетерогенными наборами данных и обеспечивать их работу на конечных устройствах в реальном времени.Метод. Предложенная модель основана на селективной State Space-архитектуре и обеспечивает линейную сложность обработки последовательностей. Адаптация модели для анализа сетевого трафика происходит путем кодирования 74 признаков и за счет применения двух блоков модели пространства состояний. Такое построение позволяет снизить вычислительные затраты и одновременно сохранить высокую точность классификации атак.Основные результаты. Эксперименты выполнены на современных наборах данных CICIDS-2017, TII-SSRC-23. Показано, что архитектура Edge-Mamba достигает на наборе данных TII-SSRC-23 точность 99 % при задержке 0,15 мс, а на наборе данных CICIDS-2017 — 98 % при задержке 2,4 мс. При переносе модели с одного набора данных на другой без дообучения точность классификации составляет 65 %, а дообучение (fine-tuning) на 10 % целевого набора повышает точность до 99 % без увеличения времени классификации. Обсуждение. Таким образом, предложенная модель демонстрирует сопоставимую или более высокую точность по сравнению с существующими подходами. При многоклассовой классификации архитектура Edge-Mamba превзошла CNN-BiLSTM и Transformer на 1–3 % по величине macro-F1, сохраняя меньшую задержку. Модель сохраняет эффективность работы на ресурсно-ограниченных устройствах. Представленная модель сочетает точность и возможность переноса модели на другие наборы данных, что делает ее применимой для систем обнаружения вторжений на сетевых шлюзах, хабах интернет вещей и в контейнеризированной инфраструктуре.
The spread of vulnerable Internet of Things devices leads to an increase in the number of attacks on them, which requires the development of accurate and resource-efficient detection methods. Existing Intrusion Detection System models adapt poorly to different datasets. This paper proposes a solution to this problem based on the Edge-Mamba architecture — a “lightweight model” (distilled models) built on a linear-time selective State Space architecture. An evaluation is provided of the ability to transfer models across heterogeneous datasets and ensure their operation on end devices in real time. The proposed model is based on a selective State Space architecture and provides linear complexity for sequence processing. Adaptation of the model for network traffic analysis is achieved through the encoding of 74 features and the application of two State Space Model blocks. This design reduces computational costs while maintaining high accuracy in attack classification. Experiments were conducted on modern datasets CICIDS-2017 and TII-SSRC-23. The results demonstrate that Edge-Mamba achieves an accuracy of 99 % with a latency of 0.15 ms on the TII-SSRC-23 dataset, and an accuracy of 98 % with a latency of 2.4 ms on the CICIDS-2017 dataset. When transferring the model from one dataset to another without additional training, the classification accuracy drops to 65 %; however, fine-tuning on 10 % of the target dataset increases the accuracy to 99 % without any increase in classification latency. Thus, the proposed model demonstrates comparable or superior accuracy relative to existing approaches. In multiclass classification, the Edge-Mamba model outperforms CNN-BiLSTM and Transformer by 1–3 % in terms of macro-F1 score while maintaining lower latency. The model preserves its efficiency on resource-constrained devices. Therefore, the proposed approach combines high accuracy with transferability across datasets, making it applicable for Intrusion Detection System deployment on network gateways, Internet of Things hubs, and containerized infrastructures.
The authors declare that there are no conflicts of interest present.