显而易见：基于人工智能的边缘计算平台异常检测

《IEEE Transactions on Sustainable Computing》：APPARENT: AI-Powered Platform Anomaly Detection in Edge Computing

　　针对物联网设备易受恶意软件攻击的问题，本研究提出APPARENT系统，通过监测硬件性能计数器事件并结合图注意力网络和生成拓扑映射的机器学习方法，实现98.46%以上的异常行为检测准确率，有效提升资源受限设备的安全防护。

　　

摘要：

作为物联网（IoT）节点的嵌入式系统常常容易受到恶意或未知运行时软件的攻击，这些软件可能会损害系统安全、窃取敏感数据并导致系统行为异常。用于自动化、医疗设备和汽车行业的商用嵌入式系统尤其容易受到这种威胁，因为它们缺乏集成传统安全功能的资源，而且通过传统方法难以对其进行防护。我们提出了一种名为APPARENT的新系统设计，该设计通过监控和统计程序执行过程中硬件性能计数器（HPCs）发生的最大低级硬件事件数量来识别程序特征，并分析各种被监控事件之间的相关性。为了进一步利用这些捕获的事件作为特征，我们提出了一种基于自监督机器学习的算法，该算法结合了图注意力网络（GAT）和生成拓扑映射（GTM）来检测异常程序行为，从而增强系统安全性。我们的方法利用了程序计数器、每条指令的周期数以及嵌入式处理器在不同异常级别下的物理和虚拟计时器等属性来识别异常活动。在Autobench EEMBC基准测试中，APPARENT识别未知程序行为的准确率超过了98.46%。

引言

目前，物联网（IoT）技术的应用正在扩展到所有领域。然而，随着这些联网设备的快速普及，安全问题也随之而来。由于物联网设备的处理能力和存储空间有限，难以应用安全补丁，因此保护资源受限的物联网设备及其通信系统变得至关重要[1]。当前的研究主要集中在针对物联网设备与其他系统之间数据交换和通信安全的攻击上。然而，现有的威胁模式表明，除了针对物联网网络的攻击外，物联网设备还可能成为物联网僵尸网络（IoT botnet）中的攻击点[2]，因为这些节点作为前端设备执行决策（见图1）。这就要求攻击检测和监控系统尽可能靠近数据源安装，主要是在嵌入式物联网平台上，从而通过消除昂贵的服务器通信来提高服务延迟并节省有限的带宽。