Iot ağlarına yönelik siber saldırıların tabm mimarisi ile çok sınıflı tespiti: CIC-IoT-2023 veri seti üzerine kapsamlı bir çalışma

Bu çalışmada, IoT ağlarına yönelik siber saldırıları tespit etmek amacıyla TabM (Tabular Model) derin öğrenme mimarisi kullanılarak 34 sınıflı bir ağ saldırı tespiti sistemi geliştirilmiştir. CIC-IoT-2023 veri seti üzerinde gerçekleştirilen çalışmada, TabM'in BatchEnsemble mekanizması ile 32 alt model aynı anda eğitilerek parametre verimliliği sağlanmıştır. Veri setindeki 399:1 oranındaki sınıf dengesizliğini ele almak için Quantile Transform ile özellik normalizasyonu ve SMOTE ile azınlık sınıflarının sentetik örneklerle dengelenmesi içeren hibrit bir strateji uygulanmıştır. Hiperparametre optimizasyonu Optuna framework'ü ile gerçekleştirilmiş ve model AdamW optimizer ile 50 epok boyunca eğitilmiştir. TabM modeli test setinde F1-Makro 0,8625 ve doğruluk %97,91 performansı elde etmiştir. Temel karşılaştırmada Random Forest (F1-Makro: 0,882) ve XGBoost (F1-Makro: 0,828) ile rekabetçi performans sergilemiştir. 34 sınıfın 20'sinde F1 ≥ 0,95 başarısı elde edilmiş, özellikle DDoS türleri ve botnet saldırılarında başarılı bir performans göstermiştir. Sistematik ablasyon çalışması Quantile Transform'un en kritik bileşen olduğunu ortaya koymuştur. SHAP analizi ile IAT (Inter-Arrival Time) özelliğinin saldırı tespitinde en ayırt edici faktör olduğu tespit edilmiştir. Uygulama katmanı saldırılarında (SqlInjection, XSS) düşük performans gözlemlenmiş olup bu durum veri setinin akış tabanlı yapısından kaynaklanmaktadır. Çalışma, TabM'in IoT ağ saldırı tespitinde bir değerlendirmesidir, çok sınıflı sınıflandırma ile literatürdeki ikili yaklaşımların ötesine geçmektedir ve hibrit sınıf dengesizliği stratejisinin sistematik analizini sağlamaktadır. Sonuçlar, TabM'in geleneksel yöntemlere rekabetçi bir alternatif olduğunu ve 1.52 MB model boyutu ile uç nokta dağıtımı için uygun olduğunu göstermektedir.

In this study, a 34-class network intrusion detection system was developed using the TabM (Tabular Model) deep learning architecture to detect cyber attacks targeting IoT networks. Conducted on the CIC-IoT-2023 dataset, the study employed TabM's BatchEnsemble mechanism to train 32 submodels simultaneously, ensuring parameter efficiency. A hybrid strategy was implemented to address the 399:1 class imbalance ratio in the dataset, including feature normalization with Quantile Transform and synthetic oversampling of minority classes with SMOTE. Hyperparameter optimization was performed using the Optuna framework, and the model was trained for 50 epochs with the AdamW optimizer.The TabM model achieved F1-Makro 0,8625 and Accuracy 97,91% on the test set. In baseline comparisons, competitive performance was exhibited against Random Forest (F1-Makro: 0,882) and XGBoost (F1-Makro: 0,828). F1 ≥ 0,95 was achieved in 20 out of 34 classes, with excellent detection performance particularly in DDoS types and botnet attacks. Systematic ablation study revealed Quantile Transform as the most critical component. SHAP analysis demonstrated that IAT (Inter-Arrival Time) feature is the most discriminative factor in attack detection.Low performance was observed in application-layer attacks (SqlInjection, XSS) due to the flow-based nature of the dataset. This study is considered to present the first comprehensive evaluation of TabM in IoT network intrusion detection, extends beyond binary classification approaches in the literature with multi-class classification, and provides systematic analysis of hybrid class imbalance strategies. Results indicate that TabM offers a competitive alternative to traditional methods and is suitable for edge deployment with a 1.52 MB model size.