综述：机器学习入侵检测系统中特征选择的系统综述：基于资源约束的方法评估与条件升级工作流

《Information》：Greedy and Stepwise Feature Selection for Network Intrusion Detection: A Systematic Review and Decision Workflow

　　特征选择在基于机器学习的入侵检测系统（IDS/NIDS）中应用广泛，用于降低维度和计算负担，但当特征评估、子集搜索、预处理、分类器设计和部署条件被共同评估时，其效益难以归因。本系统综述分析了2010年至2026年间发表的104项IDS/NIDS研究，这些研究通过Scopus和Web of Science检索，并由有针对性的Google Scholar搜索补充。语料库包括56项过滤/相关性研究、18项贪婪/顺序研究、28项混合/元启发式对比研究和2项其他/不明确的研究。我们评估了特征约简、计算报告、重复运行证据、特征子集稳定性、泄漏控制、在线成本和部署证据。在42项具有单一明确约简值的研究中，特征约简的中位数为73.8%（四分位距：59.3–84.2%）。56.7%的研究报告了运行时间或计算成本，9.6%的研究有独立重复运行，且没有研究明确评估特征子集稳定性。13.5%的研究清楚展示了防泄漏处理，而56.7%的研究存在潜在泄漏风险；6.7%的研究有明确或部分部署证据。在六项严格的同研究比较中，更广泛的混合/元启发式方法在五项中改进了报告的检测性能，但在特征约简和计算成本方面的收益不一致。基于这些发现，本综述将特征选择方案制定为资源约束决策问题，并提出了一种算法条件升级工作流，其中只有当更简单的策略无法满足预定义的预测或操作约束时，才引入更广泛的搜索。因此，额外的搜索复杂性应该通过可比较、可重复、防泄漏且与部署相关的证据来证明，而不是仅通过跨研究准确率来证明。