《Data Science and Management》：An efficient hybrid intrusion detection system model integrating CNN and B-spline Kolmogorov-Arnold networks
编辑推荐：
网络入侵检测仍是一项挑战，因为流量数据包含冗余特征、攻击类别高度不平衡，且类边界通常呈非线性。研究人员提出一种高效混合入侵检测系统（EHIDS），其集成一维卷积神经网络（1D CNN）、自适应整合池化（ACP）与基于B样条的Kolmogorov-Arnold网
网络入侵检测仍是一项挑战，因为流量数据包含冗余特征、攻击类别高度不平衡，且类边界通常呈非线性。研究人员提出一种高效混合入侵检测系统（EHIDS），其集成一维卷积神经网络（1D CNN）、自适应整合池化（ACP）与基于B样条的Kolmogorov-Arnold网络（KAN）分类器。1D CNN捕获局部流量模式，ACP执行轻量级注意力引导的特征整合以抑制冗余激活，B样条KAN头提供结构化非线性决策建模。实验分别在网络安全实验室-知识发现数据库（NSL-KDD）与加拿大网络安全研究所入侵检测系统2017（CIC-IDS2017）上独立开展，以避免跨数据集的特征空间失配与样本混合效应。为评估稳健性，主实验以五个随机种子重复，结果以均值±标准差报告。EHIDS在NSL-KDD上达到99.85%的准确率，在CIC-IDS2017上达到99.38%的准确率，同时在两个数据集上保持极低假阳性率。消融与特征整合实验表明，ACP与B样条KAN提供互补收益，SHapley Additive exPlanations（SHAP）分析将模型预测与有意义的网络安全相关特征联系起来。浮点运算（FLOP）计数与推理时延测量进一步表明，EHIDS计算需求低并支持快速预测。从管理角度看，这些发现指向假警报感知的告警治理、低时延部署以及数据驱动安全运营中的特征级监测。总体而言，EHIDS为多类网络入侵检测提供了一个紧凑、准确且计算高效的框架。
网络入侵检测系统（NIDS）通过监测和分析网络流量识别潜在恶意活动并及时告警。随着网络规模扩大、联网应用增多，组织需处理日益庞大的分布式流量数据；攻击技术持续演化，使网络系统面临持续且变化的安全威胁。现有NIDS在保持低假阳性率的同时检测多样或未见攻击仍较困难，因此需要更准确且计算高效的检测方法。传统机器学习方法虽可解释且计算经济，但性能依赖数据质量、特征工程、模型选择与持续监测；深度学习可学习表示，却带来计算成本、类别不平衡与可解释性挑战。基于卷积神经网络（CNN）的入侵检测系统（IDS）能捕获局部流量模式，但密集分类头可能参数冗余；循环、图与Transformer模型可表示更丰富依赖但成本更高；Kolmogorov-Arnold网络（KAN）提供结构化非线性映射，但独立KAN不显式提取局部统计模式。基于此，作者Mingjie Chen与Huyong Yan围绕局部表示学习、自适应特征整合与样条非线性决策建模开展研究，提出EHIDS，并在NSL-KDD与CIC-IDS2017上独立评估，采用五个随机种子、组件消融、特征整合策略比较、SHAP解释、FLOP与推理时延测量及与近期已发表IDS模型比较。研究得出EHIDS在两数据集上分别达到99.85%与99.38%准确率，并保持极低假阳性率与低推理时延；ACP与B样条KAN具有互补作用；SHAP将预测关联到服务、连接状态、流量体积、包速率与时间等特征。该研究发表于《Data Science and Management》，其意义在于为多类网络入侵检测提供紧凑、准确且计算高效的框架，并支持误报感知告警治理、低时延部署与特征级监测。
关键技术方法（不超过250字）：数据来自公开基准NSL-KDD（官方训练125,973例、测试22,544例）与CIC-IDS2017，二者独立预处理与清洗；采用1D CNN提取局部流量模式，ACP进行注意力加权特征整合以抑制冗余激活，B样条KAN头建模结构化非线性决策边界；以加权焦点损失及仅训练集SMOTE和稀有类随机过采样处理不平衡；五个随机种子重复；开展组件消融、特征整合策略比较、SHAP解释、FLOP与推理时延测量，并与已发表模型比较。
研究结果如下。5.1 数据集概述：通过NSL-KDD与CIC-IDS2017两个公开基准开展多类检测，前者降低冗余并控制样本难度，后者含DDoS、暴力破解、跨站脚本与SQL注入等真实流量；结论是两数据集分别评估可避免特征空间失配与样本混合。5.2 数据预处理与实验设置：通过清洗缺失与无限值、NSL-KDD保留41个预测特征并将三类类别特征独热编码至122维、CIC-IDS2017移除重复Fwd Header Length使输入由78降至77、min–max归一化、仅训练集SMOTE与稀有类随机过采样及加权焦点损失、保留官方测试集并按80:20分层划分训练验证；结论是控制数据泄漏与数值不稳定。5.3 评价指标：通过准确率、精确率、召回率、F1分数（F1-score）、加权F1、宏F1与假阳性率（FPR）评价；结论是宏F1更敏感于少数类攻击，单标签多类任务中micro-F1等同准确率故不单列。5.4 获得结果：通过100轮训练与验证曲线观察，NSL-KDD上曲线快速上升并稳定，CIC-IDS2017中期波动更大但未发散；结论是优化稳定且具可接受泛化。5.5 消融实验：通过五个随机种子的组件消融与池化策略比较，去除ACP降低宏F1，去除B样条KAN显著降低准确率，两者同去降幅最大；类别不平衡处理后完整EHIDS在NSL-KDD达99.85%、CIC-IDS2017达99.38%，ACP优于最大池化、平均池化与软注意力池化且FPR更低；结论是ACP与B样条KAN互补并提升稳定性。5.6 可解释性分析：通过SHAP分析，NSL-KDD中service最重要，flag、logged_in、src_bytes、dst_bytes、dst_host_srv_count等亦有贡献；CIC-IDS2017中Flow IAT Mean最重要，Flow Packets/s、Fwd IAT Total、Bwd包总长、平均包大小、flow bytes/s与down/up ratio等有贡献；结论是模型依赖多特征组并捕捉数据集特异判别模式。5.7 计算复杂度与推理效率：通过FLOP计数及关闭梯度、预热批与GPU同步的推理时延测量，NSL-KDD为10,117 FLOPs/实例、6.43×10
?5 s/实例，CIC-IDS2017为7,567 FLOPs/实例、7.40×10
?5 s/实例；结论是计算需求低并支持快速预测。5.8 比较结果：通过与LIDSuCNN、KD-TCNN、MCNN、DNN+KAN、PODCNN-LWID与Lightweight CNN-KD等已发表模型比较（非统一实验环境，作上下文证据），EHIDS在NSL-KDD报告99.85%准确率与0.04% FPR，在CIC-IDS2017报告99.38%准确率、0.05% FPR与低时延；结论是平衡检测性能、误报控制与推理效率。
讨论部分从管理角度总结：低FPR支持告警优先级划分并减少重复误报负担，但需以影子模式校准阈值并定义升级规则；FLOP与时延结果支持在网关、分支或边缘节点进行轻量筛查并将高风险事件转发中心分析，但需评估真实流量下端到端吞吐、峰值负载、服务级别目标、回退流程及硬件维护成本；SHAP结果提示加强service、连接状态、流量体积、包速率、包大小与时间流特征的质量控制、特征谱系、缺失值告警与漂移看板，并将访问控制、保留期与审计纳入模型治理；模型性能应在生命周期中管理，仪表盘应报告宏F1与每类召回，按分布漂移、误报持续上升或新攻击出现触发重训，记录版本并保留人工监督。研究结论翻译：本文提出EHIDS，一种结合基于1D CNN的局部特征提取、基于ACP的自适应特征整合与基于B样条KAN的非线性决策建模的高效混合入侵检测系统。NSL-KDD与CIC-IDS2017被独立评估，以避免跨数据集特征失配与样本混合效应。EHIDS在NSL-KDD上达到99.85%准确率，在CIC-IDS2017上达到99.38%准确率，并报告极低FPR与低推理时延。消融结果证明ACP与B样条KAN的互补作用，SHAP分析将模型预测与有意义的服务状态、流量体积、包速率与时间特征联系起来。这些发现支持数据驱动告警优先级、分层部署、特征质量监测与生命周期治理，前提是组织进行本地校准并保留人工监督。本研究有三项主要局限。第一，未进行严格的一数据集训练、另一数据集测试的评估，因为NSL-KDD与CIC-IDS2017具有不同特征空间与攻击分类体系。第二，SHAP提供事后输入级解释，而KAN头的内部样条函数需要更详细分析。第三，实验使用离线基准数据，未捕捉流式漂移或生产环境的完整预处理与系统集成开销。未来工作将研究特征与标签空间对齐下的跨数据集迁移、在线与增量学习、面向边缘的压缩、生产规模流式验证，以及基于样条决策函数更详细的可视化。
