基于特征重要性改进ANN与CNN模型在Zeek网络数据攻击检测中的性能

《Future Internet》：Feature Selection for Improving ANN and CNN Models for Attack Detection in Zeek Network Data

　　

近年来，网络攻击呈现指数级增长态势，私营与公共机构面临日益复杂的威胁。随着这一上升趋势的持续，开发先进且高效的网络威胁检测系统至关重要。本研究探究了利用特征重要性（Feature Importance, FI）系数改进人工神经网络（Artificial Neural Network, ANN）和卷积神经网络（Convolutional Neural Network, CNN）模型的方法，通过特征选择提升模型可解释性并优化性能。研究人员系统性地滤除较弱特征，考察降维后的特征对模型准确率（Accuracy）、精确率（Precision）、召回率（Recall）和F1分数的影响。实验在两个新数据集UWF-ZeekDataSum2025-1和UWF-ZeekDataSum2025-2上进行，采用基线ANN/CNN架构及多种架构变体。在UWF-ZeekDataSum2025-1数据集上的结果显示，特定特征重要性阈值下性能显著提升，ANN-Minimal、ANN-Overfit-Wide、ANN-Shallow-Low-Optimization（ANN-Shallow-Low-Opt）、CNN-Shallow和CNN-Very-Shallow等模型在特征空间从17个特征缩减至不足4个后超越了基线表现。对于UWF-ZeekDataSum2025-2数据集，更广泛的阈值范围内均出现性能改善，ANN-Deep-Sub-Conv、ANN-Shallow-Low-Opt、CNN-Shallow、CNN-Very-Shallow和ANN-Minimal等模型在0.25–0.28阈值附近达到超过95%的性能，部分架构在0.31–0.32阈值处获得额外提升。这些发现表明，通过策略性地利用特征重要性系数阈值，可以显著增强神经网络入侵检测系统，为在类似环境中应用这些方法提供了可复现的路径。

**一、研究背景与意义**

随着数字化转型的深入推进，网络攻击在所有领域呈指数级增长，政府机构与企业面临着日益复杂的安全威胁。2023年全球恶意软件可执行文件数量已达9亿，而2010年仅为5000万。网络犯罪造成的年度损失高达数千亿美元，这使得开发高效可靠的网络威胁检测系统成为当务之急。尽管防火墙、杀毒软件和入侵检测系统可作为基础防护手段，但面对不断演化的攻击手段，传统方法已难以满足需求。机器学习（Machine Learning, ML）与人工智能（Artificial Intelligence, AI）技术在网络安全领域的应用为威胁识别与决策提供了新的可能性，成为保障敏感数据安全的关键技术支撑。

当前网络入侵检测研究面临的核心挑战在于：如何在保证检测性能的同时提升模型的可解释性与计算效率。高维特征空间不仅影响模型训练效率，还可能引入噪声导致过拟合。特征选择作为降维的重要手段，能够有效识别对分类任务最具判别力的特征子集，但现有方法多集中于传统机器学习模型，在深度学习架构中的系统应用与跨模型迁移验证仍显不足。此外，虽然基于权重的特征重要性已在神经网络研究中得到探讨，但将特征选择框架集成于分布式大数据处理环境、并验证其在多种深度学习架构间的迁移有效性，仍是亟待解决的问题。

本研究旨在构建一个可扩展的特征选择框架，利用多层感知器分类器（Multilayer Perceptron Classifier, MLPC）导出的特征重要性系数，在PySpark MLlib生态系统中实现面向MITRE ATT&CK战术分类的网络入侵检测优化。该研究的意义在于：不仅为高维网络安全数据分析提供了高效的特征降维途径，还验证了所选特征子集跨架构迁移的有效性，为实际部署中的模型轻量化与可解释性增强提供了理论与实践依据。该论文发表于《Future Internet》期刊。

**二、主要技术方法**

研究采用的技术路线可分为数据准备、特征重要性计算与模型训练评估三个层面。在数据层面，实验基于两个新构建的数据集UWF-ZeekDataSum2025-1和UWF-ZeekDataSum2025-2，该数据集由西佛罗里达大学（University of West Florida, UWF）网络靶场生成，融合Zeek连接日志（Conn log）与MITRE ATT&CK框架标签，涵盖侦察、权限提升、防御规避、发现、横向移动和初始访问六种攻击战术。特征预处理包括：剔除时间戳、ID、IP地址等标识性列；数值特征均值插补；布尔型特征填充False后转换为DoubleType；分类特征（service、protocol、conn_state、history）通过PySpark StringIndexer编码为数值索引。

在特征重要性计算层面，研究从训练好的MLPC模型中提取输入层与第一隐藏层之间的连接权重。具体而言，对第i个输入特征，其特征重要性系数定义为该特征到第一隐藏层所有神经元连接权重绝对值的均值，公式表示为S_i = (1÷|H₁|) Σ_j∈H1 |W_i,j|，其中W_i,j为输入特征i到隐藏神经元j的权重，|H₁|为第一隐藏层神经元总数。通过设定阈值λ筛选特征重要性系数不低于该阈值的特征，形成降维后的特征子集。

在模型架构层面，研究设计了5种ANN变体（ANN-Deep-Sub-Conv、ANN-Minimal、ANN-Overfit-Wide、ANN-Shallow-Low-Opt、ANN-Wide-Sub-Conv）和4种CNN变体（CNN-Deep、CNN-Shallow、CNN-Very-Shallow、CNN-Very-Wide/Deep）。由于PySpark MLlib不支持复杂深度学习模型，所有架构均基于MLPC实现，ANN配置模拟标准前馈网络，CNN配置通过层维度设计模拟卷积与池化后的密集层结构。优化策略上，较小模型采用L-BFGS求解器，较复杂模型采用保守步长的梯度下降法。所有模型训练10轮（CNN-Very-Wide/Deep为15轮），数据集按80/20比例分割用于训练和测试，固定随机种子（seed=42）确保可复现性。

**三、研究结果**

**7.1 特征重要性计算**

表5和表6分别呈现了两个数据集上各模型的特征重要性得分。基于完整数据集计算的特征重要性为后续阈值筛选提供了量化依据。

**7.2 基于系数阈值的特征筛选**

表7和表8展示了不同特征重要性系数阈值下各模型实际使用的特征数量。当阈值设为17时，所有特征均被使用；随着阈值升高，特征数量逐步减少。部分模型在某些阈值下特征数量回归17，表明该阈值下所有特征的重要性系数均低于阈值，结果等同于基线。

**7.3 测试结果**

**7.3.1 准确率分析**

在UWF-ZeekDataSum2025-1数据集上，ANN-Minimal在特征重要性阈值0.35、使用duration和history两个特征时达到最高准确率99.84%；ANN-Overfit-Wide在阈值0.33、仅使用history一个特征时达到99.83%；ANN-Shallow-Low-Opt在阈值0.33和0.34使用两个特征、阈值0.35使用一个特征时分别达到99.84%和99.83%；CNN-Shallow在阈值0.33–0.35使用一至两个特征时达到99.83%；CNN-Very-Shallow在阈值0.35使用两个特征时达到99.84%。ANN-Deep-Sub-Conv、ANN-Wide-Sub-Conv、CNN-Deep和CNN-Very-Wide/Deep表现较差，准确率维持在约50%水平。总体而言，该数据集上最佳结果集中于0.33–0.35阈值区间，关键特征为duration和history。

在UWF-ZeekDataSum2025-2数据集上，ANN-Minimal在阈值0.26使用11个特征时达到99.73%，阈值0.28使用7个特征时接近该水平（99.72%）；ANN-Deep-Sub-Conv、ANN-Shallow-Low-Opt、CNN-Shallow、CNN-Very-Shallow等模型在0.26–0.29阈值范围内表现优异，部分模型在0.31–0.32阈值处仍有提升。ANN-Minimal和CNN-Very-Shallow均以99.73%和99.76%的准确率成为最优模型。

对比两个数据集，UWF-ZeekDataSum2025-1以更少特征达到更高准确率，而UWF-ZeekDataSum2025-2需要更多特征，但支持更多模型取得良好表现。

**7.3.2 精确率分析**

精确率结果与准确率高度一致。UWF-ZeekDataSum2025-1上，ANN-Minimal、ANN-Shallow-Low-Opt和CNN-Very-Shallow均达到99.84%的最高精确率，特征组合与最优准确率相同。UWF-ZeekDataSum2025-2上，各最优模型的精确率与准确率结果吻合，ANN-Deep-Sub-Conv在阈值0.28达到96.14%，其余最优模型同上。

**7.3.3 召回率分析**

召回率结果与准确率、精确率结果匹配，最高召回率较精确率下降不足一个百分点，特征重要性阈值保持不变，无需额外详细分析。

**7.3.4 F1分数分析**

F1分数结果同样与上述指标一致。UWF-ZeekDataSum2025-1上最优F1分数与准确率、精确率结果完全相同。UWF-ZeekDataSum2025-2上，部分模型最高F1分数较精确率下降不足一个百分点，但特征重要性阈值未变。

**7.4 关键发现总结**

未进行特征选择时，多数模型在两个数据集上的性能介于25%至75%之间。采用特征重要性筛选后，UWF-ZeekDataSum2025-1上五个模型使用仅一至两个特征即达到超过99.5%的各项指标；UWF-ZeekDataSum2025-2上六个模型使用5–11个特征达到超过95%的性能。特征敏感性分析揭示了"临界跃迁"现象：多数模型在大量特征移除过程中维持随机水平性能，直至剩余极少数特征时准确率陡升。尤其值得注意的是，Zeek的"history"特征作为单一预测因子使ANN模型达到99.83%的准确率，该特征编码了TCP连接建立、确认、载荷传输和终止等行为序列信息，具有高度的判别价值。

**四、讨论与结论**

研究讨论部分进一步阐释了特征重要性驱动优化的理论与实践意义。特征敏感性分析揭示的非单调性能变化模式表明，高维安全数据中存在大量冗余或噪声特征，系统性的特征过滤不仅不会损害模型性能，反而能够通过消除干扰信息实现性能跃升。UWF-ZeekDataSum2025-1数据集上，模型在特征降至不足4个时达到最强结果；UWF-ZeekDataSum2025-2数据集虽更为复杂，但针对性的特征缩减同样使多架构突破95%准确率门槛。

"history"单特征实现卓越表现的案例引发了关于特征真实预测力、数据集特异性或潜在信息泄露的讨论。该字段作为Zeek连接日志中TCP行为序列的紧凑编码，确实承载了丰富的连接状态信息，但其极端性能仍需进一步跨数据集验证。

研究结论指出，将特征重要性系数整合入模型开发管道，能够强化ANN和CNN性能、降低计算开销，并提升操作环境中入侵检测系统的可靠性。该工作为可扩展的、MLPC驱动的特征选择框架提供了经验验证，展示了其在网络安全分析中的应用潜力。未来工作将扩展至SHAP、排列重要性、互信息等方法的对比分析，以全面评估所提方法的优劣与适用边界。