《Array》：A comparative study of feature selection and feature extraction techniques for IoT Intrusion Detection Systems
编辑推荐：
摘要——物联网(Internet of Things, IoT)网络的快速扩展加剧了网络攻击威胁，凸显了高效入侵检测系统(Intrusion Detection System, IDS)的必要性。本研究针对IoT IDS基准数据集，综合对比分析了多种特征选择(
摘要——物联网(Internet of Things, IoT)网络的快速扩展加剧了网络攻击威胁，凸显了高效入侵检测系统(Intrusion Detection System, IDS)的必要性。本研究针对IoT IDS基准数据集，综合对比分析了多种特征选择(Feature Selection, FS)技术（互信息(Mutual Information)、ANOVA、卡方检验(Chi-Square)、随机森林重要性(Random Forest Importance)及递归特征消除(Recursive Feature Elimination, RFE)）与特征提取(Feature Extraction, FE)技术（主成分分析(Principal Component Analysis, PCA)、增量主成分分析(Incremental PCA, IPCA)、快速独立成分分析(FastICA)、线性判别分析(Linear Discriminant Analysis, LDA)、非负矩阵分解(Non-negative Matrix Factorization, NMF)及截断奇异值分解(Truncated Singular Value Decomposition, TSVD)）。实验结果表明FS与FE方法之间存在明显的性能权衡，为实际IoT IDS应用中选择最佳特征工程策略提供了实用见解。
论文解读：《A comparative study of feature selection and feature extraction techniques for IoT Intrusion Detection Systems》
研究背景与问题提出
随着21世纪物联网(Internet of Things, IoT)设备在智能城市、医疗及工业自动化中的广泛部署，异构网络中的海量智能设备面临分布式拒绝服务(Distributed Denial of Service, DDoS)、数据篡改、中间人攻击(Man-in-the-Middle, MITM)及僵尸网络(Botnet)等安全威胁。传统基于规则的防火墙难以适应新型攻击，基于机器学习(Machine Learning, ML)与深度学习(Deep Learning, DL)的入侵检测系统(Intrusion Detection System, IDS)成为主流方案，但IoT网络流量数据集常具高维、含冗余无关特征、类别不平衡及缺失值等问题，影响模型实时性与泛化能力。现有文献缺乏在不同IoT基准数据集上对特征选择(Feature Selection, FS)与特征提取(Feature Extraction, FE)技术的系统化、一致性对比评估，亦无明确指导何种降维方法可获最优检测效果，因此研究人员开展了本项对照实验研究。
研究开展与意义
研究人员采用ToN-IoT与CIC-IoT-2022两款IoT IDS基准数据集，在统一预处理与70-30分层划分下，系统应用5种FS方法（各选Top-20特征）与6种FE方法（各提取至多20维或类别数减1维(LDA)），配合决策树(Decision Tree, DT)、随机森林(Random Forest, RF)、K近邻(K-Nearest Neighbours, KNN)、高斯朴素贝叶斯(Gaussian Na?ve Bayes, GNB)及多层感知机(Multi-Layer Perceptron, MLP)共5种分类器进行训练与测试，并使用GPU加速的距离互依赖填补法(Distance-based Mutual Dependency Imputation, DMDI)处理缺失值，StandardScaler做Z-score标准化。该研究量化了不同特征工程组件对IoT IDS模型鲁棒性与效率的影响，为实际部署提供循证依据，论文发表于《Array》。
关键技术方法概括
研究人员选用ToN-IoT（含正常流量及Backdoor、DDoS、DoS、Injection、MITM、Password、Ransomware、Scanning、XSS共九类攻击）与CIC-IoT-2022（含Normal、BruteForce、HTTPFlood、TCPFlood、UDPFlood五类）两基准数据集；预处理含特殊占位符映射为NaN、零方差特征剔除、DMDI缺失值填补（数值型用k近邻逆距离加权、全缺失列用全局中位数、分类型用众数）、标签编码及StandardScaler标准化；FS方法含互信息(Mutual Information)、ANOVA F-value、Chi-Square χ2、嵌入式随机森林特征重要性(Embedded RF Importance)及包装式递归特征消除(Recursive Feature Elimination, RFE with SVM)，均保留评分最高的前20个原始特征；FE方法含PCA（取前10或指定k主成分）、Incremental PCA(IPCA, 批处理)、FastICA（最大化非高斯性估计独立分量）、LDA（保留至多c-1判别方向）、NMF（非负约束低秩分解）及TSVD（截断SVD不需中心化），除LDA外均取前20维；分类器含DT(Gini准则, random_state=42)、RF(n_estimators=100)、KNN(k=5, Euclidean)、GNB与MLP(max_iter=300)；评估指标含Precision、Recall、F1-score、Accuracy，并按攻击类别逐一报告。
研究结果
5.1 Feature selection results（特征选择结果）
在ToN-IoT数据集上，Chi-Square FS配合RF与DT取得最优且稳定的多类攻击检测（整体Accuracy达98.25%，F1-score 98.26%），Backdoor类F1=1.00，多数攻击F1>0.85，MITM相对较难；RFE次之（RF F1可达0.96-1.00多数类）；Mutual Information对RF在Backdoor/DDoS/Injection表现好(F1>0.96)但对Ransomware与MITM下降明显；ANOVA为滤子法中较弱者，部分攻击类F1接近零；Random Forest Importance使DT在数类表现优异但MITM与XSS偏低。KNN仅在Chi-Square与RFE下可靠，MI与ANOVA下Backdoor与Scanning严重退化；GNB各FS法下均差(F1多<0.40)；MLP在Chi-Square下较好（DDoS/Injection/Normal/Ransomware F1 0.83-0.96），MI下显著变差。
在CIC-IoT-2022数据集上，Mutual Information、RF Importance、RFE使DT/RF/KNN达F1 0.85-1.00，MLP也获F1 0.82-1.00；Chi-Square为该数据集最弱FS（MLP对HTTPFlood与TCPFlood F1=0.00）；ANOVA中KNN于BruteForce偏低(F1=0.29)；GNB仍为最弱但MI下HTTPFlood尚可(F1=0.87)。总体FS在CIC-IoT-2022上差距缩小，树模型与KNN对各FS均较鲁棒。
5.2 Feature extraction results（特征提取结果）
在ToN-IoT数据集上，所有FE方法均严重损失类别可分性：PCA相对最好，RF于Normal(F1=0.77)、DoS(0.53)、XSS(0.27)，其余攻击大多近零；FastICA最差，仅Normal可辨(F1=0.79 by RF/KNN)；IPCA与TSVD模式相似（Normal F1=0.79，攻击类几乎全零），MLP于TSVD对DDoS(F1=0.50)稍好；LDA与NMF仅Normal被识别(F1 0.79-0.87)，攻击类F1≈0。表明无监督FE无法保留复杂多类ToN-IoT的判别信息。
在CIC-IoT-2022数据集上，PCA、FastICA、IPCA、TSVD使DT/RF/KNN/MLP达F1 0.82-1.00（仅少数略低如MLP-TCPFlood F1=0.82），远优于其在ToN-IoT表现；LDA于此数据集最佳（GNB也改善至HTTPFlood/Normal F1=0.91，但仍弱于树模型）；NMF中DT与RF对BruteForce较差(F1=0.08/0.35)，KNN与MLP仍好。说明FE有效性高度依赖数据集类别结构与维度。
5.3 FS vs FE comparative analysis（FS与FE对比分析）
ToN-IoT：FS（尤Chi-Square、RFE）全面优于FE，RF+Chi-Square组合最优（Acc 98.25%，F1 98.26%）。FE几无攻击类可分性。
CIC-IoT-2022：FS（MI/RFE/RF Imp）与多数FE（PCA/FastICA/IPCA/TSVD/LDA）均使树模型/KNN达~98%准确率，差距缩小；Chi-Square与ANOVA对部分分类器（尤其MLP、GNB）兼容性差；NMF对BruteForce在DT/RF上欠佳。
结论要点：FS与FE优劣无普适定论，取决于数据集类别结构、维度与所选分类器；Chi-Square最优于ToN-IoT但最次于CIC-IoT-2022；MI/RFE/RF Imp在两数据集均较稳健；LDA受限于k-1分量不适合多类(ToN-IoT十类)；无监督FE（PCA等）在简单低类数据集可用，复杂多类失效；KNN对FS法敏感；GNB与MLP对特征工程选择极敏感。
讨论与结论翻译（研究结论部分）
本研究对IoT入侵检测系统比较了五种特征选择技术——互信息(Mutual Information)、ANOVA、卡方检验(Chi-Square)、随机森林特征重要性(Random Forest Importance)及递归特征消除(Recursive Feature Elimination, RFE)——与六种特征提取技术——主成分分析(Principal Component Analysis, PCA)、快速独立成分分析(FastICA)、增量主成分分析(Incremental Principal Component Analysis, IPCA)、线性判别分析(Linear Discriminant Analysis, LDA)、非负矩阵分解(Non-negative Matrix Factorization, NMF)及截断奇异值分解(Truncated Singular Value Decomposition, TSVD)——并在ToN-IoT与CIC-IoT-2022基准数据集上使用五种异质分类器进行了评估。
实验结果表明，特征选择方法通常在分类鲁棒性上优于特征提取方法，尤其在更复杂的多类ToN-IoT数据集上，尽管该优势大小高度依赖于所选取的FS技术本身而非在所有配置下均成立。决策树(Decision Tree)与随机森林(Random Forest)在卡方检验(Chi-Square)与递归特征消除(Recursive Feature Elimination, RFE)特征选择下的检测性能最强且最稳定，但在互信息(Mutual Information)与ANOVA下对特定攻击类别（如MITM、Ransomware、Scanning）表现出明显弱点，说明某FS方法与分类器的适配性不能自动推广至所有攻击类别。在较简单的CIC-IoT-2022数据集上，决策树与随机森林在几乎所有FE方法下仍具竞争力，此现象于ToN-IoT中未观察到。KNN是受数据集影响最大的分类器：在CIC-IoT-2022上FS与FE范式下匹配或超越树模型表现，但在ToN-IoT上可靠性主要局限于Chi-Square与RFE特征选择，在MI、ANOVA及绝大多数FE方法下严重退化（除Normal类）。GNB与MLP是跨两数据集对特征工程方法选择最敏感的模型，单一攻击类的F1-score可因所采用的FS或FE技术从近零波动至0.85以上。
各FS技术中无单一方法在两数据集均全域最优：Chi-Square在ToN-IoT提供最强最稳结果但在CIC-IoT-2022为最弱FS法；互信息、随机森林重要性及RFE在两数据集提供持续较优（虽罕居首）的表现。该数据集依赖性逆转说明滤子式FS方法的适用性紧密关联目标IoT网络的类别结构与特征分布，FS技术选择应在部署数据集上做实证验证而非沿用前人结论。FE技术中LDA在类别数少时提供最具判别性的特征（于CIC-IoT-2022达本研究最佳部分结果），但其效用在十类ToN-IoT数据集上崩溃，证实k-1分量约束限制其扩展至复杂多类IoT场景。无监督FE方法（PCA、FastICA、IPCA、TSVD）在较简单CIC-IoT-2022上表现充分甚至近乎完美，但在更复杂ToN-IoT数据集上均匀失效，几乎所有分类器退化为仅识别Normal流量类。
未来工作建议探索FS与FE混合流水线（如对RF选定特征再作PCA）、基于深度学习的特征工程（自编码器、变分自编码器、图神经网络）及利用SHAP值做选定/提取特征的可解释性分析，以深化对IoT IDS模型决策过程的理解并解释Chi-Square等方法强数据集依赖性的成因，提升关键基础设施内部署可信度。
