一种适用于多种流量数据集的网络攻击检测的、与具体领域无关的可解释框架

《Scientific Reports》：A domain-agnostic explainable framework for network attack detection across diverse traffic datasets

　　

摘要

网络威胁的复杂性、规模和多样性日益增加，给现代网络安全系统带来了巨大挑战，尤其是在异构网络环境中。现有的入侵检测方法往往依赖于特定数据集构建的模型，这类模型难以在不同数据分布下保持稳定的性能，且通常缺乏可解释性，因此难以在关键系统中应用。本文提出了一种可解释的深度学习框架，并在多种异构网络攻击数据集上进行了测试，这些数据集包括Kitsune（物联网流量）、基于服务器的网络数据（企业日志）以及恶意软件流量数据集。该框架采用一致的预处理策略，包括特征标准化、编码和标签对齐，随后使用带有 Dropout 正则化的多层感知器分类器进行建模。模型训练过程中采用了余弦学习率调度和提前停止策略，而可解释性则通过基于 SHAP 的全局特征归因和基于 LIME 的实例级解释来实现。性能评估采用了准确率、ROC-AUC 和 F1 分数等指标。在该框架下，模型在 Kitsune 数据集上的准确率为96.0%，在基于服务器的数据集上为99.99%，在恶意软件数据集上为99.58%，且大多数类别的 ROC-AUC 值均接近1.00。实验结果证明了该框架在处理异构网络流量的有效性，同时还能为模型预测提供可解释的洞察。