摘要
物联网（IoT）设备的广泛部署扩大了现代网络的攻击面，使物联网僵尸网络成为持续的网络安全威胁。尽管基于机器学习的入侵检测系统（IDS）已展现出令人满意的检测能力，但其性能往往受到冗余高维特征和有限的模型可解释性的阻碍。本研究提出了一种可解释性引导的特征选择框架，该框架利用从 XGBoost 模型中派生的 SHAP 值对特征进行排序，并系统性地比较了其在 N-BaIoT 数据集上跨九个机器学习分类器的有效性，比较对象包括互信息（MI）、方差分析（ANOVA）和主成分分析（PCA）。实验结果表明，使用 SHAP 选择的特征，LightGBM 仅使用前 10 个特征即可达到 0.9994 的准确率。在所评估的特征选择方法中，SHAP 在九个分类器中的七个上实现了最高的分类性能，而 Wilcoxon 符号秩检验表明 SHAP 与 ANOVA 之间存在统计学上的显著差异（p = 3.03 × 10?5）；SHAP 与 MI 之间的差异在常规阈值下具有显著性（p = 2.86 × 10?2），但在经过多重比较的 Bonferroni 校正后不再显著。此外，基于 SHAP 的分析揭示了 Mirai 和 Gafgyt 僵尸网络家族之间截然不同的流量统计特征，为可解释性感知的物联网入侵检测提供了可操作的见解。该提出的框架为平衡物联网僵尸网络检测中的检测性能和模型可解释性提供了实用的解决方案。
