基于特征引导CNN与可解释性AI的混合深度学习网络入侵检测框架

《IEEE Access》：An Explainable Hybrid Deep Learning Framework for Network Intrusion Detection Using Feature-Guided CNN Models

本文针对传统入侵检测系统难以应对新型网络攻击的挑战，提出了一种结合XGBoost/Random Forest特征选择与卷积神经网络（CNN）的混合深度学习框架。研究人员利用CICIDS2017数据集，通过Borderline-SMOTE处理类别不平衡，采用SHAP进行模型可解释性分析，最终使RF+CNN模型达到97.51%的准确率。该研究显著提升了网络入侵检测的准确性和可解释性，为网络安全领域提供了可靠的技术方案。

　　

随着数字化技术的快速发展，网络安全问题日益突出。传统的入侵检测系统主要依赖预定义的规则或已知攻击特征，难以应对零日漏洞和新型攻击策略。网络攻击正变得更加频繁、复杂和多样化，对信息系统的保密性、完整性和可用性构成严重威胁。在这种背景下，开发智能、自适应的入侵检测系统成为研究热点。

机器学习方法如随机森林（RF）和极限梯度提升（XGBoost）因其处理高维数据、防止过拟合和产生高分类精度的能力，在网络安全领域显示出巨大潜力。然而，这些模型在捕捉序列和时间模式方面的能力有限，而深度学习模型如卷积神经网络（CNN）恰好能弥补这一不足。此外，黑盒模型缺乏可解释性也限制了其在安全关键领域的应用。

为此，研究人员在《IEEE Access》上发表了题为"An Explainable Hybrid Deep Learning Framework for Network Intrusion Detection Using Feature-Guided CNN Models"的研究论文，提出了一种结合机器学习和深度学习优势的混合入侵检测系统。该研究使用CICIDS2017数据集，该数据集包含真实网络流量场景，涵盖正常流量和多种恶意活动。

研究人员采用了多项关键技术方法：首先对CICIDS2017数据集进行预处理，包括类别合并、数据清洗、标签编码和标准化；使用主成分分析（PCA）降低特征维度，采用Borderline-SMOTE处理类别不平衡问题；通过XGBoost和随机森林进行特征选择，分别保留15和23个重要特征；构建XGB+CNN和RF+CNN两种混合模型，利用CNN捕捉序列模式；最后应用SHAP进行模型可解释性分析，提供全局和局部解释。

数据预处理与特征选择

研究首先对CICIDS2017数据集进行了全面的预处理。将低频率攻击类别进行合并，如将"DoS Hulk"、"DoS Slowloris"等合并为DoSFam类，将"FTP-Patator"和"SSH-Patator"合并为Brute Force类。通过消除空值和无限值，保证数据质量。使用标签编码将类别标签转换为数值形式，并通过StandardScaler进行特征标准化。PCA被用于降低维度，保留25个主成分，捕获超过95%的方差。Borderline-SMOTE处理类别不平衡，确保每个类别在训练集中有同等数量的样本。

XGBoost和随机森林分别用于特征选择。XGBoost基于特征重要性得分的中位数（0.01449）选择了15个特征，包括目的端口、前向包长度均值等。随机森林选择了23个特征，包括目的端口、前向包长度最大值等。两种模型选择的重叠特征表明这些特征对入侵检测至关重要。

模型性能评估

XGBoost模型在特征选择后达到了99.13%的准确率，在所有五个类别上都表现出接近完美的精确度、召回率和F1分数。混淆矩阵显示模型对良性流量和各类攻击都有很好的识别能力。ROC曲线分析显示宏平均AUC为0.9946，表明模型具有很高的分类能力。

随机森林模型表现更优，达到99.45%的准确率。分类报告显示所有类别的精确度、召回率和F1分数都接近1.00。混淆矩阵表明模型对Brute Force攻击和PortScan类别的识别几乎完美。宏平均ROC AUC为0.9965，进一步证实了模型的卓越性能。

两种模型在特征选择上存在差异：XGBoost选择了更少的特征（15个），而随机森林选择了更多的特征（23个）。这种差异反映了 boosting 和 bagging 方法的内在差异 - XGBoost更注重减少误差的特征，而随机森林通过特征多样性提高性能。

混合模型开发与性能

研究人员开发了两种混合模型：XGB+CNN和RF+CNN。这些模型将选择的特征输入到CNN架构中，该架构包含三个Conv1D层（128、64、32个滤波器）、ReLU激活函数、扁平层、全连接层和dropout层（0.4）。最终输出层使用softmax激活函数进行多分类。

XGB+CNN模型达到了95.04%的测试准确率，在所有攻击类别上都表现出良好的精确度、召回率和F1分数。特别是对Brute Force和PortScan类别识别效果最佳。RF+CNN模型表现更优，达到97.51%的测试准确率，所有类别的精确度、召回率和F1分数都超过0.97。

SHAP可解释性分析

SHAP分析为混合模型提供了全局和局部解释。对于XGB+CNN模型，Brute Force攻击的最重要特征是目的端口、后向包长度最小值和前向包长度均值。DDoS攻击的主要特征是后向包长度标准差和目的端口。DoSFam攻击受后向包长度标准差和目的端口影响最大。PortScan攻击则主要受PSH标志计数和前向包长度均值影响。

依赖图显示目的端口值与SHAP值之间存在复杂关系，低端口值对预测有正负两种影响。后向包总长度对模型输出的影响较弱，而前向包总长度在值较低时对DoSFam预测有积极贡献。

力图为个别预测提供局部解释。例如，Brute Force攻击的预测受前向包长度最小值、后向包长度最小值和PSH标志计数的零值强烈推动。DDoS攻击的预测则受前向包长度均值、前向包长度最大值和目的端口的强烈正贡献。

对于RF+CNN模型，SHAP分析显示Brute Force攻击的最重要特征是目的端口、后向包长度最小值和后向包长度均值。DDoS攻击受平均后向段大小、前向包长度均值和平均包大小影响最大。DoSFam攻击主要受目的端口、后向包长度均值和后向包长度最小值影响。PortScan攻击则主要受PSH标志计数和后向包数/秒影响。

特征依赖分析表明，目的端口与包长度均值之间存在交互作用，影响模型输出。后向包总长度的影响较弱，而前向包总长度在值增加时对攻击分类有负面影响。

本研究通过结合传统机器学习特征选择能力和深度学习的模式识别能力，提出了一种高效、可解释的网络入侵检测系统。实验结果表明，混合模型在准确率和可解释性方面都表现出色，特别是RF+CNN模型达到了97.51%的准确率。SHAP分析验证了模型决策的合理性，表明预测确实基于与网络安全相关的特征。

该研究的创新点在于将特征选择与深度学习相结合，并引入可解释性分析，使黑盒模型变得透明可信。这种方法不仅提高了入侵检测的准确性，还增强了模型在实际安全环境中的可信度。研究结果为开发下一代智能网络安全系统提供了重要参考，特别是在需要高准确率和可解释性的关键应用场景中。

未来的研究方向包括将模型应用于实时网络监控系统，探索在线学习算法使系统能自适应新型攻击，以及在更多数据集上验证模型的泛化能力。这些工作将进一步完善该混合框架，推动网络入侵检测技术向更智能、更可靠的方向发展。