评估基于机器学习的异常检测在不同数据完整性的数据集上的表现：案例研究
内容提要
综述多篇网络入侵检测研究，涵盖随机过采样与聚类堆叠特征嵌入模型（在UNSW-NB15等数据集上优于现有技术）、ICS-Flow和TII-SSRC-23等新数据集构建、多阶段优化框架（减少训练样本74%、特征50%，准确率超99%），以及两阶段异常检测、特征选择、对抗攻击鲁棒性和贝叶斯优化调参。
延伸解读
数据完整性对模型性能的影响
文章指出，对基于流量的真实数据集进行相对较小的修改，就会影响异常检测模型的性能。这强调了数据质量评估和优化技术对于自主网络的重要性。读者应注意，数据完整性并非次要因素，而是直接影响模型可靠性的关键变量。
多阶段优化框架的效率与精度平衡
文章介绍的多阶段优化框架在减少训练样本最高74%、特征集最高50%的同时，在CICIDS 2017和UNSW-NB 2015数据集上检测准确率均超过99%，且精度更高1-2%、误报率更低1-2%。这表明通过过采样和特征选择，可以在不牺牲性能的前提下显著降低计算复杂性。
对抗攻击下的鲁棒性风险
研究显示，灰盒/黑盒交通空间对抗攻击对基于机器学习的网络入侵检测系统可达到最高97%的躲避率。攻击方法能自动突变原始数据流，适用于多种ML/DL模型和非载荷特征。这提醒读者，在评估模型时需考虑对抗环境下的鲁棒性，并关注所提出的防御措施。
新数据集推动领域适应性
文章提及ICS-Flow和TII-SSRC-23等新数据集，旨在解决现有数据集在多样性和与当代网络环境一致性方面的挑战。这些数据集为监督和无监督入侵检测方法建立了基准，并提供了对关键特征的见解，有助于推动模型在快速变化的网络安全领域中的进展和适应性。
Q&A
有哪些基于机器学习的网络入侵检测模型在基准数据集上表现优于现有技术？
一种使用随机过采样处理数据不平衡、基于聚类结果进行堆叠特征嵌入，并用主成分分析进行维度约简的模型，在UNSW-NB15、CIC-IDS-2017和CIC-IDS-2018数据集上性能持续优于现有技术。
ICS-Flow数据集是什么？它有什么用途？
ICS-Flow是一个新的工业控制系统网络数据集，旨在为机器学习算法提供更真实有效的数据。作者通过实现决策树、随机森林和神经网络等模型来检测ICS的安全隐患与攻击，并证明该数据集可用于训练入侵检测的机器学习模型。
多阶段优化的NIDS框架如何降低计算复杂性并保持检测性能？
该框架通过研究过采样技术对训练样本大小的影响，确定最小合适训练样本大小，并探究基于信息增益和基于相关性的特征选择技术对检测性能和时间复杂度的影响，同时调查不同超参数优化技术。实验证明，该模型显著降低了所需训练样本大小（最高74%）和特征集大小（最高50%），在CICIDS 2017和UNSW-NB 2015数据集上检测准确率均超过99%，优于最近文献工作，精度更高1-2%，误报率更低1-2%。
两阶段异常检测模型如何提高工业物联网网络的可靠性？
该模型通过集成机器学习技术——支持向量机和朴素贝叶斯，使用集成混合技术进行预测，以及神经网络分类器和随机森林算法进行结果分类。测试结果表明，该模型的准确性最高可达99%，且优于传统技术。
基于机器学习的NIDS面临哪些对抗攻击风险？如何防御？
研究首次系统研究了灰盒/黑盒交通空间对抗攻击来评估基于ML的NIDS的鲁棒性，攻击效果最高可达97%躲避率。研究提出了可自动突变原始数据流、适用于多种ML/DL模型和非载荷特征的通用攻击，同时提出防御措施来提高系统鲁棒性。
TII-SSRC-23数据集解决了哪些现有数据集的挑战？
TII-SSRC-23是一个新颖且全面的数据集，旨在解决现有数据集在多样性和与当代网络环境的一致性方面的挑战。通过广泛实验，为监督和无监督入侵检测方法建立了坚实的基准，并提供了对入侵检测任务关键特征的重要见解，从而推动入侵检测模型在网络安全快速变化领域中的进展和适应性。
贝叶斯优化如何用于异常检测算法的参数调优？
该研究提出了使用贝叶斯优化技术来调节支持向量机、随机森林和k-最近邻算法参数的异常检测框架，并使用ISCX 2012数据集评估了这些算法的性能，结果显示该框架在准确率、精度、误报率和召回率方面具有显著效果。
