机构网络日志中用于入侵检测的机器学习与深度学习架构的比较分析

《Computation》：Comparative Analysis of Supervised and Unsupervised Learning for Intrusion Detection in Network Logs Paulo Castro, Fernando Santos and Pedro Lopes

　　

随着网络威胁的复杂性和多样性不断增加，开发高性能的网络入侵检测系统（NIDS）已成为关键挑战。该领域的一个主要障碍是普遍存在的类别不平衡问题，即少数类攻击样本的稀缺性以及误分类成本的差异严重限制了传统模型的有效性，通常导致高误报率（FPR）和低召回率（Recall）之间的艰难权衡。为了解决这一挑战，研究人员提出了一项全面的比较评估，涉及监督式和无监督式机器学习（ML）以及深度学习（DL）架构，应用于机构网络日志。该实验框架处理了约180万条网络记录，其中异常类仅占0.000106%。研究人员实施了代价敏感学习（cost-sensitive learning）技术，即利用“scale_pos_weight”参数，在不进行外部数据操作（如过采样）的情况下，调整决策边界以赋予少数类正确分类更大的重要性。为了提高可解释性，研究人员基于SHAP（SHapley Additive exPlanations）原则进行了特征重要性分析，揭示出目的端口（Destination Port）、协议（Protocol）和流持续时间（Flow Duration）是最具决定性的特征。在监督式机器学习中，极端梯度提升（XGBoost）在优化后实现了0.96的召回率和0.85的精确率（Precision），而随机森林（Random Forest）虽特异性较好但遗漏了8个关键异常。随机梯度下降（SGD）虽达到1.00的召回率，但精确率仅为0.02，导致严重的“告警疲劳”。在无监督式机器学习中，隔离森林（Isolation Forest）、K-均值（K-Means）和基于密度的带噪声空间聚类应用（DBSCAN）均未能有效区分正常流量与异常，前者未识别出任何异常，后两者则产生大量误报。在监督式深度学习中，长短期记忆网络（LSTM）和门控循环单元（GRU）表现出竞争力；优化的堆叠GRU（Stacked GRU）将精确率提升至0.91，同时保持了0.85的召回率。相反，无监督式深度学习模型，如变分自动编码器（VAE）和DeepLog，由于异常事件与合法流量在统计上高度相似，导致重构误差分布重叠，无法设定有效阈值。此外，研究人员记录了将基于Transformer的模型（如BERT和LogBERT）集成到TensorFlow/Keras后端的实际互操作限制。研究结果表明，在该机构场景下，明确标签和专注于严重性的特征工程是鲁棒检测系统的支柱，而XGBoost因其威胁可见性而被定位为最具弹性的解决方案，平均推理延迟为每记录0.15毫秒，适合集成到ELK Stack等专业安全环境中。

论文解读：机构网络日志中入侵检测的机器学习与深度学习架构比较分析

研究背景与问题：

随着网络威胁日益复杂多样，网络入侵检测系统（NIDS）面临高性能需求的挑战。当前存在的主要问题包括：网络流量数据中普遍存在的严重类别不平衡（少数类攻击样本极稀缺），导致传统模型常在高误报率（FPR）和低召回率（Recall）间难以权衡；高维网络日志数据带来的计算复杂度；以及部分先进模型（如基于Transformer的架构）在不同深度学习框架间的互操作性问题。开展此项研究旨在系统性地比较各类机器学习（ML）与深度学习（DL）架构在真实机构网络日志中的入侵检测效能，明确不同范式在极端不平衡数据下的适用性，为实际安全部署提供依据。该论文发表于MDPI旗下的《Computation》期刊。

主要关键技术方法：

研究人员采用约180万条机构网络日志记录（异常类占比仅0.000106%）作为实验数据集。核心技术方法包括：1）针对严重类别不平衡，应用代价敏感学习（cost-sensitive learning），通过XGBoost的“scale_pos_weight”参数调整决策边界，而非使用过采样等外部数据操作；2）使用基于SHAP（SHapley Additive exPlanations）的特征重要性分析以确定关键特征（如目的端口、协议、流持续时间）；3）监督式机器学习模型（Random Forest、XGBoost、SGD结合Hinge损失模拟线性SVM）与无监督式机器学习模型（Isolation Forest、K-Means、DBSCAN）的训练与评估；4）监督式深度学习模型（LSTM、GRU及优化的Stacked GRU）处理，数据被重塑为三维格式（样本，时间窗口，特征），使用二元交叉熵损失与Adam优化器，并结合类别权重与Early Stopping；5）无监督式深度学习模型（VAE、DeepLog）基于重构误差（Reconstruction Error）的异常检测；6）统一的评估体系，涵盖混淆矩阵、Precision、Recall、F1-score、ROC-AUC、PR-AUC等指标，并使用分层交叉验证（Stratified Cross-Validation）。

研究结果：

5.1 监督式机器学习（Supervised Machine Learning）

研究人员比较了Random Forest、XGBoost和SGD。Random Forest偏向特异性，误报率最低但漏检8个异常（假阴性）。XGBoost在优化前召回率达0.96（识别46/48个威胁），精确率0.81；经过RandomizedSearchCV（50种超参数组合）与分层K折交叉验证（K=3，针对少数类F1-score优化）后，优化后的XGBoost精确率提升至0.85，假阳性减少约27%（从11降至8），F1-score达0.90，召回率保持0.96。SGD（配置Hinge损失模拟线性SVM）召回率达1.00，但精确率仅0.02，产生2623个假阳性，导致“告警疲劳”，操作上不可行。研究表明XGBoost在威胁可见性（多检测12.5%的异常）与操作实用性间取得最佳平衡。

5.2 无监督机器学习（Unsupervised Machine Learning）

研究人员应用Isolation Forest、K-Means和DBSCAN。Isolation Forest（ contamination 参数设为0.01）未识别出任何48个异常，且产生50个假阳性，PR-AUC仅0.0004，因异常非全局明显离群点而是融入正常流量密度。K-Means（k=8与k=50，基于99.99%与99.9%距离百分位数阈值）同样未识别出任何异常，假阳性随k增加而增加，PCA可视化显示异常分散于合法流量中，PR-AUC约0.0001。DBSCAN（限制性配置：min_samples=594；灵活配置：min_samples=30，eps=0.5）召回率达1.00但精确率为0，几乎将所有正常实例（约178万）分类为异常，数据在高维特征空间中离散度高，无法形成稳定簇。无监督方法在此数据集上因异常与合法流量统计相似性高而失效。

5.3 监督式深度学习（Supervised Deep Learning）

研究人员构建了LSTM与GRU模型（64个单元，Dropout 0.2，Sigmoid输出层，时间窗口=1，类别权重，Adam优化器，二元交叉熵，GPU加速，Early Stopping）。LSTM召回率0.96，精确率0.59，F1-score 0.89，ROC-AUC 1.00，PR-AUC 0.9473。GRU召回率0.96，精确率0.59。BERT（TFBertForSequenceClassification）因TensorFlow与PyTorch权重转换及Keras v3.x兼容性问题被排除，以保持框架统一性（TensorFlow/Keras）。优化的Stacked GRU（第一层64 GRU with return_sequences=True，第二层32 GRU，Dropout）精确率提升至0.91，假阳性从32降至4，F1-score 0.88，召回率0.85，ROC-AUC与PR-AUC稳定（0.9253），更适合生产环境。

5.4 无监督深度学习（Unsupervised Deep Learning）

研究人员训练VAE（仅正常类样本，编码器-解码器结构，潜空间维度，128神经元 dense 层，Adam优化器，100 epoch，基于重构误差百分位数阈值）与DeepLog（堆叠GRU层128与64单元，TimeDistributed解码层，MSE重构误差，Adam优化器，平衡子采样）。VAE的重构误差在合法与异常流量间近乎完全重叠，为达到0.95召回率，FPR接近1.0，操作无效。DeepLog未识别出任何48个威胁，所有指标为0，PR-AUC 0.0001，异常未表现为高重构残差的时间序列偏差，模型重构恶意与合法事件精度相近，无法设定阈值。LogBERT因同BERT的框架依赖问题被排除。

讨论与结论总结：

讨论部分指出，与提升算法（Boosting）成功对比，无监督架构在异常事件分离上存在关键限制，这源于数据集内在性质及预处理中的数据压缩可能削弱了决定性行为变量。成功依赖于监督式方法通过目标变量显式反馈映射复杂非线性关系的能力；无监督方法有效性取决于上下文丰富度以隔离异常而无先验监督。该机构场景中，显式标签与严重性聚焦的特征工程是鲁棒检测系统的支柱，反驳了仅通过统计发散检测假设。优化后的XGBoost模型在真实环境中的精确率虽略低于平衡公共数据集，但0.96召回率证明管道在识别关键威胁上高效，与标准基准（如CICIDS2017、UNSW-NB15）的SOTA结果可比。部署上，XGBoost平均推理延迟0.15毫秒/记录，8个假阳性调查成本边际，而识别46/48威胁的战略效益高，适合集成到ELK Stack，GPU加速维持低训练时间，可扩展适应威胁演变。

结论指出，监督式方法（尤XGBoost与Stacked GRU）优于无监督式重建误差方法（VAE、DeepLog），后者因异常与合法流量统计相似性高而判别力低。框架互操作性（TensorFlow/PyTorch）是实际挑战。未来工作包括集成到SIEM系统、实时流数据处理的互动仪表盘、公共基准验证及混合检测策略探索。该研究为机构网络日志入侵检测模型选择提供了实证依据，强调在极端不平衡场景下代价敏感学习与特征工程的重要性，以及XGBoost在操作化威胁检测中的高价值。