15、评估基于批次的数据聚合技术对网络入侵检测系统的影响

评估基于批次的数据聚合技术对网络入侵检测系统的影响

在网络安全领域，准确识别网络攻击是至关重要的。机器学习（ML）技术在网络入侵检测系统（NIDS）中得到了广泛应用，但原始网络数据集通常需要进行转换以适用于ML模型。本文将探讨基于批次的数据聚合技术在NIDS中的应用，并与基于时间戳的方法进行比较。

1. 数据集与方法

1.1 UGR’16数据集

UGR’16数据集包含四个月的匿名真实网络流量流（netflow），由西班牙一家互联网服务提供商（ISP）收集。该数据集分为CAL和TEST两部分，CAL部分包含2016年3月至6月的网络通信流量，TEST部分则是同年7月最后一周至8月的数据。在这个时间段内，除了正常的网络流量，还合成、编排并发起了各种网络攻击，使用了最新的攻击生成工具，涵盖了难以检测的攻击类型，如高低速率的拒绝服务（DoS）攻击或端口扫描。此外，还从其他现有网络数据集中引入了一些网络攻击，如僵尸网络（Botnet）。通过对流量流的深入分析，标记了被先进异常检测器识别为网络异常的攻击，包括UDP端口扫描、SSH扫描和垃圾邮件活动。当某些流量的IP出现在知名的黑名单开源源中时，这些流量被标记为黑名单。

TEST部分各类别的流量分布情况如下表所示：
| 类别 | 流量数量 | 百分比 |
| — | — | — |
| 背景流量 | ∼4,000M | 97.14 |
| 黑名单 | ∼18M | 0.46 |
| 僵尸网络 | ∼2M | 0.04 |
| DoS攻击 | ∼9M | 0.23 |
| SSH扫描 | 64 | ∼0 |
| 扫描 | ∼6M | 0.14