33、提升入侵检测系统性能以检测攻击

提升入侵检测系统性能以检测攻击

1. 轻梯度提升机（LightGBM）简介

梯度提升决策树（GBDT）是一种广泛应用于分类和回归问题的有效算法。近期，有人提出了一种新的GBDT分类算法——轻梯度提升机（LightGBM）。LightGBM基于决策树和提升思想构建，已有多项研究将其应用于入侵检测系统（IDS），不过它尚未用于物联网（IoT）的IDS分类。本文是首次将LightGBM引入物联网网络攻击和万物互联（EoT）的入侵检测系统的研究。

2. 评估数据集

本研究使用UNSW - NB15数据集进行评估。该数据集混合了攻击向量和真实的现代正常网络活动，网络数据包大小约为100GB，包含2,540,044条观测记录，记录在4个逗号分隔值（CSV）文件中。每条记录包含1个类别标签和47个特征，数据集由10个不同类别组成，包括1个正常类别和9个安全漏洞与恶意软件事件类别，如后门、分析、漏洞利用、拒绝服务（DoS）、侦察、通用、异常活动模糊测试、shell代码和蠕虫。

通过主成分分析（PCA）进行降维，从UNSW - NB15数据集中选择了10个特征用于评估提出的模型，具体特征如下表所示：
| # | 特征名称 | 特征描述 |
| — | — | — |
| 46 | ct_dst_sport_ltm | 100行中相同目标IP（dstip）和源端口（sport）的行数 |
| 33 | tcprtt | 设置往返时间，“ackdat”和“synack”之和 |
| 20 | Dwin | 目标传输控制协议（TCP）窗口值通告 |
| 45 | ct_src_dport_ltm | 100行中相同源IP