基于CICIDS2017数据集实现SOTA准确率的实战指南：从数据预处理到模型优化

1次阅读

没有评论

共计 1980 个字符，预计需要花费 5 分钟才能阅读完成。

CICIDS2017 是网络安全领域广泛使用的入侵检测基准数据集，包含正常流量和常见攻击类型（如 DDoS、Brute Force 等）。该数据集的主要价值在于：

真实网络环境采集，包含完整流量特征（如数据包长度、协议类型等 78 个特征）
覆盖多种攻击场景，适合构建通用型检测模型

但该数据集也带来显著挑战：

类别不平衡：正常流量占比高达 83%，部分攻击类型样本不足 1%
高维度特征：78 个特征中存在大量相关性高的统计特征
概念漂移：网络攻击模式会随时间演化

优点：
自带特征重要性评估
对缺失值不敏感
训练速度快
缺点：
容易过拟合少数类

优点：
内置类别权重参数
支持并行计算
竞赛常用方案
缺点：
需要仔细调参

优点：
自动特征工程
处理高维数据优势
缺点：
需要大量数据
训练成本高

新手推荐方案：XGBoost + SMOTE 组合，平衡实现难度与性能

# 加载数据
df = pd.read_csv('CICIDS2017.csv')

# 处理缺失值
# 数值列用中位数填充
num_cols = df.select_dtypes(include=np.number).columns
df[num_cols] = df[num_cols].fillna(df[num_cols].median())

# 标准化
scaler = StandardScaler()
df[num_cols] = scaler.fit_transform(df[num_cols])

# 特征选择（基于方差阈值）selector = VarianceThreshold(threshold=0.1)
selected_features = selector.fit_transform(df[num_cols])

from imblearn.over_sampling import SMOTE

# 原始类别分布
print(y.value_counts())

# 应用 SMOTE
sm = SMOTE(sampling_strategy='minority')
X_res, y_res = sm.fit_resample(X, y)

# 采样后分布
print(y_res.value_counts())

import xgboost as xgb

# 设置类别权重（计算逆频率）weights = y.value_counts() / len(y)
class_weights = {i: 1/w for i,w in weights.items()}

# 模型配置
params = {
    'objective': 'multi:softmax',
    'num_class': 8,
    'eta': 0.1,
    'max_depth': 6,
    'scale_pos_weight': class_weights 
}

# 训练
model = xgb.XGBClassifier(**params)
model.fit(X_train, y_train)

优先看 PR 曲线 而非 ROC 曲线（类别不平衡场景）
关注 F1-score 而非单纯准确率

方法	召回率 @攻击类	F1-score
原始数据	0.62	0.58
SMOTE	0.81	0.76
ADASYN	0.79	0.74

数据泄露：
错误做法：在划分训练集前做标准化
正确做法：先划分再分别标准化
评估指标误用：
错误做法：只关注整体准确率
正确做法：按类别输出 classification_report
参数盲目调优：
错误做法：一开始就网格搜索所有参数
正确做法：先固定 learning_rate=0.1 找最佳树深度
特征工程过度：
错误做法：对所有特征做多项式扩展
正确做法：先用 xgboost 特征重要性筛选
采样策略错误：
错误做法：对测试集也做过采样
正确做法：只在训练集应用 SMOTE

from fastapi import FastAPI
import joblib

app = FastAPI()
model = joblib.load('xgb_model.pkl')

@app.post('/detect')
async def detect(features: dict):
    # 预处理输入
    features = preprocess(features)
    # 预测
    pred = model.predict([features])
    return {'attack_type': pred[0]}