网络安全实战：从零开始使用CICIDS2018数据集进行入侵检测分析

1次阅读

没有评论

共计 1956 个字符，预计需要花费 5 分钟才能阅读完成。

刚接触网络安全时，很多同学会卡在 ” 巧妇难为无米之炊 ” 的困境——想练习入侵检测技术，却找不到合适的真实流量数据。实验室自制的模拟数据往往缺乏现实攻击的复杂性，而企业真实数据又涉及隐私问题。这时候标准化的公开数据集就成了救命稻草。

CICIDS2018 是加拿大网络安全研究所发布的标杆数据集，它的三大优势特别适合初学者：

真实网络环境捕获的混合流量（包括正常操作和多种攻击）
精细标注的时间窗口和攻击类型
包含完整的网络层和传输层特征

数据集包含 8 大类攻击场景，基本覆盖了常见入侵方式：

Brute Force（暴力破解）
Heartbleed（心脏滴血漏洞利用）
Botnet（僵尸网络）
DDoS（分布式拒绝服务）
Web Attacks（Web 应用攻击）
Infiltration（内网渗透）
DoS Hulk（高强度 DoS）
PortScan（端口扫描）

下载解压后会看到多个 CSV 文件，每个对应不同攻击场景的流量快照。关键字段包括：

基础网络特征：源 / 目的 IP 端口、协议类型、数据包大小
流量统计特征：时间窗口内的流量均值、标准差
连接特征：TCP 状态标志、流量突发性指标
攻击标签：BENIGN（正常）或具体攻击类型

首先安装必备工具包（建议使用 Python 3.8+）：

pip install pandas scikit-learn matplotlib

import pandas as pd
from sklearn.model_selection import train_test_split

# 加载单个攻击场景数据（示例用 Brute Force 文件）df = pd.read_csv('MachineLearningCSV/MachineLearningCVE/Friday-WorkingHours-Afternoon-PortScan.pcap_ISCX.csv')

# 处理缺失值
print("缺失值统计:", df.isnull().sum())
df.fillna(0, inplace=True)  # 简单用 0 填充

# 查看标签分布
print("标签分布:\n", df['Label'].value_counts())

# 特征 / 标签分离
X = df.drop(['Label'], axis=1)
y = df['Label']

# 划分训练测试集
X_train, X_test, y_train, y_test = train_test_split(X, y, test_size=0.3, random_state=42, stratify=y)

from sklearn.ensemble import RandomForestClassifier
from sklearn.metrics import classification_report

# 初始化随机森林
clf = RandomForestClassifier(
    n_estimators=100,
    max_depth=10,
    random_state=42,
    class_weight='balanced'  # 自动处理类别不平衡
)

# 训练模型
clf.fit(X_train, y_train)

# 评估效果
preds = clf.predict(X_test)
print(classification_report(y_test, preds))

数据集存在严重的类别不平衡（正常流量占多数），直接训练会导致模型偏向多数类。解决方法：