网络安全实战：基于CICIDS2017数据集的入侵检测入门指南

1次阅读

共计 1643 个字符，预计需要花费 5 分钟才能阅读完成。

作为网络安全领域的经典基准数据集，CICIDS2017 由加拿大网络安全研究所公开提供，其权威性体现在三个方面：

真实网络环境采集：包含 5 天完整流量，覆盖正常办公行为与模拟攻击场景
丰富攻击类型：DDoS、Brute Force FTP/SSH、Heartbleed、Web 攻击等 8 大类攻击
精细标注：每个流量会话标记为 BENIGN 或具体攻击类型

使用 PyShark 处理原始流量包（示例代码需安装 pyshark 包）：

import pyshark

def extract_pcap_features(pcap_path):
    cap = pyshark.FileCapture(pcap_path)
    features = []
    for pkt in cap:
        if 'IP' in pkt:
            features.append({
                'src_ip': pkt.ip.src,
                'dst_ip': pkt.ip.dst,
                'protocol': pkt.transport_layer,
                'length': int(pkt.length)
            })
    return features

通过 Scapy 实现基于五元组的会话重组：

from scapy.all import *

def session_extractor(pcap):
    sessions = pcap.sessions()
    for session in sessions:
        pkts = sessions[session]
        yield {'duration': pkts[-1].time - pkts[0].time,
            'packet_count': len(pkts),
            'bytes_total': sum(len(p) for p in pkts)
        }

会话时长分布
包大小均值 / 方差
流量突发性指标

滑动窗口内的请求速率
SYN/FIN 包比例
ICMP 异常波动

HTTP 头异常字段
URL 参数熵值
SQL 注入特征片段

完整处理流程代码（需提前安装 scikit-learn 和imbalanced-learn）：

# 数据标准化
from sklearn.preprocessing import StandardScaler
scaler = StandardScaler()
X_scaled = scaler.fit_transform(X_features)

# 随机森林分类
from sklearn.ensemble import RandomForestClassifier
clf = RandomForestClassifier(n_estimators=100, class_weight='balanced')
clf.fit(X_train, y_train)

# 特征重要性分析
importances = clf.feature_importances_
for i, feat in enumerate(feature_names):
    print(f"{feat}: {importances[i]:.2f}")

# 评估指标
from sklearn.metrics import classification_report
print(classification_report(y_test, y_pred))