企业官网建设流程全解析

简介：这是一套面向计算机专业本科生的高完成度机器学习实战项目，专为毕业设计、课程设计及安全方向项目实践打造，聚焦网络入侵检测这一典型应用场景。资源包含完整可运行的Python源码与配套技术报告文档，覆盖数据预处理、特征工程、CNN/LSTM/传统机器学习（RF等）多模型实现与对比分析，支持端到端训练、预测与结果可视化。压缩包共31个文件，含14个核心Python脚本（如cnn_train.py、lstm_predict.py、classify.py）、3个CSV数据集（含UNSW-NB15原始数据与处理后特征文件）、5个说明类文本与Markdown文档、2个HDF5模型权重文件及1份Word版技术方案报告，整体大小26.58MB，结构清晰、模块解耦，小白亦可按README指引顺利复现。目前已有165人学习下载，提供从数据加载、不平衡处理（Process_Imbanlce.py）、归一化（Min-max.py）到多模型评估的全流程支撑，附带准确率图表（cnn_pytorch_acc.jpg）与详细实验日志，切实降低毕设实施门槛。

1. 项目缘起：从“高分”标签到实战价值的思考

最近在整理资料时，翻到了一个老项目——“基于机器学习的入侵检测系统”。这个项目在当年课程设计或者毕业设计中，常常被冠以“高分项目”的标签。说实话，我第一次看到这类标题时，心里是有点犯嘀咕的：一个“高分项目”，它的价值究竟在哪里？是代码写得花哨，报告排版精美，还是真的解决了入侵检测中的某个实际问题？随着这几年在安全数据分析领域的实践，我逐渐明白，一个真正有价值的入侵检测项目，其核心不在于“高分”的噱头，而在于它是否清晰地定义了一个可解的、有现实意义的分类问题，并采用了一套合理、可解释的机器学习流程去逼近它。

今天，我就想抛开那些为了得高分而堆砌的复杂模型和华丽辞藻，回归到一个从业者的视角，和大家一起拆解如何用Python构建一个“能工作、可理解、有改进空间”的入侵检测系统原型。我们会从数据理解开始，走过特征工程的坑，尝试几种经典的模型，并最终思考如何将模型结果转化为可操作的“告警”。你会发现，源码和报告只是载体，背后的设计思路、权衡取舍以及对安全业务的理解，才是这个项目真正的灵魂。

2. 基石：深入理解你的数据——NSL-KDD数据集剖析

任何机器学习项目，数据都是起点，对于入侵检测更是如此。我们不可能在真实生产环境抓取海量流量来起步，因此学术界和工业界广泛使用基准数据集。其中，NSL-KDD是绕不开的一个。它是对经典KDD Cup 99数据集的改进版本，修复了原数据集中的冗余记录等问题，更适合用于评估模型。

拿到数据后，别急着跑代码。第一步应该是像侦探一样审视数据。NSL-KDD数据集通常包含几个文件：KDDTrain+.txt（训练集）、KDDTest+.txt（测试集），有时还有KDDTest-21.txt（难度更大的测试集）。我们用pandas加载后，首先要看它的结构。

import pandas as pd # 假设数据文件在当前目录 column_names = [ 'duration', 'protocol_type', 'service', 'flag', 'src_bytes', 'dst_bytes', 'land', 'wrong_fragment', 'urgent', 'hot', 'num_failed_logins', 'logged_in', 'num_compromised', 'root_shell', 'su_attempted', 'num_root', 'num_file_creations', 'num_shells', 'num_access_files', 'num_outbound_cmds', 'is_host_login', 'is_guest_login', 'count', 'srv_count', 'serror_rate', 'srv_serror_rate', 'rerror_rate', 'srv_rerror_rate', 'same_srv_rate', 'diff_srv_rate', 'srv_diff_host_rate', 'dst_host_count', 'dst_host_srv_count', 'dst_host_same_srv_rate', 'dst_host_diff_srv_rate', 'dst_host_same_src_port_rate', 'dst_host_srv_diff_host_rate', 'dst_host_serror_rate', 'dst_host_srv_serror_rate', 'dst_host_rerror_rate', 'dst_host_srv_rerror_rate', 'attack_type', 'difficulty_level' ] train_df = pd.read_csv('KDDTrain+.txt', names=column_names) test_df = pd.read_csv('KDDTest+.txt', names=column_names) print(f"训练集形状: {train_df.shape}") print(f"测试集形状: {test_df.shape}") print("\n训练集前5行:") print(train_df.head()) print("\n数据列信息:") print(train_df.info())

运行后你会发现几个关键点：

1. 特征混合：数据包含数值型特征（如duration,src_bytes）和类别型特征（如protocol_type,service,flag）。这是网络流量数据的典型特点。
2. 标签列：最后一列是attack_type，它才是我们的预测目标。但注意，它并不是简单的“正常”或“攻击”，而是包含了数十种具体的攻击类型（如smurf,neptune,guess_passwd等），并归类为四大类：DoS（拒绝服务）、Probe（侦察）、R2L（远程越权）和U2R（本地越权）。
3. 数据规模：训练集约12.5万条，测试集约2.2万条。这个量级对于教学和原型验证是足够的。

注意：很多初学者会忽略数据集的“难度分级”（difficulty_level列）。这个字段标识了该记录被分类的难易程度。在后续模型评估时，单独分析高难度样本上的表现，能更真实地反映模型的泛化能力，而不是仅仅看一个整体的准确率。

理解数据分布至关重要。我们需要看看攻击类型的分布是否均衡。

import matplotlib.pyplot as plt # 统计训练集中攻击类型的分布 attack_dist = train_df['attack_type'].value_counts() print("攻击类型分布（前10）:") print(attack_dist.head(10)) # 可视化 plt.figure(figsize=(12, 6)) attack_dist.head(15).plot(kind='bar') plt.title('训练集攻击类型分布 (Top 15)') plt.xlabel('攻击类型') plt.ylabel('数量') plt.xticks(rotation=45) plt.tight_layout() plt.show()

你会发现，smurf和neptune（都属于DoS攻击）的数量远远多于其他类型，比如warezclient或spy。这就是典型的类别不平衡问题。如果我们不处理这个问题，模型会倾向于将所有样本都预测为数量多的类别，从而在测试集上得到一个虚高的准确率，但对少数攻击类型的检测率（召回率）会惨不忍睹。这是入侵检测系统实战中第一个，也是最重要的一个坑。

3. 特征工程：将网络连接转化为模型语言

原始数据不能直接喂给大多数机器学习算法。特征工程的目标是把一条网络连接记录（包含协议、服务、字节数、错误率等）转换成一串数值向量，同时尽可能保留其用于区分“正常”和“异常”的信息。这个过程直接决定了模型性能的天花板。

3.1 处理类别型特征：独热编码与陷阱

对于protocol_type,service,flag这类类别特征，最常用的方法是独热编码（One-Hot Encoding）。pandas的get_dummies函数可以很方便地实现。

# 对类别型特征进行独热编码 categorical_cols = ['protocol_type', 'service', 'flag'] train_df_encoded = pd.get_dummies(train_df, columns=categorical_cols, prefix=categorical_cols) test_df_encoded = pd.get_dummies(test_df, columns=categorical_cols, prefix=categorical_cols) print(f"编码后训练集特征数: {train_df_encoded.shape[1]}")

这里有一个巨坑：训练集和测试集在独热编码后，特征维度可能不一致！因为测试集中可能出现了训练集里没有的类别值（例如某个特殊的service类型）。直接分别编码再合并，会导致特征矩阵无法对齐。正确的做法是，先获取训练集和测试集在类别列上的所有唯一值集合，然后以这个全集作为编码的依据，或者使用sklearn的OneHotEncoder并设置handle_unknown=’ignore’。

from sklearn.preprocessing import OneHotEncoder from sklearn.compose import ColumnTransformer # 假设我们已经将数据分为特征X和标签y # 定义类别列和数值列 categorical_features = ['protocol_type', 'service', 'flag'] numerical_features = [col for col in train_df.columns if col not in categorical_features + ['attack_type', 'difficulty_level']] # 创建预处理管道 preprocessor = ColumnTransformer( transformers=[ ('num', 'passthrough', numerical_features), # 数值列直接通过 ('cat', OneHotEncoder(handle_unknown='ignore'), categorical_features) # 类别列独热编码，忽略未知值 ]) # 在训练集上拟合预处理器，并转换训练集和测试集 X_train = preprocessor.fit_transform(train_df[numerical_features + categorical_features]) X_test = preprocessor.transform(test_df[numerical_features + categorical_features])

这样，即使测试集出现了新的类别，对应的独热编码列会全部置为0，保证了特征维度的一致性。

3.2 数值型特征：标准化与异常值

数值型特征如src_bytes（源字节数）的取值范围可能非常大（从0到数十亿），而duration（连接时长）可能只有几十秒。这种量纲差异会影响基于距离的模型（如KNN、SVM）和基于梯度下降的模型（如神经网络）。因此，标准化（Standardization）或归一化（Normalization）是必要的。

from sklearn.preprocessing import StandardScaler # 注意：scaler应该在训练集上拟合，然后应用到训练集和测试集 scaler = StandardScaler() X_train_scaled = scaler.fit_transform(X_train) X_test_scaled = scaler.transform(X_test)

实操心得：对于入侵检测数据，很多数值特征（如src_bytes）的分布是高度偏斜的，存在大量0值和少数极大值。直接标准化可能效果不佳。可以先尝试做对数变换（np.log1p）来缓解偏斜，然后再标准化。但要注意，测试集应用同样的变换。

3.3 标签编码：从多分类到二分类

我们的目标是构建一个入侵检测系统，首要任务是区分“正常（normal）”和“异常（attack）”。因此，我们需要将细粒度的attack_type标签转化为二分类标签。

# 将标签转化为二分类：normal 和 attack def label_to_binary(label): return 0 if label == 'normal' else 1 y_train_binary = train_df['attack_type'].apply(label_to_binary) y_test_binary = test_df['attack_type'].apply(label_to_binary)

当然，你也可以保留多分类标签（区分攻击类型），但这通常是一个更困难的任务，并且对数据平衡性要求更高。对于入门和原型系统，强烈建议从二分类开始。它能让你更专注于流程和通用性问题的解决。

4. 模型选择与训练：没有银弹，只有权衡

特征准备好了，标签也定义好了，接下来就是选择模型。很多人一上来就想用最复杂的深度学习模型，但对于NSL-KDD这样的结构化表格数据，传统机器学习模型往往表现不俗，且训练速度快、可解释性强。

4.1 尝试经典模型：决策树与随机森林

我们从最简单的决策树开始。决策树最大的优点是可解释性。你可以清晰地看到模型是如何根据特征值做出一系列判断最终得出结论的。这对于安全分析师理解“为什么这条连接被判定为攻击”至关重要。

from sklearn.tree import DecisionTreeClassifier from sklearn.metrics import classification_report, confusion_matrix, accuracy_score # 初始化并训练决策树 dt_clf = DecisionTreeClassifier(random_state=42, max_depth=10) # 限制深度防止过拟合 dt_clf.fit(X_train_scaled, y_train_binary) # 在测试集上预测 y_pred_dt = dt_clf.predict(X_test_scaled) # 评估 print("决策树分类报告:") print(classification_report(y_test_binary, y_pred_dt, target_names=['normal', 'attack'])) print(f"准确率: {accuracy_score(y_test_binary, y_pred_dt):.4f}")

运行后你会得到精确率（Precision）、召回率（Recall）、F1分数等指标。重点关注召回率（Recall），因为它代表了在所有真实攻击中，模型成功检测出的比例。在安全领域，漏报（False Negative）的成本通常远高于误报（False Positive）。

决策树容易过拟合，于是我们引入它的集成版本——随机森林。随机森林通过构建多棵决策树并综合它们的投票结果，能有效提升泛化能力。

from sklearn.ensemble import RandomForestClassifier rf_clf = RandomForestClassifier(n_estimators=100, random_state=42, n_jobs=-1) # n_jobs=-1使用所有CPU核心 rf_clf.fit(X_train_scaled, y_train_binary) y_pred_rf = rf_clf.predict(X_test_scaled) print("随机森林分类报告:") print(classification_report(y_test_binary, y_pred_rf, target_names=['normal', 'attack']))

通常情况下，随机森林的表现会显著优于单棵决策树。你还可以输出特征重要性，看看模型认为哪些特征对区分攻击最有用。

import numpy as np # 获取特征重要性 feature_importances = rf_clf.feature_importances_ # 注意：由于我们使用了ColumnTransformer，需要获取所有特征名 # 这里假设我们有一个列表`all_feature_names`包含了预处理后的所有特征名 # all_feature_names = numerical_features + encoded_cat_feature_names # 然后排序 indices = np.argsort(feature_importances)[::-1] print("特征重要性排名 (Top 10):") for i in range(10): print(f"{i+1}. {all_feature_names[indices[i]]}: {feature_importances[indices[i]]:.4f}")

你可能会发现src_bytes,dst_bytes,count等与流量强度相关的特征排名靠前，这符合直觉。

4.2 应对类别不平衡：代价敏感学习与重采样

之前我们提到了类别不平衡问题。随机森林虽然有一定抗不平衡能力，但我们可以做得更好。有两种主流思路：

1. 重采样：对少数类样本进行过采样（如SMOTE算法），或对多数类样本进行欠采样，使训练集类别平衡。
2. 代价敏感学习：在训练时，告诉模型误分类少数类（攻击）的代价更高。

这里我们演示一下使用imbalanced-learn库进行SMOTE过采样。

from imblearn.over_sampling import SMOTE from imblearn.pipeline import make_pipeline # 注意使用imblearn的pipeline # 创建SMOTE + 随机森林的管道 smote_rf_pipeline = make_pipeline( SMOTE(random_state=42), RandomForestClassifier(n_estimators=100, random_state=42, n_jobs=-1) ) # 训练 smote_rf_pipeline.fit(X_train_scaled, y_train_binary) y_pred_smote_rf = smote_rf_pipeline.predict(X_test_scaled) print("SMOTE + 随机森林分类报告:") print(classification_report(y_test_binary, y_pred_smote_rf, target_names=['normal', 'attack']))

比较一下使用SMOTE前后的召回率（特别是对“attack”类的召回），通常会有提升。但要注意，SMOTE可能会引入一些噪声样本，有时会导致对多数类（正常）的识别精度下降。这是一个需要权衡的点。

4.3 模型评估：超越准确率

在入侵检测中，只看准确率是极其危险的。因为数据可能99%是正常流量，1%是攻击。一个把所有流量都预测为“正常”的傻瓜模型，准确率也有99%，但毫无用处。

我们必须依赖更全面的评估矩阵：

• 混淆矩阵：直观展示真正例（TP）、假正例（FP）、真反例（TN）、假反例（FN）。
• 精确率 & 召回率：精确率高意味着“模型说是攻击的，很大概率真是攻击”（减少误报）；召回率高意味着“真正的攻击，大部分都被模型抓出来了”（减少漏报）。
• F1分数：精确率和召回率的调和平均数，是一个综合指标。
• ROC曲线与AUC：描绘模型在不同阈值下，真正例率（TPR）和假正例率（FPR）的关系。AUC越接近1越好。

from sklearn.metrics import roc_curve, auc, roc_auc_score import matplotlib.pyplot as plt # 获取随机森林模型预测的概率（攻击类的概率） y_pred_proba_rf = rf_clf.predict_proba(X_test_scaled)[:, 1] fpr, tpr, thresholds = roc_curve(y_test_binary, y_pred_proba_rf) roc_auc = auc(fpr, tpr) plt.figure() plt.plot(fpr, tpr, color='darkorange', lw=2, label=f'ROC curve (area = {roc_auc:.2f})') plt.plot([0, 1], [0, 1], color='navy', lw=2, linestyle='--', label='Random Guess') plt.xlim([0.0, 1.0]) plt.ylim([0.0, 1.05]) plt.xlabel('False Positive Rate') plt.ylabel('True Positive Rate') plt.title('Receiver Operating Characteristic (ROC) Curve') plt.legend(loc="lower right") plt.show() print(f"ROC AUC Score: {roc_auc_score(y_test_binary, y_pred_proba_rf):.4f}")

一个健康的ROC曲线应该远远高于对角线。AUC值在0.9以上通常说明模型有较好的区分能力。

5. 从模型到系统：构建可用的检测流水线

训练出一个高AUC的模型，只是完成了学术实验。要把它变成一个“系统”，我们还需要考虑很多工程化的问题。

5.1 模型持久化与加载

我们不可能每次检测都重新训练模型。需要将训练好的模型（包括预处理步骤）保存下来，供后续使用。

import joblib # 或者使用 pickle import pickle # 假设我们最终选择了一个包含预处理的管道 `final_pipeline` # final_pipeline = make_pipeline(preprocessor, RandomForestClassifier(...)) # final_pipeline.fit(X_train_raw, y_train_binary) # 保存整个管道 model_filename = 'ids_random_forest_pipeline.pkl' joblib.dump(final_pipeline, model_filename) print(f"模型已保存至 {model_filename}") # 加载模型 loaded_pipeline = joblib.load(model_filename) # 使用加载的模型进行预测 # new_prediction = loaded_pipeline.predict(new_data)

关键点：一定要保存整个管道（包括特征预处理步骤），而不仅仅是分类器模型。这样在新数据到来时，才能进行完全一致的变换。

5.2 设计检测接口

一个简单的入侵检测系统接口可以是一个Python函数或类，它接收一条或多条网络连接特征（以字典或DataFrame格式），返回预测标签及置信度。

class SimpleIntrusionDetector: def __init__(self, model_path): self.pipeline = joblib.load(model_path) def predict_single(self, connection_features): """ 预测单条连接 :param connection_features: dict, 键为特征名，值为特征值 :return: tuple (prediction, probability) """ # 将字典转换为DataFrame的一行 df = pd.DataFrame([connection_features]) try: pred = self.pipeline.predict(df)[0] proba = self.pipeline.predict_proba(df)[0] # proba[1] 是攻击类的概率 return ('attack' if pred == 1 else 'normal', proba[1]) except Exception as e: print(f"预测出错: {e}") return ('error', 0.0) def predict_batch(self, features_df): """预测批量数据""" return self.pipeline.predict(features_df), self.pipeline.predict_proba(features_df)[:, 1] # 使用示例 detector = SimpleIntrusionDetector('ids_random_forest_pipeline.pkl') sample_conn = { 'duration': 0, 'protocol_type': 'tcp', 'service': 'http', 'src_bytes': 100, 'dst_bytes': 200, # ... 填充所有特征 } label, confidence = detector.predict_single(sample_conn) print(f"预测结果: {label}, 攻击置信度: {confidence:.2f}")

5.3 阈值调优与告警策略

模型输出的通常是概率值（如攻击概率为0.85）。我们默认使用0.5作为阈值来划分正常和攻击。但在实际运营中，这个阈值需要调整。

• 如果追求低漏报率（宁可错杀，不可放过），可以降低阈值（如0.3）。这样更多流量会被标记为可疑，召回率上升，但误报也会增加，安全运营中心（SOC）的分析师工作量会变大。
• 如果追求低误报率（减少干扰），可以提高阈值（如0.7）。这样只有高置信度的流量才会告警，精确率上升，但可能会漏掉一些隐蔽的攻击。

我们可以根据ROC曲线来选择一个合适的阈值，平衡TPR和FPR。

# 寻找最佳阈值（基于Youden's J statistic） youden_j = tpr - fpr best_idx = np.argmax(youden_j) best_threshold = thresholds[best_idx] print(f"基于Youden指数的建议阈值: {best_threshold:.4f}") print(f"在该阈值下 - TPR: {tpr[best_idx]:.4f}, FPR: {fpr[best_idx]:.4f}")

在系统中，可以将这个阈值作为可配置参数。告警模块根据概率是否超过阈值来决定是否生成告警事件，并可以将概率值作为告警的“严重等级”参考。

5.4 系统集成思考

一个完整的入侵检测系统远不止一个机器学习模型。它还需要：

1. 数据采集层：从网络设备（交换机、路由器镜像端口）或主机（如Zeek/Bro、Suricata）实时抓取或接收网络流日志、数据包元数据。
2. 特征提取层：将原始日志实时计算成我们模型需要的41维特征。这需要根据NSL-KDD的特征定义，编写对应的特征提取代码，这可能涉及时间窗口内的统计（如count,srv_count等）。
3. 实时检测引擎：加载我们保存的模型管道，对实时提取的特征向量进行预测。
4. 告警与响应模块：将检测结果与阈值比较，生成告警，并可能触发自动响应（如临时阻断IP）或推送到SOC平台。
5. 模型更新与迭代：定期用新数据重新训练模型，以应对新型攻击（概念漂移）。需要设计一个闭环的反馈系统，将分析师确认的误报和漏报反馈给训练集。

对于毕业设计或课程项目，通常做到第3步，并模拟一个简单的实时检测流程就足够了。在报告文档中，清晰地阐述这个端到端的架构设计，并指出每一部分的实现挑战和可选方案，会比单纯罗列模型参数得分更有价值。

6. 报告文档撰写：如何体现你的思考深度

“高分项目”的报告文档，其核心价值在于展示你解决问题的系统性思维，而不仅仅是展示结果。一份好的报告应该包含以下部分：

1. 引言与问题定义：清晰说明入侵检测的背景和意义，明确本项目要解决的是网络连接级的二分类异常检测问题，并指出使用NSL-KDD数据集及其局限性（年代较老，模拟流量）。
2. 数据探索性分析：展示你对数据的理解。包括数据概览、特征类型分析、标签分布可视化（特别是类别不平衡问题）、缺失值检查等。用图表说话。
3. 方法论：这是核心。
   • 特征工程：详细说明你对类别特征和数值特征的处理方法（为什么用独热编码和标准化？如何处理训练集/测试集特征不一致？）。
   • 模型选择：解释为什么选择决策树、随机森林等模型（可解释性、处理表格数据能力强）。可以简要对比逻辑回归、SVM等。
   • 应对不平衡：说明你意识到该问题，并尝试了SMOTE或代价敏感学习等方法。
   • 评估指标：强调为什么不能只用准确率，并定义你将使用精确率、召回率、F1、AUC等作为主要指标。
4. 实验与结果：
   • 以表格形式对比不同模型（或同一模型不同参数/是否使用SMOTE）在测试集上的各项指标。
   • 展示混淆矩阵、ROC曲线。
   • 分析特征重要性，并尝试解释（例如，“src_bytes异常大是DoS攻击的典型特征”）。
   • 讨论结果：哪个模型表现最好？为什么？还存在哪些问题（例如，对某些特定攻击类型召回率低）？
5. 系统设计：提出一个简单的系统架构图，描述从数据输入到告警输出的流程，并说明模型如何集成进去。即使没有完全实现，也体现了你的工程化思维。
6. 总结与展望：
   • 总结项目的关键步骤和你的主要发现。
   • 坦诚讨论本项目的局限性：NSL-KDD数据集的陈旧性、特征工程对领域知识的依赖、模型在真实网络环境中的泛化能力等。
   • 提出未来改进方向：尝试深度学习模型（如自编码器用于无监督异常检测）、使用更新的数据集（如CIC-IDS2017）、实现在线学习更新模型、结合规则引擎做混合检测等。

记住，老师或评委想看到的不是你调出了一个多高的分数，而是你是否走完了从问题定义、数据理解、方案设计、实验验证到结果分析的完整流程，并且每一步都有理有据。在代码注释和报告里，多写“为什么这么做”，少写“我做了什么”。

7. 避坑指南与进阶思考

最后，分享几个我在复现和改进这类项目时踩过的坑和思考。

坑1：数据泄露这是新手最容易犯的错误。切记：任何从数据中学习“模式”的步骤，都必须只在训练集上进行，然后将学到的模式（如编码器、缩放器）应用到测试集。常见的泄露包括：用整个数据集（包含测试集）去做标准化、做特征选择、或者做SMOTE平衡。这会让测试集信息“污染”训练过程，导致评估结果虚高，完全失去意义。务必使用Pipeline或严格分离fit_transform（用于训练集）和transform（用于测试集）。

坑2：盲目追求复杂模型看到神经网络、XGBoost流行，就一上来直接用。对于NSL-KDD这种规模不大、特征明确的表格数据，随机森林往往就能达到非常好的效果，且训练快、可解释。先建立基线模型（如逻辑回归、决策树），再尝试更复杂的模型，并确认性能提升是显著的，而不是随机波动。

坑3：忽略可解释性安全领域，模型的可信度至关重要。如果一个模型把一条连接判为攻击，分析师问“为什么？”，你无法回答，那么这个模型就很难被采纳。决策树、随机森林的特征重要性，甚至局部可解释性方法（如LIME、SHAP），都应该被考虑纳入你的项目展示中。

进阶思考：超越NSL-KDDNSL-KDD是一个很好的起点，但它发布于2009年，攻击模式相对老旧。如果你想让项目更贴近当下，可以：

1. 探索新数据集：如CIC-IDS2017, CSE-CIC-IDS2018，它们包含了更多当代攻击向量。
2. 尝试无监督/半监督学习：真实的网络环境中，带标签的攻击数据很少。可以研究基于聚类的异常检测（如Isolation Forest）、一类分类（One-Class SVM）或自编码器重构误差的方法。
3. 考虑时序上下文：NSL-KDD每条记录是独立的连接。真实的攻击往往是一系列相关连接组成的“流”或“会话”。可以考虑提取基于时间窗口的聚合特征，或使用RNN/LSTM等模型捕捉时序依赖。

构建一个入侵检测系统原型是一次绝佳的实践，它串联了数据处理、机器学习、软件工程和网络安全多个领域的知识。希望这篇长文能帮你绕过一些弯路，不仅完成一个“高分项目”，更能理解其中每一步设计背后的考量。真正的“高分”，在于你思考的深度和解决问题的严谨性。

本文还有配套的精品资源，点击获取