基于人工智能的校園通信網(wǎng)絡(luò)異常流量檢測

中圖分類號：TP393 文獻(xiàn)標(biāo)志碼：A

0 引言

在當(dāng)前信息技術(shù)迅猛發(fā)展的背景下，校園通信網(wǎng)絡(luò)作為高校教學(xué)、科研與日常管理的重要基礎(chǔ)設(shè)施，承載著大量數(shù)據(jù)交互與信息傳輸任務(wù)，其運(yùn)行的穩(wěn)定性與安全性直接關(guān)系到高校信息化水平的提升與教育質(zhì)量的保障。目前，針對網(wǎng)絡(luò)異常流量檢測的研究已取得一定成果，尤其在特征提取與分類模型構(gòu)建方面，不同學(xué)者提出了多種基于統(tǒng)計(jì)學(xué)方法1、機(jī)器學(xué)習(xí)[2]以及深度學(xué)習(xí)[3]的檢測框架。其中，支持向量機(jī)（SupportVectorMachine，SVM)憑借其良好的分類性能與較強(qiáng)的泛化能力，被廣泛應(yīng)用于異常流量檢測領(lǐng)域[4]。但值得注意的是，現(xiàn)有研究多集中于通用網(wǎng)絡(luò)環(huán)境下的異常檢測，而對校園網(wǎng)絡(luò)這一具有特定通信行為特征與業(yè)務(wù)場景的環(huán)境關(guān)注較少，導(dǎo)致部分模型在實(shí)際應(yīng)用中存在識(shí)別準(zhǔn)確率不高、誤報(bào)率較大等問題。

鑒于上述問題，本文圍繞校園通信網(wǎng)絡(luò)中異常流量檢測的實(shí)際需求，開展系統(tǒng)性研究。針對校園網(wǎng)絡(luò)流量中存在的數(shù)據(jù)分布不均衡問題，本文設(shè)計(jì)了一套面向異常檢測任務(wù)的數(shù)據(jù)預(yù)處理方法；提出了一種適配校園網(wǎng)絡(luò)流量特征的SVM模型優(yōu)化方案；選取開源網(wǎng)絡(luò)流量數(shù)據(jù)集，對所提方法進(jìn)行了實(shí)驗(yàn)驗(yàn)證。本研究對于提升校園通信網(wǎng)絡(luò)的安全防護(hù)水平，推動(dòng)網(wǎng)絡(luò)流量智能分析技術(shù)的發(fā)展以及促進(jìn)人工智能技術(shù)在實(shí)際網(wǎng)絡(luò)環(huán)境中的落地應(yīng)用，均具有一定的理論價(jià)值與實(shí)踐意義。

1校園通信網(wǎng)絡(luò)流量特征分析與預(yù)處理

1.1流量數(shù)據(jù)采集與特征選擇

為實(shí)現(xiàn)對校園通信網(wǎng)絡(luò)中異常流量的有效識(shí)別與建模，須進(jìn)行流量數(shù)據(jù)采集。基于校園網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的特點(diǎn)，可在網(wǎng)絡(luò)出口處部署高性能的流量鏡像設(shè)備或采用端口鏡像（PortMirroring)技術(shù)[5]，通過在核心交換機(jī)或邊界路由器配置鏡像端口，將經(jīng)過的雙向網(wǎng)絡(luò)流量實(shí)時(shí)復(fù)制并導(dǎo)入專用的流量采集服務(wù)器。在采集過程中，為確保數(shù)據(jù)的完整性與連續(xù)性，采用基于時(shí)間窗口的分片機(jī)制對流量數(shù)據(jù)進(jìn)行分段保存，同時(shí)結(jié)合深度包檢測（Deep Packet Inspection）技術(shù)[6]對傳輸層與應(yīng)用層協(xié)議內(nèi)容進(jìn)行深度解析，從而提取結(jié)構(gòu)化的網(wǎng)絡(luò)元數(shù)據(jù)。

為提升SVM模型的檢測性能，有必要對原始流量數(shù)據(jù)進(jìn)行有效的特征選擇。結(jié)合深度包檢測所得的網(wǎng)絡(luò)元數(shù)據(jù)，可從流量的統(tǒng)計(jì)特征（如包長均值、傳輸時(shí)延、連接持續(xù)時(shí)間）、協(xié)議特征（如傳輸層協(xié)議類型、應(yīng)用層服務(wù)類型)以及行為特征（如連接頻率、目的IP分布)中提取初始特征集合。采用基于方差分析與互信息的方法，對各特征與標(biāo)簽之間的相關(guān)性進(jìn)行度量，結(jié)合SVM模型的特征權(quán)重，剔除冗余與弱相關(guān)特征，保留對分類結(jié)果具有顯著貢獻(xiàn)的核心特征，從而在降低維度的同時(shí)，提升模型的訓(xùn)練效率與檢測準(zhǔn)確率。

1.2數(shù)據(jù)預(yù)處理與特征提取

在完成原始校園通信網(wǎng)絡(luò)流量數(shù)據(jù)的采集后，為提高SVM模型的檢測性能與泛化能力，須設(shè)計(jì)一套完整的數(shù)據(jù)預(yù)處理與特征提取方法，構(gòu)造適用于SVM分類的特征向量表示。在該過程中，特別需要關(guān)注樣本類別不平衡問題，以避免模型偏向主類樣本，導(dǎo)致異常檢測準(zhǔn)確率下降。

設(shè)原始采集的數(shù)據(jù)集為：

D={(x_i，y_i)}_i=1^N

其中， 表示第 i 個(gè)樣本的原始特征向量，（20 y_i∈{0，1} 表示其對應(yīng)的類別標(biāo)簽（0表示正常流量，1表示異常流量）， N 為樣本總數(shù)， M 為初始提取的特征維度。

采用歸一化方法對特征向量進(jìn)行標(biāo)準(zhǔn)化處理，避免因不同量綱帶來的影響。常用的標(biāo)準(zhǔn)化公式為：

其中， 表示歸一化后的第 i 個(gè)樣本在第 j 個(gè)維度上的特征值， μ_j 與 σ_j 分別為第 j 個(gè)特征的均值與標(biāo)準(zhǔn)差。

采用特征選擇方法對初始特征集合進(jìn)行壓縮優(yōu)化。設(shè)最終選擇出的特征索引集合為：

F={f₁，f₂，?，f_d}，d=M

則每個(gè)樣本對應(yīng)的優(yōu)化特征向量為：

最終得到用于訓(xùn)練SVM模型的數(shù)據(jù)集為：

D^′={(z_i，y_i)}_i=1^N

針對類別不平衡問題，設(shè)正類(異常流量)樣本數(shù)為 N₁ ，負(fù)類(正常流量)樣本數(shù)為 N₀ ，若 N₁=N₀ 則采用合成少數(shù)類過采樣技術(shù)（SyntheticMinorityOver-samplingTechnique，SMOTE）[7生成新的正類樣本。設(shè)生成樣本數(shù)為 N_s ，通過在正類樣本間插值構(gòu)造新樣本。

z_new=z_i+λ(z_j-z_i)，λ～U(0，1)

其中， 為任意2個(gè)正類樣本， λ 為從區(qū)間(0，1)中均勻采樣的系數(shù)， z_new 即為合成樣本。通過上述歸一化、特征選擇與類平衡處理，最終構(gòu)建的特征向量集不僅具有較強(qiáng)的判別性，同時(shí)為SVM模型提供了穩(wěn)定的輸入基礎(chǔ)，有助于提升其對校園網(wǎng)絡(luò)異常流量的識(shí)別能力。

2基于SVM的異常流量檢測模型優(yōu)化

2.1SVM基本原理與異常判定機(jī)制

SVM的核心思想是通過在特征空間中構(gòu)建一個(gè)最優(yōu)超平面，以最大化不同類別樣本之間的間隔，從而實(shí)現(xiàn)高精度的分類判斷。在異常流量檢測任務(wù)中，SVM可被視為一種監(jiān)督式學(xué)習(xí)方法，其通過學(xué)習(xí)歷史流量樣本的分布特征，判斷新樣本是否屬于正常類，從而實(shí)現(xiàn)異常流量的識(shí)別。設(shè)輸入的訓(xùn)練樣本集為 D^′ ，SVM試圖在特征空間中找到一個(gè)超平面，使得該超平面不僅能將2類樣本分開，而且使得分類間隔最大。其決策函數(shù)形式為：

f(z)=sign(w^Tz+b)

其中， w∈i^d 為法向量，表示超平面的方向； b∈ i 為偏置項(xiàng); sign(???) 為符號函數(shù)，用于輸出分類結(jié)果。

最優(yōu)超平面的求解可通過以下凸二次規(guī)劃問題實(shí)現(xiàn)：

其中， ξ_i?0 為松弛變量，用于允許部分樣本在間隔邊界內(nèi)或誤分類； C>0 為懲罰參數(shù)，用于平衡間隔最大化與分類誤差之間的權(quán)重。

當(dāng)樣本在原空間中線性不可分時(shí)，可通過核函數(shù)將數(shù)據(jù)映射至高維特征空間，使得在該空間中實(shí)現(xiàn)線性可分。對應(yīng)的核SVM決策函數(shù)為：

其中， α_i 為拉格朗日乘子， K(z_i，z) 為核函數(shù)（如徑向基函數(shù)、多項(xiàng)式核等），用于計(jì)算樣本間的相似度。

在實(shí)際應(yīng)用中，異常流量的判斷機(jī)制即依據(jù)上述決策函數(shù) f(z) 的符號：若 f(z)=+1 ，則判定為正常流量；若 f(z)=-1 ，則判定為異常流量。支持向量即為滿足邊界條件的訓(xùn)練樣本，定義了分類決策邊界的形狀與位置，對模型性能具有決定性作用。

為了進(jìn)一步提升模型對復(fù)雜邊界與不平衡樣本的適應(yīng)能力，須對SVM模型的核函數(shù)參數(shù)與懲罰因子進(jìn)行優(yōu)化，以獲得最優(yōu)分類性能。

2.2 SVM模型優(yōu)化策略

在SVM模型中，關(guān)鍵參數(shù)對模型性能具有顯著影響，尤其是在處理高維特征空間與異常檢測問題時(shí)更為敏感。主要參數(shù)包括懲罰因子 c 以及核函數(shù)參數(shù)，如徑向基核（RadialBasisKernel，RBF)函數(shù)中的核寬度參數(shù) γ 。合理設(shè)置這2個(gè)參數(shù)，可顯著提升模型的泛化能力與分類精度。對于徑向基核函數(shù)，其定義為：

其中， γ>0 表示核函數(shù)的寬度參數(shù)，控制樣本之間的相似性度量; z_i，z_j∈i^d 表示任意2個(gè)樣本的特征向量， |?| 為歐幾里得范數(shù)。懲罰因子 C>0 控制模型對誤分類樣本的容忍度，較大的 c 值傾向于懲罰分類錯(cuò)誤，容易導(dǎo)致過擬合；而較小的 c 值則可能造成分類邊界過于寬松，導(dǎo)致欠擬合。因此，參數(shù) c 與 γ 的選擇直接決定了分類邊界的形狀與模型的泛化能力。

為實(shí)現(xiàn)對參數(shù) c 與 γ 的最優(yōu)選取，本文引入差分進(jìn)化算法（DifferentialEvolution，DE）9對其進(jìn)行聯(lián)合優(yōu)化。DE是一種基于種群的全局優(yōu)化算法，其主要操作包括變異、交叉與選擇。

在個(gè)體編碼與初始化階段，設(shè)個(gè)體向量為：

v_i=[C_i，γ_i]，i=1，2，?，P

其中， P 表示種群規(guī)模， C_i 與 γ_i 分別表示第 i 個(gè)個(gè)體在搜索空間中對應(yīng)的懲罰因子與核寬度參數(shù)。

對每個(gè)個(gè)體，選擇3個(gè)不同的個(gè)體 v_r1，v_r2，v_r3 ，生成變異向量。

u_i=v_r1+F?(v_r2-v_r3)

其中， F∈(0，2) 為變異縮放因子，用于控制差分向量的影響程度。接著，通過交叉操作生成試驗(yàn)個(gè)體。

其中， CR∈[0，1] 為交叉概率， rand_j∈[0，1] 為第 j 位的隨機(jī)數(shù)， j_rand 保證至少有一個(gè)維度來自變異個(gè)體。

設(shè)每個(gè)個(gè)體在SVM訓(xùn)練后的分類性能通過交叉驗(yàn)證得到，令準(zhǔn)確率為適應(yīng)度函數(shù) f(v_i) 。選擇操作為：

即保留適應(yīng)度更高的個(gè)體進(jìn)入下一代。

通過上述過程，DE算法在迭代中不斷更新參數(shù)向量 [C，γ] ，最終在搜索空間中獲得最優(yōu)參數(shù)組合，從而構(gòu)建性能最優(yōu)的SVM異常檢測模型。該方法具有全局優(yōu)化能力強(qiáng)、收斂速度快等優(yōu)點(diǎn)，尤其適用于高維搜索空間與非凸優(yōu)化問題下的模型參數(shù)調(diào)優(yōu)。

3 實(shí)驗(yàn)與結(jié)果分析

3.1數(shù)據(jù)集與實(shí)驗(yàn)方法

為了對方法進(jìn)行測試，實(shí)驗(yàn)采用了CIC-IDS2017數(shù)據(jù)集，在Python環(huán)境下構(gòu)建了上述方法，進(jìn)行了對比實(shí)驗(yàn)。該數(shù)據(jù)集由加拿大網(wǎng)絡(luò)安全研究中心發(fā)布，是當(dāng)前廣泛用于研究網(wǎng)絡(luò)入侵檢測與異常流量分析的重要公開數(shù)據(jù)集之一。該數(shù)據(jù)集涵蓋了真實(shí)的網(wǎng)絡(luò)通信場景，包括HTTP、FTP、SSH、DNS等協(xié)議的正常流量以及各類典型攻擊行為（如DDoS、BruteForce、PortScan等)，提供了基于網(wǎng)絡(luò)流的詳細(xì)特征，具有高度的現(xiàn)實(shí)代表性與類別不平衡特征，非常適合用于構(gòu)建和評估機(jī)器學(xué)習(xí)或人工智能驅(qū)動(dòng)的異常流量檢測模型。實(shí)驗(yàn)采用的實(shí)驗(yàn)開發(fā)環(huán)境如表1所示。

表1實(shí)驗(yàn)環(huán)境核心配置

3.2實(shí)驗(yàn)設(shè)計(jì)與分析

本實(shí)驗(yàn)基于CIC-IDS2017數(shù)據(jù)集，設(shè)計(jì)對比實(shí)驗(yàn)以評估本文的DE算法與網(wǎng)格搜索算法（GridSearch，GS)[1o]在SVM異常流量檢測中的參數(shù)優(yōu)化性能差異。實(shí)驗(yàn)對原始網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行清洗、標(biāo)準(zhǔn)化與特征選擇，使用上述構(gòu)建的特征向量作為SVM模型輸入，統(tǒng)一采用徑向基核函數(shù)，即 。在參數(shù)設(shè)置上，DE算法的種群規(guī)模設(shè)為NP=50 ，交叉概率 CR=0.9 ，差分縮放因子 F=0.8 最大迭代次數(shù)為100次;而GS方法則在 C∈{2^-1 2⁰，?，2⁷} 和 γ∈{2^-7，2^-6，?，2¹} 的網(wǎng)格空間中進(jìn)行遍歷搜索。為保證實(shí)驗(yàn)結(jié)果的穩(wěn)健性，所有實(shí)驗(yàn)均采用五折交叉驗(yàn)證，使用準(zhǔn)確率、精確率、F1分?jǐn)?shù)等指標(biāo)進(jìn)行評估與對比，如表2所示。

表2實(shí)驗(yàn)分類結(jié)果評估

從表2可以看出，采用DE算法進(jìn)行參數(shù)優(yōu)化的SVM模型在準(zhǔn)確率、精確率和F1分?jǐn)?shù)3項(xiàng)指標(biāo)上均顯著優(yōu)于采用傳統(tǒng)GS的SVM模型。其中， SVM+DE 的準(zhǔn)確率達(dá)到 98.17% ，比 SVM+GS 提高了約1.75個(gè)百分點(diǎn)，說明模型整體分類能力更強(qiáng)；而在精確率方面， SVM+DE 達(dá)到 97.12% ，有效降低了誤報(bào)率;F1分?jǐn)?shù)作為兼顧查準(zhǔn)率與查全率的綜合評價(jià)指標(biāo)，在SVM+ DE中也達(dá)到 96.98% ，相比 SVM+GS 的94.63% 提升顯著，體現(xiàn)出在處理異常檢測任務(wù)時(shí)，DE算法優(yōu)化下的模型在不平衡數(shù)據(jù)環(huán)境中表現(xiàn)更加穩(wěn)定和高效。因此，可以初步驗(yàn)證，基于DE的SVM參數(shù)優(yōu)化方法具備更強(qiáng)的泛化能力與魯棒性，在校園通信網(wǎng)絡(luò)異常流量檢測任務(wù)中更具實(shí)用價(jià)值。

4結(jié)語

本文系統(tǒng)探討了人工智能方法在校園通信網(wǎng)絡(luò)異常流量檢測中的應(yīng)用路徑，通過構(gòu)建基于DE優(yōu)化的SVM模型，對其檢測能力進(jìn)行了深人實(shí)驗(yàn)驗(yàn)證。在特征工程階段，通過引入多維度統(tǒng)計(jì)指標(biāo)與標(biāo)準(zhǔn)化處理，有效增強(qiáng)了模型對不同類型流量特征的辨別能力；在模型構(gòu)建階段，DE算法對SVM的核參數(shù)與正則項(xiàng)進(jìn)行了全局尋優(yōu)，顯著提升了分類性能；在實(shí)驗(yàn)評估環(huán)節(jié)，基于CIC-IDS2017數(shù)據(jù)集的實(shí)證對比顯示，該方法不僅在精度指標(biāo)上取得領(lǐng)先優(yōu)勢，同時(shí)在處理類不平衡問題時(shí)展現(xiàn)出更強(qiáng)的適應(yīng)性與穩(wěn)定性。未來的研究可進(jìn)一步融合深度學(xué)習(xí)結(jié)構(gòu)與自適應(yīng)進(jìn)化機(jī)制，拓展模型的動(dòng)態(tài)感知與多任務(wù)檢測能力，以應(yīng)對更為復(fù)雜多變的網(wǎng)絡(luò)安全威脅場景。

參考文獻(xiàn)

[1]段雪源，付鈺，王坤，等.基于簡單統(tǒng)計(jì)特征的LDoS攻擊檢測方法[J].通信學(xué)報(bào)，2022(11)：53-64.

[2]付鈺，劉濤濤，王坤，等.基于機(jī)器學(xué)習(xí)的加密流量分類研究綜述[J].通信學(xué)報(bào)，2025（1)：167-191.

[3]張龍.基于深度學(xué)習(xí)的流量分類與異常檢測研究[D].天津：天津理工大學(xué)，2022.

[4]劉璐璐.基于多分類支持向量機(jī)的網(wǎng)絡(luò)異常流量檢測方法[D].秦皇島：燕山大學(xué)，2021.

[5]唐軍沛，常曉萌，韓珊珊，等.基于端口鏡像的數(shù)據(jù)采集與監(jiān)控仿真系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)[J].電氣技術(shù)，2021(11) :32-35.

[6]饒瑾.深度包檢測(DPI)技術(shù)淺談及應(yīng)用[J].信息通信，2014(11):245-246.

[7]霍玉丹，谷瓊，蔡之華，等.基于遺傳算法改進(jìn)的少數(shù)類樣本合成過采樣技術(shù)的非平衡數(shù)據(jù)集分類算法[J].計(jì)算機(jī)應(yīng)用，2015（1)：121-124.

[8]李曉宇，張新峰，沈蘭蓀.一種確定徑向基核函數(shù)參數(shù)的方法[J].電子學(xué)報(bào)，2005（增刊1)：2459-2463.

[9]黃亮，彭清，謝長君，等.基于差分進(jìn)化優(yōu)化的支持向量機(jī)燃料電池故障診斷[J].電源技術(shù)，2021(10):1316-1319.

[10]張立秀，張淑娟，孫海霞，等.高光譜技術(shù)結(jié)合網(wǎng)格搜索優(yōu)化支持向量機(jī)的桃缺陷檢測[J].食品與發(fā)酵工業(yè)，2023(16)：269-275.

(編輯 王永超)

Abnormal traffic detection in campus communication network based on artificial intelligence

WANG Peng (China Information Consulting Designing Institute Co.， Ltd.， Nanjing 21Oo19，China)

Abstract:Aiming at thecurrent problemsof traffcategory imbalanceand insuficient model generalizationabilityin campus networks，this paper proposes anabnormal trafc detection method basedon a combination of support vector machineanddifferential evolutionalgorithm.Firstly，a high-dimensionalcommunication traficfeaturevectoris constructed from the original network data.Secondly，the support vector machine kernel function parametersand penaltyfactorsareoptimizedbydifferential evolution toconstructamore robust clasifier.Finally，basedon theCICIDS2017 dataset，acomparative experiment is carredout in Python environment，and the performance is evaluated withthe traditional grid search method.The experimental results show that the proposed method is superior to the benchmark method in terms of accuracy，precision and F1 score，and has higher anomaly recognition abilityand generalization performance.

Key words: trafic detection; campus network; artificial intellgence； network security; behavior analysis