利用 XAI 技术与沙普利加性解释（SHAP）改进基于自编码器的计算机网络异常检测模型

机器学习（ML）与深度学习（DL）方法正被迅速采用，尤其在计算机网络安全的诸多方面，如欺诈检测、网络异常检测、入侵检测等。然而，基于 ML 与 DL 的模型缺乏透明性，是其落地的主要障碍，并因其黑盒特性而受到批评，即便其取得了如此巨大的效果。可解释人工智能（XAI）是一个有前景的领域，可通过提供解释并解读其输出来提升这些模型的可信度。若基于 ML 与 DL 的模型内部机理可被理解，则还能进一步助益其性能提升。本文旨在展示如何运用 XAI 来解释 DL 模型（此处为自编码器）的结果，并基于该解释改进其在计算机网络异常检测上的性能。基于沙普利值的核 SHAP 方法被用作一种新颖的特征选择技术，用以识别那些实际导致攻击/异常实例异常行为的特征。随后，这些特征集仅在良性数据上用于训练与验证自编码器。最终，所构建的 SHAP_Model 优于基于该特征选择方法提出的另外两种模型。整个实验在最新 CICIDS2017 网络数据集的子集上进行。SHAP_Model 的总体准确率与 AUC 分别为 94% 与 0.969。