基于人工智能的校園通信網絡異常流量檢測

中圖分類號：TP393 文獻標志碼：A

0 引言

在當前信息技術迅猛發展的背景下，校園通信網絡作為高校教學、科研與日常管理的重要基礎設施，承載著大量數據交互與信息傳輸任務，其運行的穩定性與安全性直接關系到高校信息化水平的提升與教育質量的保障。目前，針對網絡異常流量檢測的研究已取得一定成果，尤其在特征提取與分類模型構建方面，不同學者提出了多種基于統計學方法1、機器學習[2]以及深度學習[3]的檢測框架。其中，支持向量機（SupportVectorMachine，SVM)憑借其良好的分類性能與較強的泛化能力，被廣泛應用于異常流量檢測領域[4]。但值得注意的是，現有研究多集中于通用網絡環境下的異常檢測，而對校園網絡這一具有特定通信行為特征與業務場景的環境關注較少，導致部分模型在實際應用中存在識別準確率不高、誤報率較大等問題。

鑒于上述問題，本文圍繞校園通信網絡中異常流量檢測的實際需求，開展系統性研究。針對校園網絡流量中存在的數據分布不均衡問題，本文設計了一套面向異常檢測任務的數據預處理方法；提出了一種適配校園網絡流量特征的SVM模型優化方案；選取開源網絡流量數據集，對所提方法進行了實驗驗證。本研究對于提升校園通信網絡的安全防護水平，推動網絡流量智能分析技術的發展以及促進人工智能技術在實際網絡環境中的落地應用，均具有一定的理論價值與實踐意義。

1校園通信網絡流量特征分析與預處理

1.1流量數據采集與特征選擇

為實現對校園通信網絡中異常流量的有效識別與建模，須進行流量數據采集。基于校園網絡拓撲結構的特點，可在網絡出口處部署高性能的流量鏡像設備或采用端口鏡像（PortMirroring)技術[5]，通過在核心交換機或邊界路由器配置鏡像端口，將經過的雙向網絡流量實時復制并導入專用的流量采集服務器。在采集過程中，為確保數據的完整性與連續性，采用基于時間窗口的分片機制對流量數據進行分段保存，同時結合深度包檢測（Deep Packet Inspection）技術[6]對傳輸層與應用層協議內容進行深度解析，從而提取結構化的網絡元數據。

為提升SVM模型的檢測性能，有必要對原始流量數據進行有效的特征選擇。結合深度包檢測所得的網絡元數據，可從流量的統計特征（如包長均值、傳輸時延、連接持續時間）、協議特征（如傳輸層協議類型、應用層服務類型)以及行為特征（如連接頻率、目的IP分布)中提取初始特征集合。采用基于方差分析與互信息的方法，對各特征與標簽之間的相關性進行度量，結合SVM模型的特征權重，剔除冗余與弱相關特征，保留對分類結果具有顯著貢獻的核心特征，從而在降低維度的同時，提升模型的訓練效率與檢測準確率。

1.2數據預處理與特征提取

在完成原始校園通信網絡流量數據的采集后，為提高SVM模型的檢測性能與泛化能力，須設計一套完整的數據預處理與特征提取方法，構造適用于SVM分類的特征向量表示。在該過程中，特別需要關注樣本類別不平衡問題，以避免模型偏向主類樣本，導致異常檢測準確率下降。

設原始采集的數據集為：

D={(x_i，y_i)}_i=1^N

其中， 表示第 i 個樣本的原始特征向量，（20 y_i∈{0，1} 表示其對應的類別標簽（0表示正常流量，1表示異常流量）， N 為樣本總數， M 為初始提取的特征維度。

采用歸一化方法對特征向量進行標準化處理，避免因不同量綱帶來的影響。常用的標準化公式為：

其中， 表示歸一化后的第 i 個樣本在第 j 個維度上的特征值， μ_j 與 σ_j 分別為第 j 個特征的均值與標準差。

采用特征選擇方法對初始特征集合進行壓縮優化。設最終選擇出的特征索引集合為：

F={f₁，f₂，?，f_d}，d=M

則每個樣本對應的優化特征向量為：

最終得到用于訓練SVM模型的數據集為：

D^′={(z_i，y_i)}_i=1^N

針對類別不平衡問題，設正類(異常流量)樣本數為 N₁ ，負類(正常流量)樣本數為 N₀ ，若 N₁=N₀ 則采用合成少數類過采樣技術（SyntheticMinorityOver-samplingTechnique，SMOTE）[7生成新的正類樣本。設生成樣本數為 N_s ，通過在正類樣本間插值構造新樣本。

z_new=z_i+λ(z_j-z_i)，λ～U(0，1)

其中， 為任意2個正類樣本， λ 為從區間(0，1)中均勻采樣的系數， z_new 即為合成樣本。通過上述歸一化、特征選擇與類平衡處理，最終構建的特征向量集不僅具有較強的判別性，同時為SVM模型提供了穩定的輸入基礎，有助于提升其對校園網絡異常流量的識別能力。

2基于SVM的異常流量檢測模型優化

2.1SVM基本原理與異常判定機制

SVM的核心思想是通過在特征空間中構建一個最優超平面，以最大化不同類別樣本之間的間隔，從而實現高精度的分類判斷。在異常流量檢測任務中，SVM可被視為一種監督式學習方法，其通過學習歷史流量樣本的分布特征，判斷新樣本是否屬于正常類，從而實現異常流量的識別。設輸入的訓練樣本集為 D^′ ，SVM試圖在特征空間中找到一個超平面，使得該超平面不僅能將2類樣本分開，而且使得分類間隔最大。其決策函數形式為：

f(z)=sign(w^Tz+b)

其中， w∈i^d 為法向量，表示超平面的方向； b∈ i 為偏置項; sign(???) 為符號函數，用于輸出分類結果。

最優超平面的求解可通過以下凸二次規劃問題實現：

其中， ξ_i?0 為松弛變量，用于允許部分樣本在間隔邊界內或誤分類； C>0 為懲罰參數，用于平衡間隔最大化與分類誤差之間的權重。

當樣本在原空間中線性不可分時，可通過核函數將數據映射至高維特征空間，使得在該空間中實現線性可分。對應的核SVM決策函數為：

其中， α_i 為拉格朗日乘子， K(z_i，z) 為核函數（如徑向基函數、多項式核等），用于計算樣本間的相似度。

在實際應用中，異常流量的判斷機制即依據上述決策函數 f(z) 的符號：若 f(z)=+1 ，則判定為正常流量；若 f(z)=-1 ，則判定為異常流量。支持向量即為滿足邊界條件的訓練樣本，定義了分類決策邊界的形狀與位置，對模型性能具有決定性作用。

為了進一步提升模型對復雜邊界與不平衡樣本的適應能力，須對SVM模型的核函數參數與懲罰因子進行優化，以獲得最優分類性能。

2.2 SVM模型優化策略

在SVM模型中，關鍵參數對模型性能具有顯著影響，尤其是在處理高維特征空間與異常檢測問題時更為敏感。主要參數包括懲罰因子 c 以及核函數參數，如徑向基核（RadialBasisKernel，RBF)函數中的核寬度參數 γ 。合理設置這2個參數，可顯著提升模型的泛化能力與分類精度。對于徑向基核函數，其定義為：

其中， γ>0 表示核函數的寬度參數，控制樣本之間的相似性度量; z_i，z_j∈i^d 表示任意2個樣本的特征向量， |?| 為歐幾里得范數。懲罰因子 C>0 控制模型對誤分類樣本的容忍度，較大的 c 值傾向于懲罰分類錯誤，容易導致過擬合；而較小的 c 值則可能造成分類邊界過于寬松，導致欠擬合。因此，參數 c 與 γ 的選擇直接決定了分類邊界的形狀與模型的泛化能力。

為實現對參數 c 與 γ 的最優選取，本文引入差分進化算法（DifferentialEvolution，DE）9對其進行聯合優化。DE是一種基于種群的全局優化算法，其主要操作包括變異、交叉與選擇。

在個體編碼與初始化階段，設個體向量為：

v_i=[C_i，γ_i]，i=1，2，?，P

其中， P 表示種群規模， C_i 與 γ_i 分別表示第 i 個個體在搜索空間中對應的懲罰因子與核寬度參數。

對每個個體，選擇3個不同的個體 v_r1，v_r2，v_r3 ，生成變異向量。

u_i=v_r1+F?(v_r2-v_r3)

其中， F∈(0，2) 為變異縮放因子，用于控制差分向量的影響程度。接著，通過交叉操作生成試驗個體。

其中， CR∈[0，1] 為交叉概率， rand_j∈[0，1] 為第 j 位的隨機數， j_rand 保證至少有一個維度來自變異個體。

設每個個體在SVM訓練后的分類性能通過交叉驗證得到，令準確率為適應度函數 f(v_i) 。選擇操作為：

即保留適應度更高的個體進入下一代。

通過上述過程，DE算法在迭代中不斷更新參數向量 [C，γ] ，最終在搜索空間中獲得最優參數組合，從而構建性能最優的SVM異常檢測模型。該方法具有全局優化能力強、收斂速度快等優點，尤其適用于高維搜索空間與非凸優化問題下的模型參數調優。

3 實驗與結果分析

3.1數據集與實驗方法

為了對方法進行測試，實驗采用了CIC-IDS2017數據集，在Python環境下構建了上述方法，進行了對比實驗。該數據集由加拿大網絡安全研究中心發布，是當前廣泛用于研究網絡入侵檢測與異常流量分析的重要公開數據集之一。該數據集涵蓋了真實的網絡通信場景，包括HTTP、FTP、SSH、DNS等協議的正常流量以及各類典型攻擊行為（如DDoS、BruteForce、PortScan等)，提供了基于網絡流的詳細特征，具有高度的現實代表性與類別不平衡特征，非常適合用于構建和評估機器學習或人工智能驅動的異常流量檢測模型。實驗采用的實驗開發環境如表1所示。

表1實驗環境核心配置

3.2實驗設計與分析

本實驗基于CIC-IDS2017數據集，設計對比實驗以評估本文的DE算法與網格搜索算法（GridSearch，GS)[1o]在SVM異常流量檢測中的參數優化性能差異。實驗對原始網絡流量數據進行清洗、標準化與特征選擇，使用上述構建的特征向量作為SVM模型輸入，統一采用徑向基核函數，即 。在參數設置上，DE算法的種群規模設為NP=50 ，交叉概率 CR=0.9 ，差分縮放因子 F=0.8 最大迭代次數為100次;而GS方法則在 C∈{2^-1 2⁰，?，2⁷} 和 γ∈{2^-7，2^-6，?，2¹} 的網格空間中進行遍歷搜索。為保證實驗結果的穩健性，所有實驗均采用五折交叉驗證，使用準確率、精確率、F1分數等指標進行評估與對比，如表2所示。

表2實驗分類結果評估

從表2可以看出，采用DE算法進行參數優化的SVM模型在準確率、精確率和F1分數3項指標上均顯著優于采用傳統GS的SVM模型。其中， SVM+DE 的準確率達到 98.17% ，比 SVM+GS 提高了約1.75個百分點，說明模型整體分類能力更強；而在精確率方面， SVM+DE 達到 97.12% ，有效降低了誤報率;F1分數作為兼顧查準率與查全率的綜合評價指標，在SVM+ DE中也達到 96.98% ，相比 SVM+GS 的94.63% 提升顯著，體現出在處理異常檢測任務時，DE算法優化下的模型在不平衡數據環境中表現更加穩定和高效。因此，可以初步驗證，基于DE的SVM參數優化方法具備更強的泛化能力與魯棒性，在校園通信網絡異常流量檢測任務中更具實用價值。

4結語

本文系統探討了人工智能方法在校園通信網絡異常流量檢測中的應用路徑，通過構建基于DE優化的SVM模型，對其檢測能力進行了深人實驗驗證。在特征工程階段，通過引入多維度統計指標與標準化處理，有效增強了模型對不同類型流量特征的辨別能力；在模型構建階段，DE算法對SVM的核參數與正則項進行了全局尋優，顯著提升了分類性能；在實驗評估環節，基于CIC-IDS2017數據集的實證對比顯示，該方法不僅在精度指標上取得領先優勢，同時在處理類不平衡問題時展現出更強的適應性與穩定性。未來的研究可進一步融合深度學習結構與自適應進化機制，拓展模型的動態感知與多任務檢測能力，以應對更為復雜多變的網絡安全威脅場景。

參考文獻

[1]段雪源，付鈺，王坤，等.基于簡單統計特征的LDoS攻擊檢測方法[J].通信學報，2022(11)：53-64.

[2]付鈺，劉濤濤，王坤，等.基于機器學習的加密流量分類研究綜述[J].通信學報，2025（1)：167-191.

[3]張龍.基于深度學習的流量分類與異常檢測研究[D].天津：天津理工大學，2022.

[4]劉璐璐.基于多分類支持向量機的網絡異常流量檢測方法[D].秦皇島：燕山大學，2021.

[5]唐軍沛，常曉萌，韓珊珊，等.基于端口鏡像的數據采集與監控仿真系統設計與實現[J].電氣技術，2021(11) :32-35.

[6]饒瑾.深度包檢測(DPI)技術淺談及應用[J].信息通信，2014(11):245-246.

[7]霍玉丹，谷瓊，蔡之華，等.基于遺傳算法改進的少數類樣本合成過采樣技術的非平衡數據集分類算法[J].計算機應用，2015（1)：121-124.

[8]李曉宇，張新峰，沈蘭蓀.一種確定徑向基核函數參數的方法[J].電子學報，2005（增刊1)：2459-2463.

[9]黃亮，彭清，謝長君，等.基于差分進化優化的支持向量機燃料電池故障診斷[J].電源技術，2021(10):1316-1319.

[10]張立秀，張淑娟，孫海霞，等.高光譜技術結合網格搜索優化支持向量機的桃缺陷檢測[J].食品與發酵工業，2023(16)：269-275.

(編輯 王永超)

Abnormal traffic detection in campus communication network based on artificial intelligence

WANG Peng (China Information Consulting Designing Institute Co.， Ltd.， Nanjing 21Oo19，China)

Abstract:Aiming at thecurrent problemsof traffcategory imbalanceand insuficient model generalizationabilityin campus networks，this paper proposes anabnormal trafc detection method basedon a combination of support vector machineanddifferential evolutionalgorithm.Firstly，a high-dimensionalcommunication traficfeaturevectoris constructed from the original network data.Secondly，the support vector machine kernel function parametersand penaltyfactorsareoptimizedbydifferential evolution toconstructamore robust clasifier.Finally，basedon theCICIDS2017 dataset，acomparative experiment is carredout in Python environment，and the performance is evaluated withthe traditional grid search method.The experimental results show that the proposed method is superior to the benchmark method in terms of accuracy，precision and F1 score，and has higher anomaly recognition abilityand generalization performance.

Key words: trafic detection; campus network; artificial intellgence； network security; behavior analysis