Оптимізація класифікації мережевого трафіку на основі LightGBM та відбору ознак методом SHAP

Abstract

У статті досліджено ефективність методу SHapley Additive exPlanations (SHAP) для відбору ознак при оптимізації класифікатора LightGBM у задачі виявлення мережевих вторгнень. Проаналізовано вплив скорочення розмірності вхідного простору на якість класифікації та розпізнавання окремих класів атак. Експерименти проведено на чотирьох еталонних наборах даних мережевого трафіку: CIC-IDS2017, CICIDS2018, UNSW-NB15 та CICIoT2023, що відрізняються кількістю ознак, класів та ступенем дисбалансу. Для оцінки якості класифікації використано метрики Accuracy, Macro F1-score та Matthews Correlation Coefficient (MCC), що забезпечує об’єктивну оцінку навіть за значного дисбалансу класів. Досліджено вплив SHAP-відбору на розпізнавання рідкісних класів атак, що є критично важливим для практичного застосування систем виявлення вторгнень.