结合可解释人工智能与数字证据保管链的网络入侵取证检测系统

arXiv:2611.06173v1 公告类型：交叉发布 摘要：将可解释的入侵检测模型从经过验证的实验室环境部署到取证工作流程中，需要提供基准测试无法检验的保障：应用于案件的模型必须与通过认证的模型完全一致，异构证据能够得到可靠分类，且每个步骤均可验证。我们提出了 MODEXRE，这是一条取证流水线，将此前已验证、基于合成数据训练并具备 SHAP 可解释性的 XGBoost 分类器（arXiv:2607.00763）扩展为双模式架构：实验室模式使用公开数据和合成数据训练模型并进行认证；正式模式则使用冻结且经哈希验证的模型，在基于 SHA-256 哈希链的证据保管链下对案件证据进行推理。Suricata 告警、CEF 防火墙日志和数据包捕获数据通过 OCSF 进行规范化。四项设计决策共同塑造了该架构，每项决策均由实际观察到的故障触发：导致 Kitsune 性能虚高的时间戳泄漏（宏平均 F1 为 0.984，修正后为 0.662）；导致具有 78 个特征的参考模型误分类一条真实 SSH 告警的特征覆盖缺口；将 Kitsune 多分类宏平均 F1 从 0.394 提升至 0.932 的因果时序流聚合；以及仅通过真实数据包捕获才暴露出的认证缺陷，该缺陷使流水线此前始终训练的是二分类器。修正后，同一份捕获数据的分类结果从 100% 的事件被标记为恶意，变为 87% 被归类为正常，同时发起扫描的主机被识别为侦察类。默认的四分类认证模型在源自 CICIDS2017 的证据上达到宏平均 F1 = 0.9538；重新认证的 18 类模型达到 0.6214，反映了真实多分类任务的表现。本文将证据保管链验证、模型完整性哈希校验以及针对每次预测的 SHAP 解释作为实测结果加以报告。