网络异常检测对于保障网络安全至关重要，但高维网络流量数据常带来特征冗余问题，增加计算开销并可能降低模型性能。本文提出一种基于Choquet积分的特征聚合框架，旨在通过自适应加权与增量特征选择相结合的方式，有效聚合高维特征，减少冗余并提升检测效率。具体而言，该框架利用Choquet积分对特征进行非线性聚合，能够捕捉特征间的交互效应，同时引入增量选择机制逐步筛选最具判别力的特征子集。实验采用随机森林和XGBoost作为分类器，在包含214MB原始特征的数据集上（推测为CICIDS2017等常见入侵检测数据集），对比了使用原始特征与使用Choquet聚合特征后的检测性能。结果表明，在保持精度和召回率不变甚至略有提升的情况下，聚合后的特征数据量减少77.5%（从214MB降至48MB），同时准确率最高提升7%，且通过多次分层重复实验验证了统计显著性（p<0.05）。这些增益在特征数量受限的场景下尤为明显，表明该方法适用于带宽受限或特征获取成本高的实时入侵检测环境。本研究的主要贡献在于提出了一种可解释且高效的网络流量特征聚合新思路，为降低入侵检测系统的资源消耗与提升检测效率提供了有力支撑。适合对网络异常检测、特征工程及机器学习分类器优化感兴趣的网络安全研究员及工程师阅读。

该论文研究如何利用基于熵的特征来增强基于机器学习的网络异常检测。传统的统计特征（如均值、方差）在捕捉网络流量模式的高变异性和多样性方面存在不足，而熵可以量化数据分布的分散程度，从而有效表征流量的可变性。作者提出将熵特征作为传统描述符的补充，而非替代。在标准的机器学习流程中，他们比较了添加熵特征前后的模型性能。在公开的入侵检测数据集（如CICIDS2017）上进行的实验显示，添加熵特征后，分类性能（如F1分数）一致提升，而计算开销增加很小。混淆矩阵分析表明，误分类减少，特别是在流量变化较大的场景。该方法的优点是简单、轻量级、可解释性强，适合在需要快速特征工程和可解释性的防御场景中应用。论文的主要贡献是验证了熵特征在实际网络异常检测中的有效性，为现有检测管道提供了一种实用的增强手段。目标读者包括网络安全研究人员、SOC分析师以及从事网络流量分类和入侵检测的工程师。

该论文提出了一种基于有限维宏观状态（Finite Macrostates）的网络安全行为异常检测框架。传统基于熵的异常检测方法通常将熵视为标量统计量，仅关注狭窄的可观测量，而忽略了网络系统的整体行为状态空间。作者构建了一个有限维的宏观状态表示，该表示基于规范安全遥测子层（CSTS），对持久实体、类型化关系和时序状态进行粗粒化处理，而非孤立的事件记录。生成的宏观状态捕获了活动性、分布无序性、结构组织、时间波动性、持久性以及对正常基线的偏离程度。与仅对异常状态评分的传统方法不同，该方法建模窗口间宏观状态的转移，定义了状态转移的机制结构、稳定性和异常变化。这有助于区分良性工作负载漂移与对抗性重组。在基准网络遥测数据集上的评估表明，该框架在异常区分能力上优于Shannon熵、Rényi熵、Tsallis熵等基线方法以及标准异常检测器，并提供了更可解释的网络遥测行为分析。