Для построения матриц обучения был выбран гибридный набор из 14 признаков (FEATURES), сформированный на основе рекомендаций аналитика трафика и специфики сетевых атак:
• Признаки соединения (src_bytes, dst_bytes, duration, protocol_type, flag, logged_in): Описывают саму суть сетевой сессии. Они критически важны для обнаружения аномалий в объёмах передаваемых данных и флагах разрыва соединений, что позволяет изолированно ловить точечные атаки (например, R2L и U2R).
• Контекстные признаки сети за последние 2 секунды (count, srv_count, serror_rate, srv_serror_rate, dst_host_count, dst_host_srv_count, dst_host_same_srv_rate): Отражают частоту и плотность запросов. Эти параметры незаменимы для выявления массовых синхронных накатов (семейства атак DoS и Probe).
Отказ от использования всех 41 признаков обоснован стремлением защитить модель от переобучения на неинформативном шуме и снизить вычислительную нагрузку на этапе подбора гиперпараметров.
