计算机毕业设计CNN-BiLSTM混合神经网络+LLM大模型+智能体AI分析的网络入侵检测系统 网络安全态势分析大屏(源码+文档+PPT+讲解)

温馨提示：本人主页置顶文章(点我)开头有 CSDN 平台官方提供的学长联系方式的名片！

温馨提示：本人主页置顶文章(点我)开头有 CSDN 平台官方提供的学长联系方式的名片！

温馨提示：本人主页置顶文章(点我)开头有 CSDN 平台官方提供的学长联系方式的名片！

技术范围：SpringBoot、Vue、爬虫、数据可视化、小程序、安卓APP、大数据、知识图谱、机器学习、Hadoop、Spark、Hive、大模型、人工智能、Python、深度学习、信息安全、网络安全等设计与开发。

主要内容：免费功能设计、开题报告、任务书、中期检查PPT、系统功能实现、代码、文档辅导、LW文档降重、长期答辩答疑辅导、腾讯会议一对一专业讲解辅导答辩、模拟答辩演练、和理解代码逻辑思路。

🍅本人主页置顶文章(点我)开头有 CSDN 平台官方提供的学长联系方式的名片🍅

🍅本人主页置顶文章(点我)开头有 CSDN 平台官方提供的学长联系方式的名片🍅

🍅本人主页置顶文章(点我)开头有 CSDN 平台官方提供的学长联系方式的名片🍅

感兴趣的可以先收藏起来，还有大家在毕设选题，项目以及LW文档编写等相关问题都可以给我留言咨询，希望帮助更多的人

信息安全/网络安全 大模型、大数据、深度学习领域中科院硕士在读，所有源码均一手开发！

感兴趣的可以先收藏起来，还有大家在毕设选题，项目以及论文编写等相关问题都可以给我留言咨询，希望帮助更多的人

介绍资料

1. 系统概述

1.1 项目简介

本系统名称为 Sentinel ML IDS，是一套面向网络安全教学、模型实验和离线流量研判场景的网络入侵检测平台。系统以 CICIDS2017 数据集为主要训练数据，以 PyTorch 实现的 CNN-BiLSTM 混合神经网络为检测核心，打通了数据接入、数据预处理、模型训练、性能评估、模型发布、离线检测、AI 复核和安全态势展示的完整业务链路。

系统不只是一个机器学习训练脚本，而是一套可实际操作的 Web 平台。用户可以在浏览器中管理数据集、观察后台任务进度、训练和发布模型、上传 CSV 或 PCAP 文件进行检测、查看逐条检测结果，并借助本地解释算法或外部大语言模型完成辅助研判。

1.2 建设目标

系统主要实现以下目标：

1.3 系统定位与适用范围

系统采用单机部署模式，适合以下应用场景：

• 网络安全、人工智能及软件工程相关课程教学。

• 毕业设计、算法验证和 CICIDS2017 数据分析实验。

• 已有 CSV 特征数据或 PCAP 抓包文件的离线安全分析。

• CNN-BiLSTM 模型训练、评估和版本对比。

• 结合特征归因与大语言模型的安全事件辅助研判。

首个版本不进行实时网卡抓包，不直接对防火墙、交换机或终端执行封禁和隔离，也不替代生产环境中的专业实时 IDS/IPS。AI 输出仅作为人工研判参考。

2. 系统创新点

本节所述创新点主要指系统在功能组织、模型应用和工程实现方面的特色设计。

2.1 机器学习全流程闭环

系统将传统上彼此独立的数据清洗脚本、训练脚本、评估程序和预测程序整合到同一个平台，形成：

数据集 → 预处理数据集 → 模型训练 → 模型评估
    → 模型发布 → 离线检测 → AI 复核 → 报告与审计

每一个阶段均具备可追踪的任务状态、进度、日志、输入关系和输出制品，使一次模型实验能够被复查、比较和复现。

2.2 面向 PCAP 的特征契约

系统定义了 pcap_compatible_v1 特征契约，用于约束预处理、训练和 PCAP 推理阶段的特征含义及排列顺序。

当数据只能生成通用数值特征模型时，系统会将模型标记为 supports_pcap=false。此类模型仍可检测结构兼容的 CSV，但系统会明确拒绝其执行 PCAP 检测，避免因特征语义不一致而产生看似正常但实际错误的预测结果。

2.3 CNN 与双向时序建模结合

模型首先通过一维卷积层提取流量统计特征之间的局部组合关系，再通过双向 LSTM 学习前后两个方向的特征依赖，最后完成 15 类流量分类。相较于单一全连接网络，该结构同时兼顾局部模式提取和序列关联建模。

训练过程结合类别权重、学习率调度、梯度裁剪、早停、检查点和固定随机种子，提升类别不平衡条件下的稳定性与可复现性。

2.4 本地解释与 LLM 复核结合

系统提供两种 AI 研判方式：

• 本地解释模式：使用集成梯度计算特征贡献，结合攻击类型、置信度和安全处置知识库生成结构化报告，全程不调用外部服务。

• LLM 大模型模式：仅针对用户当前选择的一条检测记录进行分析，并在用户明确授权后发送该记录的完整上下文，生成更详细的安全研判结果。

系统支持多个 OpenAI 兼容模型组成故障转移链。当前模型失败后会按管理员设置的顺序调用后续模型；全部不可用时自动回退到本地解释，不会导致研判功能完全中断。

2.5 数据驱动的安全态势大屏

安全态势大屏不是静态演示页面，而是使用后端聚合的真实检测、任务、模型和评估数据生成图表。页面包含 12 张 ECharts 图表，覆盖检测与攻击趋势、风险等级、攻击排行、攻击占比、输入负载、安全事件脉冲、攻击拓扑、模型能力、任务状态、任务类型、协议来源和置信区间。

大屏采用深色终端式安全风格，并融入网络拓扑、代码扫描和 XSS 等视觉元素，同时支持页面滚动和响应式布局。

2.6 可控的文件与模型制品管理

系统将 SQLite 与大文件制品分离：数据库只保存业务元数据、受控相对路径和 SHA-256；上传文件、预处理数组、检查点、模型权重、图表、报告和日志进入 runtime 对应目录。

系统内置数据集直接引用项目 dataset 目录，不重复复制。删除内置数据集时仅删除数据库登记信息；删除用户上传数据集时才同步删除 runtime/uploads 中的文件，从而兼顾数据安全与磁盘空间管理。

3. 用户角色与权限

3.1 管理员（ADMIN）

管理员拥有完整管理权限，可以：

• 扫描、上传、查看和删除数据集。

• 创建及删除预处理数据集。

• 创建、取消、恢复和删除训练任务。

• 发起模型评估并下载评估制品。

• 查看模型详情、比较模型、发布、取消发布、启用和删除模型。

• 管理系统用户、编辑用户资料、分配角色、禁用账号和重置密码。

• 查看系统级任务、审计日志和运行状态。

• 调整上传、检测、推理和 AI 解释相关参数。

• 添加、编辑、删除、排序、启用和测试 AI 大模型接口。

3.2 分析员（ANALYST）

分析员主要负责检测与研判，可以：

• 上传 CSV、PCAP 或 PCAPNG 文件发起离线检测。

• 查看、筛选、导出和删除本人创建的检测任务。

• 查看本人任务历史及任务进度。

• 对本人检测结果中的单条记录发起本地或 LLM AI 复核。

• 查看本人有权访问的系统概览数据和安全态势大屏。

分析员不能训练或发布模型，不能管理其他用户、系统参数和审计日志，也不能读取其他分析员的检测结果。

4. 系统核心功能

4.1 用户认证与账户管理

系统支持以下认证方式：

• 用户名和密码登录。

• 手机号注册分析员账号。

• 手机短信验证码登录。

• 通过短信验证后重置密码。

• 登录后修改当前密码。

短信验证码按照注册、登录、重置密码三种用途隔离，默认 5 分钟有效，具备 60 秒重发冷却、小时级发送限流、最大校验次数和一次性消费机制。数据库只保存验证码 HMAC 摘要，不保存验证码明文。

管理员可在用户管理页面创建用户，并编辑用户名、显示姓名、手机号和角色。系统会检查用户名及手机号是否重复，禁止修改当前登录管理员自身角色，并确保系统始终保留至少一个可用管理员。

4.2 系统概览

系统概览集中展示：

• 当前账号可见的数据集数量。

• 预处理数据集和模型数量。

• 当前启用模型、版本和完整性状态。

• 检测任务数量及活动任务数量。

• 最近后台任务及实时进度。

• 最近检测任务及风险摘要。

• 当前计算设备和系统运行环境。

所有指标来自当前数据库和实际运行状态，不使用模拟数据。

4.3 数据集管理

系统支持两类数据集来源：

扫描弹窗会区分已经登记和尚未登记的数据集，管理员可以选择需要加入系统的文件。数据集列表提供详情、验证和删除操作，并根据来源采用不同的文件清理策略。

4.4 数据预处理

预处理功能包括：

• CSV 分块读取，避免一次性载入大文件。

• UTF-8、UTF-8-SIG、GBK、Latin1 等编码探测。

• 清理空列、重复列、重复样本和字段空格。

• 将 Inf、-Inf 和非法数值转为缺失值。

• 修复 Web Attack 等标签中的异常字符和格式差异。

• 严格映射 CICIDS2017 的 15 个标准类别。

• 自动选择 PCAP 兼容特征或数值型回退特征。

• 按固定随机种子执行 70%/15%/15% 分层划分。

• 使用中位数填补缺失值并进行标准化。

• 保存预处理器、标签编码器、划分索引、数组和统计报告。

管理员可以为预处理结果自定义名称。任务执行过程中，页面通过进度条、阶段文字和后台任务状态实时反馈处理进度。

4.5 模型训练

系统使用 PyTorch 实现 CNN-BiLSTM 15 分类模型，主要结构为：

输入特征
→ Conv1d + BatchNorm + ReLU
→ Conv1d + BatchNorm + ReLU
→ MaxPool1d + Dropout
→ Bidirectional LSTM
→ 均值池化
→ Linear + ReLU + Dropout
→ 15 类输出

训练功能包括：

• 选择预处理数据集并自定义模型名称。

• 模型名称重复检查。

• 类别权重与带权交叉熵损失。

• AdamW 优化器和 ReduceLROnPlateau 调度器。

• 早停、梯度裁剪和固定随机种子。

• CUDA 自动混合精度训练。

• CUDA、Apple MPS 和 CPU 自动选择与回退。

• 最佳检查点与最后检查点保存。

• 失败、取消或中断任务的检查点恢复。

• 训练进度、实时日志和训练曲线自动更新。

4.6 模型评估

评估模块使用独立测试集计算：

• Accuracy。

• Balanced Accuracy。

• Macro/Weighted Precision。

• Macro/Weighted Recall。

• Macro/Weighted F1-Score。

• 多分类 One-vs-Rest ROC-AUC。

• 多分类 PR-AUC。

• 每个类别的样本数和分类指标。

系统生成原始及归一化混淆矩阵、分类报告、CSV、JSON 和 PNG 制品。支持数少于 30 的类别会显示统计可靠性警告，避免总体指标掩盖 Heartbleed、Infiltration 等少数类别的真实表现。

4.7 模型管理

每次成功训练都会生成独立模型版本。模型管理页面支持：

• 展示自定义模型名称、版本、状态和 PCAP 兼容性。

• 查看训练参数、训练曲线、预处理数据集和评估结果。

• 比较不同模型版本。

• 发布、取消发布和启用模型。

• 下载模型权重。

• 在满足引用关系和状态约束时删除模型。

模型发布前必须完成权重、预处理器、标签编码器、元数据、路径和 SHA-256 完整性检查。离线检测只允许选择已发布且健康的活动模型。

4.8 离线入侵检测

系统支持以下输入形式：

• 单条特征数据。

• 批量 CSV 文件。

• PCAP 文件。

• PCAPNG 文件。

CSV 检测按照训练阶段相同的特征契约完成字段对齐、缺失值填补和标准化。PCAP 检测通过 dpkt 解析 IPv4/IPv6、TCP 和 UDP 数据包，容错处理异常包、截断包和不支持的数据包，并按双向五元组及流超时规则进行会话聚合。

检测结果包含：

• 预测标签。

• 模型置信度。

• Top-K 候选类别及概率。

• 风险等级。

• 源地址、目的地址、端口和协议等上下文。

• 参与推理的特征信息。

检测详情支持按风险和类别筛选、分页查看、返回任务提交页面、删除任务以及导出 CSV。

4.9 单条记录 AI 复核

检测明细操作列提供“AI 复核”入口。每次复核只分析当前选中的一条记录，不读取或聚合同一任务中的其他检测明细。

离线复核输出内容包括：

• AI 综合结论。

• 关键特征及贡献依据。

• 攻击行为分析。

• 可能影响范围。

• 分阶段处置建议。

• 模型置信度与不确定性说明。

LLM 模式要求用户明确勾选外部发送授权。授权后可发送当前记录的全部信息，包括源/目的 IP、端口、协议、流量特征、模型预测和任务上下文。调用过程使用进度条、阶段文字和黑客终端动画反馈状态，结果会标明实际调用模型、是否发生外部传输以及是否回退至本地解释。

4.10 任务历史

预处理、训练、评估、检测、AI 报告和导出操作统一抽象为后台任务，状态包括：

QUEUED | RUNNING | SUCCEEDED | FAILED |
CANCELLED | INTERRUPTED

任务历史页面支持详情查看、运行任务取消、单项删除、多选、全选和批量删除。页面轮询刷新时会依据任务 ID 保留用户勾选状态，避免自动更新导致选择丢失。后端重启时，未正常完成的运行任务会被标记为 INTERRUPTED。

4.11 安全态势可视化大屏

可视化大屏提供以下 12 类图表：

页面支持鼠标滚轮、不同屏幕宽度下的响应式布局和减少动画模式。图表数据由 /api/v1/dashboard/visualization 聚合提供。

4.12 系统设置与 AI 模型管理

管理员可以在系统设置中动态调整：

• 单文件上传上限。

• PCAP 最大解析包数。

• CSV 检测分块行数。

• PCAP 流推理批大小。

• 模型推理批大小。

• AI 解释样本上限。

• 集成梯度计算步数。

AI 大模型管理支持 OpenAI 兼容的 Chat Completions 和 Responses 接口，可配置模型名称、API 地址、模型标识、API Key、超时、温度和最大输出 Tokens。管理员可以启用、停用、编辑、删除、测试模型，并自定义调用顺序。

API Key 经加密后保存于 SQLite，页面和普通接口只展示密钥末四位。解密主密钥保存在 runtime/database/ai-models.key，迁移或备份时需要与 SQLite 数据库一起保存。

4.13 审计与系统状态

审计日志记录用户登录、用户管理、数据集操作、任务创建与取消、模型发布、检测、AI 复核和系统设置修改等关键行为。每条审计记录包含操作者、动作、资源、请求 ID、结果和时间。

健康接口可展示当前 Python、SQLite、运行架构和环境状态。系统启动时还会检查活动模型完整性，并处理异常中断任务。

5. 系统架构

5.1 总体架构

┌─────────────────────────────────────────────────────┐
│ Vue 3 + TypeScript 客户端                           │
│ 页面、路由、状态管理、Element Plus、ECharts         │
└──────────────────────┬──────────────────────────────┘
                      │ /api/v1 · JSON · Cookie/CSRF
┌──────────────────────▼──────────────────────────────┐
│ Flask 应用层                                       │
│ Blueprint、Pydantic 校验、RBAC、审计、统一错误响应 │
├─────────────────────────────────────────────────────┤
│ 业务服务与后台任务                                 │
│ 数据集、预处理、训练、评估、检测、AI、模型注册表   │
├──────────────────────┬──────────────────────────────┤
│ PyTorch / sklearn   │ SQLite / runtime 文件制品   │
└──────────────────────┴──────────────────────────────┘

5.2 API 规范

系统 API 统一以 /api/v1 为前缀，标准响应结构为：

{
 "code": "OK",
 "message": "成功",
 "data": {},
 "request_id": "请求追踪标识"
}

列表接口统一返回 items、page、page_size 和 total。前后端使用同源 HttpOnly 会话 Cookie；登录成功后返回 CSRF Token，所有修改类请求需要携带 X-CSRF-Token。

5.3 后台任务架构

系统使用单进程、单后台工作线程执行长任务。该设计与 SQLite 的单机写入特点相匹配，避免多进程训练和检测同时写入造成数据库锁竞争。

任务状态、进度、阶段和错误保存在 SQLite；训练日志、模型、图表和结果文件写入 runtime。数据库操作采用短事务，并设置 SQLite busy_timeout。

6. 技术栈

6.1 后端技术栈

6.2 前端技术栈

6.3 测试与质量工具

7. 数据与模型流程

7.1 数据预处理流程

扫描/上传 CSV
→ 文件与编码校验
→ 分块读取
→ 标签修复与数值清洗
→ 去重
→ 特征契约确定
→ 70/15/15 分层划分
→ Imputer 与 Scaler 拟合
→ NumPy 数组及元数据持久化

7.2 模型训练与发布流程

选择预处理数据集
→ 创建训练任务
→ CNN-BiLSTM 全量训练
→ 最佳检查点与曲线保存
→ 自动生成模型版本
→ 独立测试集评估
→ 完整性与兼容性校验
→ 发布并启用模型

7.3 离线检测流程

上传 CSV / PCAP / PCAPNG
→ 文件内容校验
→ CSV 特征对齐或 PCAP 流聚合
→ 加载已发布模型与预处理器
→ 批量推理
→ 标签、置信度、Top-K、风险等级
→ 明细筛选与导出
→ 可选单条 AI 复核

8. 安全设计

8.1 身份和会话安全

• 使用 Scrypt 保存密码哈希，不保存明文密码。

• 使用 HttpOnly、SameSite Cookie 管理登录会话。

• 所有修改类请求启用 CSRF 校验。

• 用户角色和资源所有权在后端强制校验。

• 密码重置、账号禁用或关键资料修改会更新会话版本，使旧会话失效。

• 登录和短信验证码接口具备频率限制。

8.2 文件安全

• 上传文件使用 UUID 重命名，不信任客户端文件名。

• 同时校验扩展名、文件头或数据内容。

• 所有运行文件只保存于受控目录。

• 通过路径解析和父目录检查防止路径穿越。

• 对数据集、输入文件和模型权重计算 SHA-256。

• 不信任模型包中自行声明的元数据和路径。

8.3 AI 与敏感数据安全

• 默认支持完全离线的 AI 解释模式。

• 外部 LLM 复核必须由用户针对当前记录明确授权。

• 页面明确展示将要传输的数据范围。

• 外部 AI 不会获得同一任务中的其他检测记录。

• API Key 加密保存，接口不返回完整密钥。

• AI 失败时回退本地解释，不自动执行安全处置。

8.4 SQLite 安全与兼容性

数据库文件位于 runtime/database/ids.sqlite3。系统固定使用 Navicat 兼容的 SQLite DELETE 日志模式、NORMAL 锁定模式、外键约束和短事务，不依赖 WAL 文件。

建议使用 Navicat 进行只读查询。直接修改数据库可能绕过系统校验和审计，修改前应备份数据库，并确保没有训练或检测任务正在写入。

9. 系统目录结构

项目根目录/
├── dataset/                         # CICIDS2017 系统内置数据集
├── 测试数据/                       # CSV/PCAP 检测测试文件
├── 项目代码/
│   ├── ids-server/                 # Flask 后端
│   │   ├── run.py                   # 后端直接启动入口
│   │   ├── migrations/             # Alembic 数据库迁移
│   │   ├── scripts/                 # 初始化与验收脚本
│   │   ├── src/ids_server/         # 后端源代码
│   │   └── tests/                   # 后端测试
│   └── ids-client/                 # Vue 3 客户端
│       ├── prototype/               # 审核通过的原生页面原型
│       ├── src/                     # 正式客户端源代码
│       ├── e2e/                     # Playwright 测试
│       └── dist/                   # 生产构建产物
└── runtime/
  ├── database/                   # SQLite 与 AI 解密密钥
  ├── uploads/                     # 用户上传文件
  ├── preprocessing/               # 预处理数据集
  ├── training/                   # 训练日志、检查点和曲线
  ├── models/                     # 模型权重与元数据
  ├── evaluations/                 # 评估报告和图表
  ├── detections/                 # 检测输入与结果
  ├── reports/                     # AI 与验收报告
  ├── logs/                       # 系统日志
  └── temp/                       # 受控临时文件

10. 运行与部署

10.1 启动后端

cd 项目代码/ids-server
.venv/bin/python run.py

run.py 会读取 .env 中的配置，并通过 Waitress 启动 Flask。默认后端地址为：

http://127.0.0.1:5000

10.2 启动前端开发环境

cd 项目代码/ids-client
pnpm install –frozen-lockfile
pnpm dev

Vite 开发服务器会将 /api 请求代理到 Flask 后端。

10.3 生产构建

cd 项目代码/ids-client
pnpm build

构建结果进入 ids-client/dist，可以由 Flask 同源托管，从而简化 Cookie、CSRF 和跨域配置。

10.4 数据库升级

cd 项目代码/ids-server
.venv/bin/flask db upgrade

数据库结构通过 Alembic 迁移维护，禁止通过删除现有数据库的方式代替正式升级。

11. 系统特点总结

Sentinel ML IDS 的核心价值在于将机器学习算法、网络流量处理和安全运营交互整合为一套完整系统：

• 具备从原始数据到检测结果的端到端闭环。

• 支持 15 类 CICIDS2017 流量分类。

• 支持 CSV、PCAP 和 PCAPNG 离线检测。

• 使用特征契约保证训练与推理一致性。

• 具备模型版本、发布和完整性管理。

• 同时提供本地可解释 AI 与外部 LLM 复核。

• 提供 12 图表安全态势大屏。

• 具备角色权限、任务状态、日志和审计能力。

• SQLite 与运行制品分离，方便单机部署和管理。

• 前后端均具备自动化测试与静态检查体系。

系统最终实现了从“训练一个入侵检测模型”到“建设一套可管理、可解释、可视化的入侵检测平台”的转变。

运行截图

推荐项目

上万套Java、Python、大数据、机器学习、深度学习等高级选题(源码+lw+部署文档+讲解等)

项目案例

优势

1-项目均为博主学习开发自研，适合新手入门和学习使用

2-所有源码均一手开发，不是模版！不容易跟班里人重复！

为什么选择我

 博主是CSDN毕设辅导博客第一人兼开派祖师爷、博主本身从事开发软件开发、有丰富的编程能力和水平、累积给上千名同学进行辅导、全网累积粉丝超过50W。是CSDN特邀作者、博客专家、新星计划导师、Java领域优质创作者,博客之星、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java技术领域和学生毕业项目实战,高校老师/讲师/同行前辈交流和合作。 

🍅✌感兴趣的可以先收藏起来，点赞关注不迷路，想学习更多项目可以查看主页，大家在毕设选题，项目代码以及论文编写等相关问题都可以给我留言咨询，希望可以帮助同学们顺利毕业！🍅✌

源码获取方式

🍅由于篇幅限制，获取完整文章或源码、代做项目的，本人主页置顶文章(点我)开头有 CSDN 平台官方提供的学长联系方式的名片。🍅

点赞、收藏、关注，不迷路