cic-ids-2017数据集是如何把攻击标签出来

cic-ids-2017数据集是通过多种手段来标注攻击，包括网络流量分析、黑名单、安全事件记录等方式。在数据集的创建过程中，收集了大量的网络流量和系统调用数据，通过分析这些数据，可以发现一些常见的攻击特征。

攻击标签的出现需要根据数据集中收集到的网络流量和系统调用数据进行判断。具体来说，需要检测网络流量和系统调用中的一些特定模式和关键字，并据此进行分类和标签化。例如，在网络流量中，可以检测到一些常见的攻击类型，如DDoS攻击、SQL注入攻击、Webshell攻击等，将这些攻击分类并打上相应的标签。

此外，在cic-ids-2017数据集的构建过程中，还使用了一些黑名单和安全事件记录来辅助标注攻击。黑名单是指一些已知的攻击者IP地址、域名等，当这些IP地址和域名出现在收集到的网络流量中时，就可以将其标记为攻击流量。而安全事件记录则是在安全设备上记录的一些已知攻击事件，当收集到相似的流量时，也可以将其标记为相应的攻击类型。

总的来说，cic-ids-2017数据集是通过多种手段来标注攻击，包括网络流量分析、黑名单、安全事件记录等方式，准确地标记出数据集中的攻击类型，为安全研究提供了良好的数据基础。