[發明專利]基于條件互信息的雙層半懶惰貝葉斯的網絡入侵分類方法

無效

• 申請號: 200710133291.1
• 申請日: 2007-09-27
• 公開（公告）號: CN101136809A
• 公開（公告）日: 2008-03-05
• 發明（設計）人: 王崇駿;孫江文;吳駿;陳世福
• 申請（專利權）人: 南京大學
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24;H04L29/06
• 代理公司: 南京蘇高專利事務所
• 代理人: 柏尚春

技術領域

本發明涉及一種網絡入侵檢測方法，尤其涉及一種基于貝葉斯分類器的網絡入侵分類方法。

背景技術

在網絡技術迅速發展、網絡安全問題日益突出的環境下，傳統的基于主機或基于網絡的入侵檢測系統已經難以滿足對越來越復雜的網絡攻擊的檢測任務。將機器學習和數據挖掘等技術引入到入侵檢測系統，已經成為入侵檢測系統研究的主要方向之一。例如：基于貝葉斯分類方法的入侵檢測技術、基于神經網絡的入侵檢測技術和基于關聯規則挖掘的入侵檢測技術等。

樸素貝葉斯分類器以其簡單性以及和其它復雜分類器相當的性能而在入侵檢測領域得到了廣泛的應用。但同時由于入侵檢測中刻畫入侵事件的屬性特征往往無法做到彼此間獨立并且各個類標下的屬性獨立關系也不盡相同，所以樸素貝葉斯的條件獨立性假設始終束縛著其在這一領域中的更廣泛的應用。

當然現在也存在著一些放寬這種條件獨立性假設的改進的貝葉斯分類器，如TAN，LBR，AODE，FBN等。但是這些分類器或是由于時間復雜度高，或是由于沒有考慮到不同類標事件的屬性獨立性關系不同，從而無法應用到實時性要求高并且已追求預測精度為目的的入侵檢測系統中來。

發明內容

發明目的：本發明所要解決的技術問題是提供一種基于條件互信息的雙層半懶惰貝葉斯的網絡入侵分類方法，以提高入侵檢測系統的入侵檢測性能。

技術方案：為解決上述技術問題，本發明的基于條件互信息的雙層半懶惰貝葉斯的網絡入侵分類方法，包括如下步驟：

1、訓練階段：

a、收集已知是否為入侵的會話事件并進行特征提取做為訓練集；

b、對訓練集進行預處理；

c、訓練出基于條件互信息的雙層半懶惰貝葉斯分類器；

d、結束；

2、分類階段：

e、預處理待檢測會話事件；

f、使用步驟1-c得到的分類器對處理后的會話事件進行分類；

g、返回分類結果；

h、結束。

其中步驟1-b中所述的預處理為對訓練集中的離散屬性進行離散化。

步驟2-e中所述的預處理為對會話事件進行格式化或離散化。

步驟1-c的具體過程如下：

1、從訓練集中統計出每個不同類標出現的頻率，并使用這些頻率估計出每個類標的先驗概率；

2、從訓練樣本中估計出每個類標下每個屬性取值的條件概率；

3、從訓練樣本中估計出每個類標下每兩個屬性不同取值的聯合條件概率；

4、結束。

步驟2-f的具體過程如下：

1、由用戶輸入參數β，取值可為30～60；

2、置j的值為1；

3、判斷j是否小于等于不同的類標數L，是則執行步驟4，否則轉步驟19；

4、根據公式

計算每個屬性A_i相對于其它所有屬性在類標w_j下的條件互信息和；

其中，a_i為待檢測記錄在屬性A_i上的取值，B是除屬性A_i外的其余所有屬性的集合，a_k為待檢測記錄在屬性A_k上的取值；

其中，I(a_i，a_k|w_j)使用公式