[發明專利]一種基于Bagging算法的復合式入侵檢測方法

有效

• 申請號: 201110206014.5
• 申請日: 2011-07-22
• 公開（公告）號: CN102291392A
• 公開（公告）日: 2011-12-21
• 發明（設計）人: 高昆侖;王宇飛
• 申請（專利權）人: 中國電力科學研究院
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F15/18
• 代理公司: 北京安博達知識產權代理有限公司 11271
• 代理人: 徐國文

1.一種基于Bagging算法的復合式入侵檢測方法，其特征在于，所述方法包括以下步驟：

A、建立初始歷史數據樣本集S；

B、將所述初始歷史數據樣本集S構造成Bagging算法中弱學習算法可讀的數據集S_sample，選定球向量機作為所述弱學習算法；

C、循環調用所述Bagging算法中的弱學習算法，完成所述數據集S_sample的訓練，得到強學習機H；

D、將當前待測的數據樣本輸入到作為復合式入侵檢測模型的所述強學習機H中，所述強學習機H利用各代弱學習機h_i做初步入侵檢測，并以投票的方式判定當前待測數據樣本的入侵檢測結果，得票數多的入侵檢測結果為強學習機H最終入侵檢測結果。

2.如權利要求1所述的基于Bagging算法的復合式入侵檢測方法，其特征在于，所述步驟A包括以下步驟：

A1、數據采集：分析歷史各個時間監測點的網絡安全設備日志，統計所述日志中所有屬性對應的數據；

A2、特征提取：對所述日志中所有屬性進行核主成分分析，得到做為復合式入侵檢測的特征屬性x₁，x₂，…，x_n；

A3、統計所述歷史各個時間監測點日志，將A2中所述特征屬性x₁，x₂，…，x_n對應的數據和每個時間監測點的入侵檢測結果構成所述初始歷史數據樣本集S。

3.如權利要求1所述的基于Bagging算法的復合式入侵檢測方法，其特征在于，所述步驟B包括以下步驟：

B1、數據歸一化：將所述初始歷史數據樣本集S中特征屬性x₁，x₂，…，x_n的數值按照各自的取值范圍全部歸一化到[0，1]區間；

B2、數值化處理：將入侵檢測所有可能出現的結果狀態設定為數值型類別標號；

B3、將所述初始歷史數據樣本集S中特征屬性x₁，x₂，…，x_n的數值做為復合式入侵檢測模型的輸入向量；將所述初始歷史數據樣本集S中的入侵檢測結果做為復合式入侵檢測模型的輸出向量；所述數據集S_sample由所述復合式入侵檢測模型的輸入向量和輸出向量構成。

4.如權利要求1所述的基于Bagging算法的復合式入侵檢測方法，其特征在于，所述步驟C包括以下步驟：

C1、對集成學習Bagging算法初始化，設定所述Bagging算法最大迭代次數t，選用球向量機做為弱學習算法，并設定所述球向量機的訓練參數；

C2、以指定概率從所述數據集S_sample中有放回地選取樣訓練本子集S_i，i∈[1，…t]，作為弱學習算法的訓練樣本子集S_i；

C3、將所述訓練樣本子集S_i輸入到弱學習算法訓練，得到對應的弱學習機h_i；

C4、檢查所述集成學習Bagging算法是否達到算法的最大迭代次數t，若已達到，則執行步驟C5；否則，返回步驟C2；

C5、輸出弱學習機序列，即強學習機H。

5.如權利要求1所述的基于Bagging算法的復合式入侵檢測方法，其特征在于，所述步驟D中復合式入侵檢測步驟為：對于待測數據利用強學習機H，先進行基于誤用技術的入侵檢測，得到發生“已知種類網絡攻擊”或者“正常”的報告，再對報告“正常”的數據進行基于異常技術的入侵檢測，以檢驗其是否隱藏未知網絡攻擊，最后結合兩次報告結果得到最終入侵檢測結果。