[發(fā)明專利]一種基于改進(jìn)核心向量機(jī)數(shù)據(jù)融合的復(fù)合式入侵檢測方法

有效

• 申請?zhí)枺?/td>: 201210564255.1
• 申請日: 2012-12-21
• 公開（公告）號: CN103077347A
• 公開（公告）日: 2013-05-01
• 發(fā)明（設(shè)計）人: 王宇飛;鄭曉崑;徐志博;梁瀟;王志皓;白云
• 申請（專利權(quán)）人: 中國電力科學(xué)研究院;國家電網(wǎng)公司
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 北京安博達(dá)知識產(chǎn)權(quán)代理有限公司 11271
• 代理人: 徐國文

1.一種基于改進(jìn)核心向量機(jī)數(shù)據(jù)融合的復(fù)合式入侵檢測方法，其特征在于，該方法包含如下步驟：

步驟1：從目標(biāo)網(wǎng)絡(luò)的網(wǎng)絡(luò)安全設(shè)備日志中提取誤用入侵檢測和異常入侵檢測所需要的各時間監(jiān)測點(diǎn)的特征數(shù)據(jù)，并將所述特征數(shù)據(jù)轉(zhuǎn)換為矩陣形式的特征向量集合；所述網(wǎng)絡(luò)安全設(shè)備日志的歷史記錄中包括下述特征數(shù)據(jù)：時間監(jiān)測點(diǎn)、x₁,x₂,…,x_n屬性的監(jiān)測數(shù)據(jù)和已知入侵檢測結(jié)果的已知網(wǎng)絡(luò)行為；

步驟2：將所述歷史記錄中的特征數(shù)據(jù)分別構(gòu)造為黑、白名單數(shù)據(jù)樣本子集；

步驟3：對黑、白名單數(shù)據(jù)樣本子集進(jìn)行訓(xùn)練，分別得到初級誤用入侵檢測模型和初級異常檢測模型，并計算出兩種檢測模型的精度；

步驟4：通過D-S證據(jù)理論結(jié)合步驟3中所述兩種檢測模型的精度，實(shí)現(xiàn)初級誤用入侵檢測模型和初級異常檢測模型的數(shù)據(jù)融合，從而得到復(fù)合入侵檢測模型以及該檢測模型的聯(lián)合置信區(qū)間；

步驟5：先通過所述初級誤用入侵檢測模型和初級異常檢測模型判斷出待測網(wǎng)絡(luò)行為的類別標(biāo)號，再根據(jù)所述復(fù)合入侵檢測模型判斷出最終檢測結(jié)果。

2.根據(jù)權(quán)利要求1所述的復(fù)合式入侵檢測方法，其特征在于，所述步驟1中特征向量集合的列數(shù)為n+2，行數(shù)為歷史記錄的條數(shù)。

3.根據(jù)權(quán)利要求1所述的復(fù)合式入侵檢測方法，其特征在于，所述步驟2包括如下步驟：

步驟2.1：設(shè)定各樣本子集中每條樣本均包括n+2個特征屬性，其中第一條特征屬性為該樣本的時間監(jiān)測點(diǎn)，第2至第n+1條特征屬性分別對應(yīng)該時間監(jiān)測點(diǎn)的x₁,x₂,…,x_n屬性的監(jiān)測數(shù)據(jù)，第n+2條特征屬性對應(yīng)目標(biāo)網(wǎng)絡(luò)當(dāng)時的已知網(wǎng)絡(luò)行為；

步驟2.2：將步驟2.1中各屬性x₁,x₂,…,x_n的監(jiān)測數(shù)據(jù)按照各自的取值范圍全部歸一化到[0,1]區(qū)間；

步驟2.3：將誤用入侵檢測和異常入侵檢測中所有的已知網(wǎng)絡(luò)行為分別設(shè)定為數(shù)值型類別標(biāo)號；

步驟2.4：以步驟2.2歸一化以后的各類特征x₁,x₂,…,x_n作為改進(jìn)核心向量機(jī)的輸入量，以步驟2.3誤用入侵檢測的類別標(biāo)號作為改進(jìn)核心向量機(jī)的輸出量，構(gòu)造成黑名單數(shù)據(jù)樣本子集；

步驟2.5：以步驟2.2歸一化以后的各類特征x₁,x₂,…,x_n作為改進(jìn)核心向量機(jī)的輸入量，以步驟2.3異常入侵檢測的類別標(biāo)號作為改進(jìn)核心向量機(jī)的輸出量，構(gòu)造成白名單數(shù)據(jù)樣本子集。

4.根據(jù)權(quán)利要求3的復(fù)合式入侵檢測方法，其特征在于，所述已知網(wǎng)絡(luò)行為包括“正常”、“拒絕服務(wù)類攻擊”、“利用類攻擊”、“信息收集類攻擊”、“信息欺騙類攻擊”和“未知種類網(wǎng)絡(luò)攻擊”，將上述六種已知網(wǎng)絡(luò)行為的類別標(biāo)號設(shè)定為-2、-1、0、+1、+2、+3。

5.根據(jù)權(quán)利要求1的復(fù)合式入侵檢測方法，其特征在于，所述步驟3包括如下步驟：

步驟3.1：設(shè)定改進(jìn)核心向量機(jī)的訓(xùn)練參數(shù)，所述訓(xùn)練參數(shù)包括核函數(shù)類型、粒子群算法最大迭代次數(shù)、粒子群算法種群規(guī)模和粒子群算法的適應(yīng)度函數(shù)；

步驟3.2：分別將黑、白名單數(shù)據(jù)樣本子集輸入到改進(jìn)核心向量機(jī)中進(jìn)行訓(xùn)練以得到初級誤用入侵檢測模型和初級異常入侵檢測模型；

步驟3.3：在得到初級誤用入侵檢測模型和和初級異常入侵檢測模型的同時，通過粒子群算法動態(tài)搜索出改進(jìn)核心向量機(jī)的其他訓(xùn)練參數(shù)，所述其他訓(xùn)練參數(shù)包括懲罰因子C、核函數(shù)的核寬參數(shù)σ和損失函數(shù)參數(shù)ε；

步驟3.4：將所述初級誤用入侵檢測模型和初級異常入侵檢測模型的類別標(biāo)號與所述網(wǎng)絡(luò)安全設(shè)備日志歷史記錄中的已知網(wǎng)絡(luò)行為的類別標(biāo)號進(jìn)行比對，以得到初級誤用入侵檢測模型和初級異常入侵檢測模型的精度。

6.根據(jù)權(quán)利要求5所述的復(fù)合式入侵檢測方法，其特征在于，所述步驟3.2和步驟3.5中，分別采用最小包含球算法進(jìn)行訓(xùn)練。