[發明專利]基于超圖和隨機森林的入侵檢測方法

有效

• 申請號: 201810548730.3
• 申請日: 2018-05-31
• 公開（公告）號: CN108874927B
• 公開（公告）日: 2021-10-15
• 發明（設計）人: 江澤濤;周譚盛子;張少欽;胡碩
• 申請（專利權）人: 桂林電子科技大學
• 主分類號: G06F16/35
• 分類號: G06F16/35;G06F21/55
• 代理公司: 桂林市華杰專利商標事務所有限責任公司 45112
• 代理人: 周雯

本發明公開了一種基于超圖和隨機森林的入侵檢測方法，屬網絡入侵檢測技術領域，包括如下步驟：（1）數據預處理；（2）特征篩選得到新的特征子集；（3）計算各個類別中每個特征的Fisher分值并進行將序排列；（4）將測試樣本集輸入權重隨機森林分類器，得到測試樣本的最終的入侵檢測結果。本發明基于特征擇優的方法，先對數據進行降維處理再進行分類，提高了入侵檢測速度和分類器的準確率、降低了檢測誤報率。

技術領域

本發明涉及網絡入侵檢測技術領域，具體涉及一種基于超圖和隨機森林(Hypergraph and Random forest，HG-RF)的入侵檢測方法。

背景技術

隨著科學技術的發展，互聯網已經滲透到人們生活及工作的各方面，導致大量信息的生成和交換。如何保障用戶數據信息的安全性成為當下亟待研究和解決的重點。傳統的方法有用戶認證、訪問控制、數據加密、防火墻等，但這些被動的防御技術已經不足以抵制日益發展的入侵手段。

入侵是指企圖破壞機密性、完整性和可用性或繞開計算機或網絡的安全機制。入侵檢測是監控計算機系統和網絡發生的事件并分析是否存在入侵跡象的過程。

現有的一些入侵檢測方法存在計算復雜、維度災難等局限性，大大降低了入侵檢測方法的性能。因此設計一種有效的特征選擇機制可以提高分類器的效率。特征選擇通過刪除一些冗余和不相關特征屬性選擇出最能代表原始數據的效果的最小特征子集。特征選擇可分為過濾式、包裹式和嵌入式三種。過濾式特征選擇獨立于分類器，通常選擇和類別相關度大的特征或特征子集。過濾式特征選擇適用于數據預處理過程，能夠快速的排除冗余特征和非關鍵特征，有效縮小特征屬性范圍。Fisher分屬于過濾模式的一種，其基本思想是使不同類樣本間的距離最大化，同時最小化同類樣本間的距離，并將兩者的比值作為特征屬性的Fisher分值。特征的Fisher分值越大，特征的分類能力則越強，對分類的貢獻也越大。包裹式特征選擇直接把最終將要使用的學習器的性能作為特征子集的評價標準，這種方法的好處在于所選出的特征子集與分類器具有很好的契合度，能達到較高的分類準確率。但是由于需要進行分類器的多次迭代，算法的時間復雜度高。嵌入式特征選擇將特征選擇融合在模型訓練的過程中，其本質是根據某個度量指標對特征進行排序。

圖常被廣泛的用于表示對象之間的二元關系，現實世界中的對象之間往往存在多元關系。針對網絡連接數據具有多維度的特點，引入了超圖(Hypergraph，HG)的概念。超圖是傳統圖理論的泛化，其中每個頂點表示樣本的一個屬性，每條超邊表示頂點間的多元關系。超圖的頂點線性屬性指的是集合中的頂點分別屬于不同的超邊。

近年來，大量的研究工作致力于設計出一種智能的入侵檢測方法，機器學習也得到了越來越多的關注和研究。其中隨機森林(Random Forest，RF)是一種包含多個決策樹的分類器，因為其具有能處理大量的數據并產生高精度分類結果的優點，所以在入侵檢測中得到了廣泛的應用。但由于隨機森林最終的分類結果是由其所包含的決策樹投票決定的，這就使得其中某些訓練精度低的決策樹具有相同的投票能力，從而降低投票準確度。

發明內容

針對現有技術的不足，本發明所解決的問題是如何提高入侵檢測速度和分類器的準確率、降低誤報率。

為解決上述技術問題，本發明采用的技術方案是一種基于超圖和隨機森林的入侵檢測方法，包括如下步驟：

(1)數據預處理，具體過程如下：對于下載的10％的KDD數據集和corrected數據集，將10％的KDD數據集作為訓練集，corrected數據集作為測試集，將所有的字符變量轉化為數字變量，利用標準差公式對數據進行標準化處理，所述標準差公式如下所示：

式中，x_i表示每一維特征屬性中第i個樣本的值，μ表示每一維特征屬性的平均值，N表示訓練集樣本總數；