[發明專利]基于BIRCH和SMOTE的網絡入侵檢測方法及系統

有效

• 申請號: 202010094729.5
• 申請日: 2020-02-16
• 公開（公告）號: CN111343165B
• 公開（公告）日: 2022-08-05
• 發明（設計）人: 熊炫睿;陳高升;程占偉;付明凱;劉敏
• 申請（專利權）人: 重慶郵電大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06K9/62;G06F21/55
• 代理公司: 重慶輝騰律師事務所 50215
• 代理人: 盧勝斌

1.基于BIRCH和SMOTE的網絡入侵檢測方法，其特征在于，具體包括以下步驟：

S1、將網絡入侵歷史數據集中的符號屬性轉換為數字屬性；

S2、將網絡入侵歷史數據集歸一化至區間[0,1]；

S3、利用平衡采樣算法對網絡入侵歷史數據集進行采樣，得到每個類別平衡的訓練集，采樣過程包括：

對每個類別的網絡入侵歷史數據使用BIRCH聚類形成一個包含n_i個簇的集合，并設置每個類別重采樣的樣本數量r為各類的簇數量和最少的類的實例數量中的最大值；

若一個類別的樣本數量等于r，則直接將該r個樣本添加到平衡數據集D'中；

若一個類別的樣本數量小于r，則對該類數據使用SMOTE過采樣，使該類數據樣本數量為r，并將該r個數據添加到數據集D'中；

若一個類別的樣本數量大于r，則使用基于BIRCH的聚類采樣算法得到r個數據，并將該r個數據添加到數據集D'中；

其中，基于BIRCH的聚類采樣算法包括：

對輸入的數據集使用BIRCH算法得到k個簇，如果采樣的樣本數r小于簇中心數k，則對簇中心集合使用K-means聚類算法得到r個簇，并采集簇中心；

如果r等于k，則采集所有的簇中心；

如果r大于k，則首先采集簇中心，并進行多輪采樣，得到每輪采樣對各個簇采樣的樣本數，使得在各個簇中采集的樣本數量盡可能相近；

S4、利用獲得的訓練集訓練機器學習分類器；

S5、將實時的網絡入侵數據輸入訓練好的分類器，分類器輸出該實時的網絡入侵數據的類別。

2.根據權利要求1所述的基于BIRCH和SMOTE的網絡入侵檢測方法，其特征在于，對于多數類，即當r大于k時，每輪采樣對各個簇采樣的樣本數獲取過程表示為：

其中，S_i表示數據集D中屬于第i類的樣本集合；S'表示對每個簇平均采樣的樣本容量；C_i表示第i個簇；|D'|表示當前已采集的樣本個數；q表示欠采樣可用的簇的個數。

3.根據權利要求1所述的基于BIRCH和SMOTE的網絡入侵檢測方法，其特征在于，每個類別重采樣的樣本數量r表示為：

r＝max(n₁,n₂,...,n_i,...,n_N,m)；

其中，n_i表示對數據集中第i類入侵數據聚類生成的簇個數，N為總的入侵類型的數量；m為輸入數據集中最少的類的樣本數。

4.基于BIRCH和SMOTE的網絡入侵檢測系統，其特征在于，包括歷史數據存儲模塊、屬性轉換模塊、歸一化模塊、采樣模塊、機器學習分類器訓練模塊以及實時預測模塊，其中：

歷史數據存儲模塊，用于存儲已經進行了分類的網絡入侵數據；

屬性轉換模塊，用于將網絡入侵數據中的符號屬性轉換為數字屬性；

歸一化模塊，用于對經過屬性轉換后的網絡入侵數據歸一化到區間；

采樣模塊，對網絡歷史數據進行采樣，保證訓練數據的數據量平衡；

機器學習分類器訓練模塊，用于根據訓練數據進行訓練，獲得機器學習分類器；

實時預測模塊，將實時的網絡入侵數據輸入機器學習分類器，獲得該網絡入侵的類型。

5.根據權利要求4所述的一種基于BIRCH和SMOTE的網絡入侵檢測系統，其特征在于，采樣模塊包括采樣樣本數量確定單元、樣本數量判斷單元、SMOTE過采樣單元以及基于BIRCH的聚類采樣單元，其中：

采樣樣本數量確定單元，用于確認采樣樣本的數量；

樣本數量判斷單元，用于判斷當前類別的樣本數量與樣本數量r的關系，若當前樣本數量等于r，則直接輸入該r個樣本，若小于r則將數據輸入SMOTE過采樣單元；否則輸入基于BIRCH的聚類采樣；

SMOTE過采樣單元，對輸入的數據進行過采樣，使樣本數目達到r，并輸出該r個樣本；

基于BIRCH的聚類采樣單元，對輸入的數據進行聚類，并以簇為基礎進行欠采樣，輸出r個樣本。