[發明專利]一種基于隨機森林的入侵檢測分類方法及裝置

在審

• 申請號: 202010983674.3
• 申請日: 2020-09-18
• 公開（公告）號: CN112187752A
• 公開（公告）日: 2021-01-05
• 發明（設計）人: 朱國勝;曹揚晨;祁小云;鄒潔
• 申請（專利權）人: 湖北大學;賽爾網絡有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 武漢聚信匯智知識產權代理有限公司 42258
• 代理人: 劉丹

1.一種基于隨機森林的入侵檢測分類方法，其特征在于，包括如下步驟：

選取入侵檢測數據集的特征屬性：對NSL-KDD網絡入侵檢測數據集進行分析，選取與入侵檢測有密切關系的四類特征屬性作為輸入，包括：TCP連接的基本特征、TCP連接的內容特征、基于時間的網絡流量統計特征和基于主機的網絡流量統計特征；

劃分訓練集和測試集：導入NSL-KDD網絡入侵檢測數據集的數據，并將其隨機劃分為70％的訓練集和30％的測試集；

數值轉換：對訓練集和測試集的數據進行數值轉換處理，將分類標簽轉換成分類數值，將文字型特征也轉換為數值類型；

one-hot編碼：對沒有關聯的特征分類數值進行one-hot編碼，將字符型特征轉換為啞變量覆蓋原來的數值；

建立隨機森林分類器模型：選取訓練集的數據作為輸入導入隨機森林算法中，通過訓練集建立隨機森林分類器模型，實現對入侵檢測分類；

調整基評估器數量：比較不同的基評估器數量對精確度的影響，選擇分類結果最好的一個作為最終的分類器；

完善隨機森林分類器模型：通過測試集對隨機森林分類器模型進行評估，從而完善隨機森林分類器模型，實現對入侵檢測數據精確分類。

2.如權利要求1所述的一種基于隨機森林的入侵檢測分類方法，其特征在于，選取入侵檢測數據集的特征屬性，包括：基于隨機森林分類算法，選取入侵檢測數據集中與入侵檢測緊密相關的四類特征屬性共41個特征屬性建立入侵檢測分類模型，表1至表4是屬性說明：

表1 TCP連接的基本特征

表2 TCP連接的內容特征

表3 基于時間的網絡流量統計特征

表4 基于主機的網絡流量統計特征

3.如權利要求1所述的一種基于隨機森林的入侵檢測分類方法，其特征在于，數值轉換，包括：由于機器學習的第三方模塊sklearn規定導入模型的數據只能為數值型，所以利用Preprocessing.LabelEncoder模塊將分類標簽轉成分類數值；同理，用Preprocessing.OrdinalEncoder模塊將分類特征轉換成分類數值，將協議類型、主機的服務類型、連接狀態三個特征值轉換為數值類型。

4.如權利要求1所述的一種基于隨機森林的入侵檢測分類方法，其特征在于，one-hot編碼，包括：將分類轉換成數字的時候，如果忽略數字中自帶的數學性質，會給算法傳達不準確的信息，影響建模過程，所以使用獨熱編碼，將協議類型、主機的服務類型、連接狀態這三個特征轉換為啞變量覆蓋原來的數值，將處理好的數據作為隨機森林算法的輸入。

5.如權利要求1所述的一種基于隨機森林的入侵檢測分類方法，其特征在于，調整基評估器數量，包括：給定決策樹參數范圍1～200，隨著隨機森林中樹的數量的增加，模型分類的準確率呈突發式增長，之后處于一個比較平穩的狀態，經實驗證明當隨機森林中決策樹的數量為114時，模型的準確率最高。

6.一種基于隨機森林的入侵檢測分類裝置，其特征在于，包括：

入侵檢測數據集的特征屬性選取模塊：對NSL-KDD網絡入侵檢測數據集進行分析，選取與入侵檢測有密切關系的四類特征屬性作為輸入，包括：TCP連接的基本特征、TCP連接的內容特征、基于時間的網絡流量統計特征和基于主機的網絡流量統計特征；

訓練集和測試集的劃分模塊：導入NSL-KDD網絡入侵檢測數據集的數據，并將其隨機劃分為70％的訓練集和30％的測試集；

數值轉換模塊：對訓練集和測試集的數據進行數值轉換處理，將分類標簽轉換成分類數值，將文字型特征也轉換為數值型；

one-hot編碼模塊：對沒有關聯的特征分類數值進行one-hot編碼，將字符型特征轉換為啞變量覆蓋原來的數值；

隨機森林分類器模型的建立模塊：選取訓練集的數據作為輸入導入隨機森林算法模型中，通過訓練集建立隨機森林分類器模型，實現對入侵檢測分類；

基評估器數量的調整模塊：比較不同的基評估器數量對精確度的影響，選擇分類結果最好的一個作為最終的分類器；

隨機森林分類器模型的完善模塊：通過測試集對隨機森林分類器模型進行評估，從而完善隨機森林分類器模型，實現對入侵檢測數據精確分類。