[發明專利]一種基于PCA+ADASYN和Xgboost的網絡入侵檢測系統

有效

• 申請號: 202011212124.8
• 申請日: 2020-11-03
• 公開（公告）號: CN112688911B
• 公開（公告）日: 2023-04-18
• 發明（設計）人: 謝曉蘭;潘磊磊;劉亞榮;黃昕哲
• 申請（專利權）人: 桂林理工大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/14;G06F18/214;G06F18/2135
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于PCA+ADASYN和Xgboost的網絡入侵檢測系統，其特征在于包括：數據預處理模塊、數據降維模塊、數據過采樣模塊、模型訓練模塊和數據檢測模塊；數據預處理模塊與數據降維模塊相連，數據降維模塊與數據過采樣模塊相連，數據過采樣模塊與模型訓練模塊相連，模型訓練模塊與數據檢測模塊相連；

所述數據預處理模塊，用于對輸入的數據做格式化處理，包括字符串特征數值化、使用z-score對數據進行歸一化處理；

所述數據降維模塊，使用PCA算法對數據預處理模塊得到的數據做降維處理；

所述數據過采樣模塊，用于對降維后的數據中少數類樣本進行過采樣處理，采用ADASYN算法計算需要合成的樣本數，并使用SMOTE算法生成樣本；

所述模型訓練模塊，使用過采樣后的數據對Xgboost模型進行訓練；

所述數據檢測模塊，使用訓練好的檢測模型檢測數據；

所述基于PCA+ADASYN和Xgboost的網絡入侵檢測系統具體工作步驟如下：

步驟一：將KDDCUP99數據集中10％訓練子集和correct子集輸入到數據預處理模塊；

步驟二：首先將輸入數據集中的協議類型、網絡連接狀態、網絡服務類型、攻擊類型這幾字段的值轉為數值型，即字符串特征數值化；然后使用z-score對數據進行歸一化處理，得到標準數據集；

所述z-score為

所述x為原始數據的均值，σ為原始數據的標準差；

所述標準數據集包括經過字符串特征數值化和歸一化處理的10％訓練子集和correct子集；

步驟三：使用PCA算法對數據預處理模塊得到的標準數據集進行降維處理；首先將原始數據(m條n維)組成n行m列矩陣X，對X的每一行進行零均值化，求出協方差矩陣，然后求出協方差矩陣的特征值及對應的特征向量，并將特征向量按對應特征值大小從上到下按行排列成矩陣，取前k行組成矩陣P，最后得到k維矩陣Y＝PX；

步驟四：使用ADASYN算法對數據降維模塊降維后的10％訓練子集中的少數類樣本過采樣；首先計算需要合成的樣本總量，使用歐式距離找出每個少數類的k近鄰個點，并且計算在k近鄰個點中多數類樣本的比例，然后計算每個少數類樣本需要合成的樣本數，最后使用SMOTE合成新樣本，最終得到訓練集；

所述訓練集由降維后的10％的訓練子集過采樣后得到；

步驟五：使用數據過采樣模塊得到的訓練集訓練Xgboost模型，具體流程為：

(1)模型第t輪的目標函數如公式(2)，其中l表示損失函數，Ω表示模型中決策樹的正則項，C為常數項；

(2)公式(2)根據泰勒公式展開，并定義g_i、h_i；

(3)加入正則項Ω；

(4)將公式(4)(5)(6)帶入(3)，移除常數項C得到(7)；

(5)對公式(7)求解得到最優系數(8)和目標函數最優值(9)；

(6)根據公式(8)(9)尋找最優決策樹結構，進而得到最優模型；

步驟六：使用模型訓練模塊訓練好的模型對數據降維模塊得到的correct子集進行檢測，最終得出檢測結果，即某條數據為正常數據或異常數據。

2.根據權利要求1所述的一種基于PCA+ADASYN和Xgboost的網絡入侵檢測系統，其特征在于：所述輸入的數據為KDDCUP99數據集中10％訓練子集和correct子集。

3.根據權利要求1所述的一種基于PCA+ADASYN和Xgboost的網絡入侵檢測系統，其特征在于：所述數據預處理模塊，首先將輸入數據集中的協議類型、網絡連接狀態、網絡服務類型、攻擊類型這幾字段的值轉為數值型，即字符串特征數值化；然后使用z-score對數據進行歸一化處理，得到標準數據集；

所述z-score為

所述x為原始數據的均值，σ為原始數據的標準差；

所述標準數據集包括經過字符串特征數值化和歸一化處理的10％訓練子集和correct子集。