[发明专利]一种基于仿射聚类分析的入侵检测方法

权利要求书

1.一种基于仿射聚类分析的入侵检测方法，其特征在于：包括以下步骤：

步骤1，建立入侵检测数据库的特征数据向量；

步骤2，所述特征数据向量作为仿射聚类分析的输入数据向量，对计算机网络上的用户行为数据向量进行仿射聚类分析，所述仿射聚类分析的方法为先建立特征数据向量的测度矩阵，其中，以相关系数作为各特征数据向量之间的相似度；再对特征数据向量进行仿射聚类分析，得出识别结果。

2.根据权利要求1所述的入侵检测方法，其特征在于，所述特征数据向量包括一个时间窗口内目标主机是与当前连接相同的连接次数、出现SYN错误的连接在所述一个时间窗口内目标主机是与当前连接相同的连接次数中所占的百分比、目标端口相同的连接所占的百分比、目标端口不同的连接所占的百分比、目标端口与当前连接相同的连接次数、出现SYN错误的连接在所述目标端口与当前连接相同的连接次数中所占的百分比和目标主机不同的连接所占的百分比中的至少一个数据。

3.根据权利要求1或2所述的入侵检测方法，其特征在于，步骤2中的仿射聚类分析的方法如下：

首先，计算仿射聚类的两个特征数据向量x_i，x_j的相似度s(i，j)，

s(i，j)＝-corr(x_i，x_j)，其中，1≤i≤N，1≤j≤N，N为待进行仿射聚类分析的行为数据向量的个数；

再建立数据点之间的传递信息，其中用r(i，k)反映作为候选类代表点的特征数据向量x_k适合作为特征数据向量x_i的类代表点的吸引度信息；用a(i，k)反映特征数据向量x_i选择作为候选类代表点的特征数据向量x_k作为其类代表点的归属度信息，根据吸引度、归属度和相似度进行仿射聚类分析；

仿射聚类分析的方法如下：

将进行入侵检测分析的所有行为数据向量中的任意两个特征数据向量间的归属度均初始化为0：

a(i，k)＝0，其中，1≤i≤N，1≤k≤N；

更新任意两个特征数据向量间的吸引度信息：

r(i,k)=s(i,k)-maxj:j≠k{a(i,j)+s(i,j)},]]>其中，1≤i≤N，1≤k≤N；

更新任意两个特征数据向量间的归属度信息：

a(k,k)←Σj:j≠kmax{0,r(j,k)}]]>

a(i,k)←min{0,r(k,k)+Σj:j∉{i,k}max{0,r(j,k)}}]]>

其中，1≤i≤N，1≤k≤N，1≤j≤N；

作出判断：

其表示以使得r(i，k)+a(i，k)为最大值的数据点x_k作为数据点x_i的类代表点。