[发明专利]一种基于关联规则分类的网络入侵检测方法

权利要求书

1.一种基于关联规则分类的网络入侵检测方法包括以下步骤：

第1步、对国际标准数据集10％KDDCup99预处理，并将预处理后的数据集分成训练集和测试集两部分数据；

第2步、采用改进的Apriori算法对选取的训练集中的网络连接数据进行训练，提取到关联规则，将关联规则存放到关联规则库中，同时将关联规则库中的关联规则展示出来；所述改进的Apriori算法称为基于索引的Apriori算法，用Apriori-index表示；

第3步、测试集中的每条网络连接数据逐条匹配关联规则库中关联规则，根据不同关联规则的条件长度和网络连接类型分别计算权值，找出最大权值所对应的网络连接类型即为最终分类得到的结果；

第4步、保存第3步中分类结果，将上述分类过程和分类得到的结果展示出来；同时为保证该方法良好的自学习特性，测试集的数据在根据关联规则分类得到具体的网络连接类型后，训练集数据连同对应的网络连接类型重新加入到训练集数据中，为后续关联规则提取提供新的训练集数据源，保证关联规则的动态更新。

2.根据权利要求1所述的基于关联规则分类的网络入侵检测方法，其特征在于：第1步中数据集预处理的方法是：

第1.1步、为每列数据添加位置参数；因为10％KDDCup99数据集中有大量相同的数据，数据集中处于不同列的数据有不同的含义，而原始的Apriori算法在处理数据集中不同列的相同数据项时将他们视为同样的数据，因此直接使用原始的Apriori算法处理数据集会影响提取规则速度和分类结果的准确度；为避免出现以上问题，需要在数据预处理阶段为每条网络连接数据的每个数据项添加位置参数；

第1.2步、采用交叉验证的方法选取经过第1.1步预处理后的10％KDDCup99数据集中60％的连接数据作为训练集，剩余的40％的连接数据作为测试集；由于改进的Apriori算法能够处理字符类型数据，同时数值类型的数据也能够视为字符类型数据，所以无需对网络连接数据中的字符类型数据进行数值化和归一化处理。

3.根据权利要求1所述的基于关联规则分类的网络入侵检测方法，其特征在于：第2步所述采用Apriori-index算法提取关联规则的方法是：

第2.1步、初始化最小支持度阈值Min_Support，最小置信度阈值Min_Confidence；通过查阅文献资料和实验验证，最小支持度阈值和最小置信度阈值分别设定为25％和78.5％能够获得较高的分类准确度；初始化最小支持度阈值Min_Support＝25％，最小置信度阈值Min_Confidence＝78.5％；

第2.2步、找出所有的频繁项集；遍历训练集中的所有的网络连接数据，统计每个属性值对应的连接类型及其出现的频度，形成候选项集合C₁；在此基础上，根据支持度公式

计算支持度；其中Occur(X)表示训练集中所有网络连接数据中包含频繁项{X}的数量，Count(D)表示训练集{D}中所有网络连接的数量；在候选项集合C₁中删除支持度低于最小支持度阈值Min_Support的候选项，剩余的候选项形成频繁1-项集L₁；然后对于每种网络连接类型，连接L₁中的不同元素构成候选项集合C₂，再次遍历训练集数据，根据支持度公式计算C₂中的每个候选项的支持度，删除候选项集合C₂中支持度低于最小支持度阈值Min_Support的候选项，剩余候选项形成频繁2-项集L₂；按照网络连接类型，再连接L₂中的不同元素构成候选项集合C₃，再次遍历训练集数据，计算C₃中的每个候选项的支持度，删除支持度低于最小支持度阈值Min_Support的候选项，剩余的候选项形成频繁3-项集L₃；重复进行以上的遍历、删除和连接的步骤，直到没有新的候选项产生，所有的频繁项集，即L₁,L₂,...,L_n都已搜寻得到；其中，连接步骤和删除步骤分别严格满足连接定理和频繁子集定理,即:若两个k-1-项集的前k-2个项相同，而最后一个项不同，则证明它们可连接得到k-项集；若k-项集任意一个子集不是频繁项集，则该k-项集也不是频繁项集；

第2.3步、由频繁项集产生关联规则；对于第2.2步中得到的频繁项集L₁,L₂,...,L_n，假设频繁项集L_i中每个频繁项l_i的网络连接类型用t_j表示；如果(l_i-t_j)→t_j的置信度大于最小置信度阈值Min_Confidence，则输出(l_i-t_j)→t_j；置信度的计算根据置信度计算公式：

其中Support(A∪B)和Support(A)分别表示频繁项{A∪B}和{A}的支持度；即置信度公式可化为：

找到的所有满足要求的(l_i-t_j)→t_j，即为关联规则；

第2.4步、将第2.3步中得到的关联规则添加到关联规则库中，作为对测试集中未知类型的网络连接数据测试分类的判断依据；

第2.5步、将关联规则库中的关联规则展示出来；10％KDDCup99数据集的数据量较大，经过Apriori-index算法训练得到的关联规则非常多，关联规则在页面内显示会比较混乱，所以关联规则展示页面进行适当的缩放，使关联规则清晰展示。