[发明专利]一种入侵检测方法及装置

权利要求书

1.一种入侵检测方法，应用于服务器，其特征在于，包括：

以预设修正率对待检测入侵数据进行采样，将采样得到的数据作为修正数据；

对训练数据和所述修正数据进行聚类处理，获得分类聚类簇；所述训练数据为根据实际应用中服务器已检测出的入侵数据确定的；

对每个分类聚类簇进行分类模型训练，获得每个分类聚类簇对应的分类模型；

利用获得的分类模型对剩余数据进行分类，获得所述剩余数据的攻击类型，并将所获得的攻击类型确定为所述待检测入侵数据的攻击类型，其中，所述剩余数据为：所述待检测入侵数据中除所述修正数据之外的数据；

其中，对训练数据和所述修正数据进行聚类处理，获得分类聚类簇，包括：

按照预设的预处理算法对所述修正数据以及所述训练数据进行数据预处理；

对数据预处理后的所述训练数据和修正数据进行聚类处理，获得分类聚类簇；

其中，所述对数据预处理后的所述训练数据和修正数据进行聚类处理，获得分类聚类簇，包括：

对数据预处理后的所述训练数据进行聚类处理，获得训练聚类簇和训练聚类模型；

利用所述训练聚类模型对数据预处理后的所述修正数据进行聚类，获得修正聚类簇；

将所述修正聚类簇和所述训练聚类簇中簇标识相同的聚类簇合并，得到第一类分类簇；

将第一类微类别数据和第二类微类别数据合并，得到微类别分类簇，其中，所述第一类微类别数据为：数据预处理后的所述训练数据中的所有微类别数据，所述第二类微类别数据为：数据预处理后的所述修正数据中的所有微类别数据，所述微类别数据为：数据类别不属于预设类别，且数据数量小于预设阈值的数据；

将所述微类别分类簇分别与所述第一类分类簇中的分类簇合并，得到分类聚类簇。

2.根据权利要求1所述的方法，其特征在于，所述预处理算法包括：因子数值化、连续变量归一化和特征选择。

3.根据权利要求1或2所述的方法，其特征在于，所述利用获得的分类模型对剩余数据进行分类，获得所述剩余数据的攻击类型，包括：

对剩余数据进行数据预处理，并利用所述训练聚类模型对数据预处理后的所述剩余数据进行聚类处理；

利用获得的分类模型对聚类处理后的所述剩余数据进行分类，获得所述剩余数据的攻击类型。

4.一种入侵检测装置，应用于服务器，其特征在于，包括：

采样模块，用于以预设修正率对待检测入侵数据进行采样，将采样得到的数据作为修正数据；

聚类模块，用于对训练数据和所述修正数据进行聚类处理，获得分类聚类簇；所述训练数据为根据实际应用中服务器已检测出的入侵数据确定的；

分类模块，用于对每个分类聚类簇进行分类模型训练，获得每个分类聚类簇对应的分类模型；

检测模块，用于利用获得的分类模型对剩余数据进行分类，获得所述剩余数据的攻击类型，并将所获得的攻击类型确定为所述待检测入侵数据的攻击类型，其中，所述剩余数据为：所述待检测入侵数据中除所述修正数据之外的数据；

其中，所述聚类模块包括：

预处理子模块，用于按照预设的预处理算法对所述修正数据以及所述训练数据进行数据预处理；

聚类处理子模块，用于对数据预处理后的所述训练数据和修正数据进行聚类处理，获得分类聚类簇；

其中；所述聚类处理子模块包括：

训练数据聚类单元，用于对数据预处理后的所述训练数据进行聚类处理，获得训练聚类簇和训练聚类模型；

修正数据聚类单元，用于利用所述训练聚类模型对数据预处理后的所述修正数据进行聚类，获得修正聚类簇；

聚类簇合并单元，用于将所述修正聚类簇和所述训练聚类簇中簇标识相同的聚类簇合并，得到第一类分类簇；

微类别数据合并单元，用于将第一类微类别数据和第二类微类别数据合并，得到微类别分类簇，其中，所述第一类微类别数据为：数据预处理后的所述训练数据中的所有微类别数据，所述第二类微类别数据为：数据预处理后的所述修正数据中的所有微类别数据，所述微类别数据为：数据类别不属于预设类别，且数据数量小于预设阈值的数据；

分类簇合并单元，用于将所述微类别分类簇分别与所述第一类分类簇中的分类簇合并，得到分类聚类簇。