[发明专利]一种基于网络流量的多层异常检测方法

权利要求书

1.一种基于网络流量的多层异常检测方法，其特征在于，包括如下步骤：

步骤1，对训练集和测试集中的各网络数据进行预处理：首先将网络数据的符号属性转化为二进制表示，然后将网络数据进行[0,1]标准化处理；将网络数据的攻击类别标签转化为数值表示；

步骤2，对预处理后的训练集和测试集进行降维处理，得到低维的训练集和测试集；

步骤3，针对步骤2获得的低维的训练集，将同一攻击类别的网络数据采用遗传算法和KNN离群点检测算法相结合的算法进行数据抽取，获得抽取后的训练集；

其中，数据抽取包括如下子步骤：

步骤3.1，设置种群，种群个体为(K，M)，其中，K、M为KNN离群点检测算法的参数；初始时，种群个体值为随机设置的；迭代次数为0；

步骤3.2，分别以各种群个体(K，M)为参数，对同一攻击类别的网络数据，执行KNN离群点检测算法，获得各个体对应的聚类后的数据集；

步骤3.3，分别计算各个体对应的聚类后的数据集的适应值，其中，适应值的计算公式为：

其中，S_B和S_W分别为该聚类后数据集的类间散布矩阵和类内散布矩阵，α为调节因子；

步骤3.4，判断是否达到最大迭代次数，如果到达，则算法终止，最大适应值所对应的聚类后的数据集即作为抽取后的训练集输出；如果没有达到最大迭代次数，则执行步骤3.5；

步骤3.5，对当前的各种群个体执行遗传操作，对种群进行更新，且迭代次数加1；其中，遗传操作中的选择操作执行锦标赛选择法；

步骤3.6，重复执行3.2～步骤3.5，直到达到最大迭代次数；

步骤4，构建多层分类器；其中，第一层包含一个分类器，用于将大流量攻击行为从正常行为和小流量攻击行为中识别出来；第二层包括两个分类器，其中一个分类器用于识别大流量攻击行为的攻击类型，另一个分类器用于将小流量攻击行为从正常行为中识别出来；第三层包含一个分类器，用于识别小流量攻击行为的攻击类型；

步骤5，利用步骤3获得的抽取后的训练集网络数据对步骤4构建的多层分类器进行训练，获得训练好的多层分类器；

步骤6，利用训练好的多层分类器对步骤2获得的低维的测试集网络数据进行入侵检测。

2.如权利要求1所述的基于网络流量的多层异常检测方法，其特征在于，所述步骤2中，采用线性判别式分析法进行降维处理。

3.如权利要求1所述的基于网络流量的多层异常检测方法，其特征在于，所述步骤4中，分类器为随机森林分类器。

4.如权利要求1所述的基于网络流量的多层异常检测方法，其特征在于，所述步骤1中，采用Min-max标准化方法将网络数据进行[0,1]标准化处理。