[发明专利]一种网络入侵检测中类别不平衡处理方法及装置

权利要求书

1.一种网络入侵检测中类别不平衡处理方法及装置，其特征在于，包括：

步骤1、从待检测点获取网络流量数据组成数据集X_D，统计数据集X_D中各类型样本的数量，将样本个数少于目标数量的样本类型记为低频样本集X_mi；

步骤2、对每个低频样本x_i∈X_mi，采用ADASYN算法计算在低频样本集X_mi中选取的K个最近邻样本中的低频样本分布密度ρ_j，ρ_j∈[0,1]，j＝1,…K_mi，K_mi表示在K中包含的低频样本个数；

步骤3、根据所述低频样本分布密度ρ_j，将所述低频样本集X_mi中的各低频样本划分为危险域、安全域和独立域；

步骤4、根据各低频样本的所属区域，采用预设样本增量方式生成新样本。

步骤5、将生成的新样本加入数据集X_D中组成新样本集X_new。

2.根据权利要求1所述的方法，其特征在于，所述步骤3具体包括：

步骤31、若低频样本分布密度ρ_j满足0<ρ_j≤1/2,则将低频样本x_i划分为危险域DR，记为x_i∈DR；

步骤32、若满足1/2<ρ_j≤1，则将低频样本x_i划分为安全域SR，记为x_i∈SR；

步骤33、若满足ρ_j＝0，则将低频样本x_i划分为独立域IR，记为x_i∈IR。

3.根据权利要求2所述的方法，其特征在于，所述步骤4具体包括：

步骤41、对于低频样本x_i∈SR，不合成新样本；

步骤42、对于低频样本x_i∈DR，根据DR内包含的所有低频样本均值x_mean，按照式(5)生成新样本；

其中，u_[0.1]为[0,1]内随机数，i^new＝1,2,...,g_i，g_i为低频样本x_i需合成的新样本数量；

步骤43、对于低频样本x_i∈IR，按照式(6)生成新样本；

其中，i^new＝1,2,...,g_i。

4.一种网络入侵检测中类别不平衡处理装置，其特征在于，包括：

数据收集模块，用于从待检测点获取网络流量数据组成数据集X_D，统计数据集X_D中各类型样本的数量，将样本个数少于目标数量的样本类型记为低频样本集X_mi；

ADASYN算法模块，用于对每个低频样本x_i∈X_mi，采用ADASYN算法计算在低频样本集X_mi中选取的K个最近邻样本中的低频样本分布密度ρ_j，ρ_j∈[0,1]，j＝1,…K_mi，K_mi表示在K中包含的低频样本个数；

区域划分模块，用于根据所述低频样本分布密度ρ_j，将所述低频样本集X_mi中的各低频样本划分为危险域、安全域和独立域；

样本合成模块，根据各低频样本的所属区域，采用预设样本增量方式生成新样本；

数据存储模块，将生成的新样本加入数据集X_D中组成新样本集X_new。