[发明专利]基于多分类的入侵检测方法、装置及存储介质

权利要求书

1.一种基于多分类的入侵检测方法，其特征在于，包括：

对样本集中的各样本进行密度聚类，得到多个初始聚类簇，所述每个初始聚类簇中包括至少一个样本；

基于所述多个初始聚类簇，在所述样本集中筛选至少一个异常样本；

针对每个所述异常样本，计算与其相似度最高的初始聚类簇，并将所述异常样本合并入所述相似度最高的聚类簇；

迭代筛选异常样本及合并入相似度最高的聚类簇的步骤，直到剩余N个聚类簇为止，并作为所述N个目标聚类簇；

将所述N个目标聚类簇分别作为N个子分类器的训练样本集，对所述N个子分类器分别进行训练，得到入侵检测系统。

2.根据权利要求1所述的基于多分类的入侵检测方法，其特征在于，所述方法还包括：

将测试样本输入至所述入侵检测系统；

检测与所述测试样本相似度最高的异常样本；

将所述相似度最高的异常样本对应的聚类簇所训练的子分类器，作为所述测试样本的预测分类结果；

基于所述测试样本的分类标签与所述预测分类结果，对所述入侵检测系统进行训练。

3.根据权利要求1所述的基于多分类的入侵检测方法，其特征在于，所述N等于4；

所述将所述N个目标聚类簇分别作为N个子分类器的训练样本集，对所述N个子分类器分别进行训练，得到入侵检测系统包括：

将所述4个目标聚类簇分别作为4个子分类器的训练样本集，对所述4个子分类器分别进行训练，得到所述入侵检测系统，所述入侵检测系统由所述4个子分类器构成。

4.根据权利要求1所述的基于多分类的入侵检测方法，其特征在于，所述基于所述多个初始聚类簇，在所述样本集中筛选至少一个异常样本包括：

响应于存在聚类簇中的样本数量小于M个，将所述聚类簇中的各样本均作为所述异常样本；其中，所述M等于3或6。

5.一种基于多分类的入侵检测装置，其特征在于，包括：

聚类模块，用于对样本集中的各样本进行密度聚类，得到多个初始聚类簇，所述每个初始聚类簇中包括至少一个样本；

筛选模块，用于基于所述多个初始聚类簇，在所述样本集中筛选至少一个异常样本；

合并模块，用于针对每个所述异常样本，计算与其相似度最高的初始聚类簇，并将所述异常样本合并入所述相似度最高的聚类簇；

所述聚类模块，还用于迭代筛选异常样本及合并入相似度最高的聚类簇的步骤，直到剩余N个聚类簇为止，并作为所述N个目标聚类簇；

训练模块，用于将所述N个目标聚类簇分别作为N个子分类器的训练样本集，对所述N个子分类器分别进行训练，得到入侵检测系统。

6.根据权利要求5所述的基于多分类的入侵检测装置，其特征在于，所述装置还包括：

输入模块，用于将测试样本输入至所述入侵检测系统；

检测模块，用于检测与所述测试样本相似度最高的异常样本；

预测模块，用于将所述相似度最高的异常样本对应的聚类簇所训练的子分类器，作为所述测试样本的预测分类结果；

所述训练模块，还用于基于所述测试样本的分类标签与所述预测分类结果，对所述入侵检测系统进行训练。

7.根据权利要求5所述的基于多分类的入侵检测装置，其特征在于，

所述聚类模块聚类得到的所述目标聚类簇数N等于4；

所述训练模块，还用于将所述4个目标聚类簇分别作为4个子分类器的训练样本集，对所述4个子分类器分别进行训练，得到所述入侵检测系统，所述入侵检测系统由所述4个子分类器构成。

8.根据权利要求5所述的基于多分类的入侵检测装置，其特征在于，

所述筛选模块，用于响应于存在聚类簇中的样本数量小于M个，将所述聚类簇中的各样本均作为所述异常样本；其中，所述M等于3或6。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现权利要求1-4所述方法的步骤。