[发明专利]一种基于PCA+ADASYN和Xgboost的网络入侵检测系统

权利要求书

1.一种基于PCA+ADASYN和Xgboost的网络入侵检测系统，其特征在于包括：数据预处理模块、数据降维模块、数据过采样模块、模型训练模块和数据检测模块；数据预处理模块与数据降维模块相连，数据降维模块与数据过采样模块相连，数据过采样模块与模型训练模块相连，模型训练模块与数据检测模块相连；

所述数据预处理模块，用于对输入的数据做格式化处理，包括字符串特征数值化、使用z-score对数据进行归一化处理；

所述数据降维模块，使用PCA算法对数据预处理模块得到的数据做降维处理；

所述数据过采样模块，用于对降维后的数据中少数类样本进行过采样处理，采用ADASYN算法计算需要合成的样本数，并使用SMOTE算法生成样本；

所述模型训练模块，使用过采样后的数据对Xgboost模型进行训练；

所述数据检测模块，使用训练好的检测模型检测数据；

所述基于PCA+ADASYN和Xgboost的网络入侵检测系统具体工作步骤如下：

步骤一：将KDDCUP99数据集中10％训练子集和correct子集输入到数据预处理模块；

步骤二：首先将输入数据集中的协议类型、网络连接状态、网络服务类型、攻击类型这几字段的值转为数值型，即字符串特征数值化；然后使用z-score对数据进行归一化处理，得到标准数据集；

所述z-score为

所述x为原始数据的均值，σ为原始数据的标准差；

所述标准数据集包括经过字符串特征数值化和归一化处理的10％训练子集和correct子集；

步骤三：使用PCA算法对数据预处理模块得到的标准数据集进行降维处理；首先将原始数据(m条n维)组成n行m列矩阵X，对X的每一行进行零均值化，求出协方差矩阵，然后求出协方差矩阵的特征值及对应的特征向量，并将特征向量按对应特征值大小从上到下按行排列成矩阵，取前k行组成矩阵P，最后得到k维矩阵Y＝PX；

步骤四：使用ADASYN算法对数据降维模块降维后的10％训练子集中的少数类样本过采样；首先计算需要合成的样本总量，使用欧式距离找出每个少数类的k近邻个点，并且计算在k近邻个点中多数类样本的比例，然后计算每个少数类样本需要合成的样本数，最后使用SMOTE合成新样本，最终得到训练集；

所述训练集由降维后的10％的训练子集过采样后得到；

步骤五：使用数据过采样模块得到的训练集训练Xgboost模型，具体流程为：

(1)模型第t轮的目标函数如公式(2)，其中l表示损失函数，Ω表示模型中决策树的正则项，C为常数项；

(2)公式(2)根据泰勒公式展开，并定义g_i、h_i；

(3)加入正则项Ω；

(4)将公式(4)(5)(6)带入(3)，移除常数项C得到(7)；

(5)对公式(7)求解得到最优系数(8)和目标函数最优值(9)；

(6)根据公式(8)(9)寻找最优决策树结构，进而得到最优模型；

步骤六：使用模型训练模块训练好的模型对数据降维模块得到的correct子集进行检测，最终得出检测结果，即某条数据为正常数据或异常数据。

2.根据权利要求1所述的一种基于PCA+ADASYN和Xgboost的网络入侵检测系统，其特征在于：所述输入的数据为KDDCUP99数据集中10％训练子集和correct子集。

3.根据权利要求1所述的一种基于PCA+ADASYN和Xgboost的网络入侵检测系统，其特征在于：所述数据预处理模块，首先将输入数据集中的协议类型、网络连接状态、网络服务类型、攻击类型这几字段的值转为数值型，即字符串特征数值化；然后使用z-score对数据进行归一化处理，得到标准数据集；

所述z-score为

所述x为原始数据的均值，σ为原始数据的标准差；

所述标准数据集包括经过字符串特征数值化和归一化处理的10％训练子集和correct子集。