[发明专利]一种基于残差稀疏宽度学习系统的入侵检测方法

说明书

本发明涉及网络和主机入侵检测技术领域，具体涉及一种基于残差稀疏宽度学习系统的入侵检测方法，包括以下步骤：Step1、对原始的入侵检测数据集进行预处理，Step2、将标准数据集划分为训练集和测试集；Step3、对BLS模型进行训练和参数调优，Step4、将测试数据输入到训练好的RES‑BLS入侵检测模型中，进而得到每条数据的分类结果。该基于残差稀疏宽度学习系统的入侵检测方法能够有效的解决了宽度学习系统存在的准确率、精确率、真正率、假正率等偏低的问题；该模型使用了SVD分解以求解BLS的输出权值矩阵，并通过残差学习不断调整网络训练过程中的误差，最后通过稀疏剪枝修剪网络的冗余特征以及输出权重以此修剪冗余节点避免模型陷入局部最优。

技术领域

本发明网络和主机入侵检测技术领域，具体涉及一种基于残差稀疏宽度学习系统的入侵检测方法。

背景技术

宽度学习系统是一种前馈型神经网络，该算法通过稀疏自编码或随机方式产生特征节点和增强节点，并通过岭回归广义逆计算其对应的输出权值；实现起来较为简单，但是传统BLS中会存在输出权值较小的特征结点和增强节点,导致节点对网络的最终输出起到的作用很小；大量的冗余结点会增加网络结构的复杂性，降低学习效率；此外，传统BLS只需一次就可以计算出输出权值，未曾对误差进行调整，在一定程度上会影响模型的分类效果到这种模型陷入局部最优；为了克服传统BLS存在的缺陷,提出了残差稀疏宽度学习系统,并将其应用于入侵检测。

入侵检测系统能够对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动的防御措施,作为一种积极主动的安全防护技术已经成为保障网络安全的重要技术之一；入侵检测系统的检测方法主要分为两类：误用检测和异常检测；误用检测通过对已知的入侵行为和企图进行特征提取并编写进规则库，将监测到的网络行为与规则库进行模式匹配，进而判断入侵行为或者入侵企图，该方法的优点是误报率低，但其最主要的缺点是入侵信息的收集和更新较为困难以及特征库的维护工作量较大；异常检测则是从大量正常用户行为中检测出攻击行为；可以对未知攻击进行检测是其显著优点，但其在检测过程中容易产生较高的假阳性；随着检测理论的不断完善，入侵检测系统不断发展；从最初的模式匹配算法、基于规则集成的专家系统到现在基于人工智能的算法,均取得了不错的检测效果，例如支持向量机、人工神经网络、群智能算法和深度学习等方法均在入侵检测研究中得到应用；然而，随着大数据时代的到来，网络拓扑结构越来越复杂，数据流量越来越大，且入侵行为不断变化，导致现有的入侵检测系统在实际使用过程中出现诸多不足，如高误报率和漏报率，尤其在高速交换的网络环境中，现有入侵检测系统并不能很好地检测所有的数据包；由于数据分析方法的缺陷，对数据包分析的准确率不高，经常产生漏报，而由于检测规则的更新落后于攻击手段的更新，针对新的攻击没有相应的检测规则，导致了误报现象的产生；而由于入侵行为的多变，入侵检测模型也很难对所有攻击类型均能够保持稳定的检测性能；在当前及未来网络环境中，如何快速准确地检测出网络中的入侵行为，成为入侵检测研究亟待解决的关键问题；因此，设计出一种基于残差稀疏宽度学习系统的入侵检测方法，对于目前网络和主机入侵检测技术领域来说是迫切需要的。

发明内容

本发明提供一种基于残差稀疏宽度学习系统的入侵检测方法，以解决现有技术存在的问题。

为了实现上述目的，本发明实施例提供如下技术方案：

根据本发明的实施例，一种基于残差稀疏宽度学习系统的入侵检测方法，包括以下步骤：

Step1、对原始的入侵检测数据集进行预处理，基于网络和基于主机的入侵检测数据集预处理过程分别为：

A、基于网络的入侵检测数据集预处理：

(a)、高维数据特征映射：使用高维特征映射,将离散型特征转化为数字型特征；

(b)、数据归一化：由于同种属性的数据之间差异较大，影响神经网络的训练，因此将其归一化为[0,1]的实数；

B、基于主机的入侵检测数据集预处理：