[发明专利]一种基于灰狼算法特征选择的入侵检测系统建模方法、系统及装置

权利要求书

1.一种基于灰狼算法特征选择的入侵检测系统建模方法，其特征在于，包括：

(1)对NSL-KDD通信流量数据集中的流量数据进行哑变量处理以及数据归一化方法预处理，生成NSL-KDD标准流量数据集，适应决策树算法、神经网络算法的本质要求；

所述的NSL-KDD通信流量数据集包括正常流量样本与异常流量样本；

(2)利用决策树算法按搜索个体对NSL-KDD标准流量数据集进行建模，建立灰狼搜索群体；

(3)定义损失函数，根据损失函数对搜索个体进行排序；

(4)利用连续域灰狼算法策略进行灰狼搜索群体的进化，重复步骤(1)，步骤(2)以及步骤(4)，直到灰狼搜索群体损失达到要求或迭代次数达到极限；

(5)当灰狼搜索群体损失达到要求或迭代次数达到极限时，停止嵌入式特征选择，并得到最优的特征组合，通过决策树分类器建立基于最优特征组合的入侵检测模型；

所述利用决策树算法按搜索个体对NSL-KDD标准流量数据集进行建模过程为：

搜索个体对应特征组合的二进制编码；

算法最大迭代次数为100次，搜索个体数为10个；

以基尼系数作为选择标准构建CART分类树：CART分类树由根节点、子节点、叶节点组成，通过当前未用于分类属性的基尼系数不断对NSL-KDD标准流量数据集进行划分，直至当前子节点只包含单一类别的样本或满足递归约束条件，其递归约束条件为划分到要求的精度下为止，此时CART分类树的生长过程结束；

当前待划分NSL-KDD标准流量数据集S中的样本类别为Ci(i＝1,…,n)，概率分布的基尼系数计算式为：

其中p_i为当前待划分NSL-KDD标准流量数据集中类别Ci所占比例；当CART分类树以特征属性M将S划分为S1、S2时，对应的基尼系数计算式为：

所述损失函数为：

其中，fitness指置信度；AC指当前模型在测试集上表现的准确率；feature_selected指当前搜索个体选择的特征数；feature_num指备选特征总数；

所述利用连续域灰狼算法策略进行灰狼搜索群体的进化方式为：

(1)确定猎物位置：猎物位置为灰狼搜索个体位置为迭代次数为t时，引入系数因子由哈达玛积计算狼群包围猎物的基准距离并据此结合系数因子将附近一点作为表达式为：

系数因子系数因子由随机数向量随机数向量以及逼近向量决定，其中MAX_IT为算法的最大迭代次数，随着迭代次数接近MAX_IT，向量使搜索个体在解空间中逼近数学模型为：

(2)追捕猎物：灰狼群体狩猎时由α狼、β狼、δ狼确定猎物位置并指挥狼群个体进行移动；

依次在每一代选出最优个体作为α狼、β狼、δ狼，α狼对应解为β狼对应解为δ狼对应解为据此共同决策当前在处个体的下一次迭代：

由于搜索个体的寻优涉及离散域寻优，对连续域灰狼寻优算法进行改进；

算法解X＝{x|x∈{0,1}}，算法利用sigmoid函数构造了概率分布函数和变异机制完成搜索个体的迭代，sigmoid函数为：

sigmoid(a)＝1/(1+e^-10(a-0.5))；

迭代次数为t时，对于搜索个体二进制编码中第i个元素，由sigmoid函数计算得到对应位置变异概率其中α、β、δ对应当前群体中排序前三的最优解；

综合每一代α、β、δ的位置信息，决策搜索个体的迭代过程，其数学模型如下式所示：

2.根据权利要求1所述的一种基于灰狼算法特征选择的入侵检测系统建模方法，其特征在于，所述对NSL-KDD通信流量数据集中的流量数据进行哑变量处理以及数据归一化方法预处理方法为：

利用独热编码对字符串类型的特征进行哑变量处理，按独热编码进行哑变量化，数据集维数由41维扩充至122维；

采用Z-Score标准化的方式对数据集进行归一化处理：

其中，x为特征下的一个样本值，μ为该特征的样本均值，σ为该特征的样本标准差。