[发明专利]一种入侵流量检测识别方法及系统

权利要求书

1.一种入侵流量检测识别方法，其特征在于，包括：

获取入侵流量数据集；所述入侵流量数据集为NSL-KDD入侵流量数据集；所述NSL-KDD入侵流量数据集包括：正常流量及4种攻击流量；所述攻击流量包括：DoS、Probing、R2L以及U2R；

将所述入侵流量数据集分为训练数据集和测试数据集；

利用ADASYN采样器对所述训练数据集进行升采样；

利用升采样后的训练数据集训练入侵流量检测识别网络；所述入侵流量检测识别网络以入侵流量数据为输入，以入侵流量检测识别结果为输出；

将所述测试数据集输入训练好的入侵流量检测识别网络，利用改进残差网络分类器在多分类和二分类的情况下对测试集的入侵流量类型进行检测识别，确定检测识别结果；所述改进残差网络分类器Inception-ResNet为基础构建，利用Inception模块进行多尺寸卷积，并在模块中添加跳跃连接线构成残差网络；利用Stem模块加深网络结构、扩充数据维数；利用Reduction模块进行特征压缩；利用全局平均池化层对数据进行池化操作；利用Softmax函数进行分类器输出。

2.根据权利要求1所述的一种入侵流量检测识别方法，其特征在于，所述获取入侵流量数据集，具体包括：

将所述入侵流量数据集分为数据部分和非数据部分；所述非数据部分包括：protocol_type、service以及flag；

对所述非数据部分按类型数进行One-hot编码转换；

对所述数据部分进行归一化处理；

将One-hot编码转换后数据和归一化处理后的数据进行合并，得到合并后的数据集；

对所述合并的数据集预处理；所述预处理包括无用特征剔除以及尺寸转换。

3.根据权利要求2所述的一种入侵流量检测识别方法，其特征在于，所述利用ADASYN采样器对所述训练数据集进行升采样，具体包括：

对升采样后的训练数据集中One-hot编码转换后数据进行取整处理。

4.根据权利要求1所述的一种入侵流量检测识别方法，其特征在于，所述改进残差网络分类器采用categorical-crossentropy作为损失函数。

5.根据权利要求1所述的一种入侵流量检测识别方法，其特征在于，所述将所述测试数据集输入训练好的入侵流量检测识别网络，利用改进残差网络分类器在多分类和二分类的情况下对测试集的入侵流量类型进行检测识别，确定检测识别结果，具体包括：

利用公式确定性能值；所述性能值包括：准确率、精确率、召回率以及调和平均值；

其中，Accuracy表述准确率，Precision表示精确率，Recall表示召回率，F1-score表示调和平均值，TP表示被正确分类的正例数量，FN表示被错分为负例的正例数量，TN表示被正确分类的负例数量，FP表示被错分为正例的负例数量。

6.一种入侵流量检测识别系统，其特征在于，包括：

入侵流量数据集获取模块，用于获取入侵流量数据集；所述入侵流量数据集为NSL-KDD入侵流量数据集；所述NSL-KDD入侵流量数据集包括：正常流量及4种攻击流量；所述攻击流量包括：DoS、Probing、R2L以及U2R；

数据集划分模块，用于将所述入侵流量数据集分为训练数据集和测试数据集；

升采样模块，用于利用ADASYN采样器对所述训练数据集进行升采样；

入侵流量检测识别网络训练模块，用于利用升采样后的训练数据集训练入侵流量检测识别网络；所述入侵流量检测识别网络以入侵流量数据为输入，以入侵流量检测识别结果为输出；

检测识别结果确定模块，用于将所述测试数据集输入训练好的入侵流量检测识别网络，利用改进残差网络分类器在多分类和二分类的情况下对测试集的入侵流量类型进行检测识别，确定检测识别结果；所述改进残差网络分类器Inception-ResNet为基础构建，利用Inception模块进行多尺寸卷积，并在模块中添加跳跃连接线构成残差网络；利用Stem模块加深网络结构、扩充数据维数；利用Reduction模块进行特征压缩；利用全局平均池化层对数据进行池化操作；利用Softmax函数进行分类器输出。