基于特征分组聚类的异常入侵检测系统研究

发布时间：2021-08-30 08:46

　　利用网络连接数据可以按照连接的基本特征、内容特征、网络流量特征和主机流量特征进行分组的特点,基于K-means算法,提出一种按照特征分组进行聚类的方法,以高效实现特征约简和数据降维。通过调整聚类参数保留特征分组内的差异信息,使用决策树C4.5算法对降维后的数据进行入侵分类处理。实验结果表明,该方法能够使kddcup99数据集的聚类特征数由41个降为4个,且对网络连接数据的总检测率为99.73%,误检率为0,其中正常网络连接和刺探攻击Probe的检测率均为100%。 

【文章来源】：计算机工程. 2020,46(04)北大核心CSCD

【文章页数】：7 页

【部分图文】：

KBFG-C4.5入侵检测系统模型

首先对实验数据进行预处理,预处理包含2个部分,即标称属性值数值化和所有数据归一化;然后依据数据的特征类型将数据分离成4个新的数据集,即l=4,如图2所示;接着对处理后的数据使用算法2进行降维,将数据转化为图2中用簇号表示的一条数据,如图中C1,6表示该样本第一个特征分组数据经过KBFG算法被聚到簇6中,以此类推;最后使用C4.5算法对高层抽象之后的数据进行分类,输出结果。4.1 KBFG分组聚类参数确定

在KBFG算法中,各分组的聚类数目kt(1≤t≤l)的取值由人工确定。通过反复实验,约定所有分组的聚类数目相等,即k1=k2=…=kt=…=kl =k。当k=5,6,7,8,9,10时,图3所示为KBFG-C4.5模型对攻击类连接数据的检测率情况。从图3可以看出,当k=10时KBFG-C4.5模型检测率 DDR=0.997 3,对比k=9时降低 0.003 0。当k=5,6,7,8,9,10时,图4所示为KBFG-C4.5模型对5种连接数据的检测率情况。从图4可以看出,当k=10时,R2L的DDR=0.330 9,对比 k=9时降低约0.030 0,当k=10时,DoS的DDR=0.999 3,对比 k=9时提高约0.030 0。Normal、U2R、Probe 的DDR在k=10、k=9时均无明显变化。图4 KBFG-C4.5模型对5种连接数据的检测率情况

【参考文献】：
期刊论文
[1]基于BFOA和K-means的复合入侵检测算法[J]. 肖苗苗,魏本征,尹义龙.  山东大学学报(工学版). 2018(03)
[2]一种面向入侵检测的半监督聚类算法[J]. 夏战国,万玲,蔡世玉,孙鹏辉.  山东大学学报(工学版). 2012(06)
[3]一种改进初始聚类中心选择的K-means算法[J]. 陈光平,王文鹏,黄俊.  小型微型计算机系统. 2012(06)
[4]基于特征分组加权聚类的表情识别[J]. 武宇文,刘宏,查红彬.  计算机辅助设计与图形学学报. 2005(11)
[5]基于无监督聚类的入侵检测方法[J]. 罗敏,王丽娜,张焕国.  电子学报. 2003(11)



本文编号：3372463