[发明专利]基于在线提升算法的网络入侵检测方法

权利要求书

1.一种基于在线提升算法的网络入侵检测方法，其特征在于，包括：

通过初始化模块，在网络连接数据的每一维特征上分别建立一个决策桩h_f(x)，即弱分类器；初始化各个特征维度上的决策桩及其相应的加权权重，并设置平衡因子r的值，以平衡得到的入侵检测强分类器的检测率和虚警率；其中弱分类器h_f(x)的权重由它的分类错误率ε_f得出，ε_f由以下公式近似得到：

ϵf=λfswλfsc+λfsw,]]>

公式中，为被特征f上的决策桩正确分类的训练样本权重之和，为被特征f上的决策桩错误分类的训练样本权重之和；

对于新的网络连接数据，首先通过在线更新模块，判断该新的网络连接数据是否为训练样本；如果该新网络连接数据是训练样本，则在对该新网络连接数据进行入侵检测前先用该训练样本对当前入侵检测强分类器进行在线动态更新；具体更新过程首先为每个训练样本(x，y)设置初始的样本权重λ，训练样本集中所有的网络攻击总个数为N_attack，训练样本集中所有正常网络连接的总个数为N_normal，所述初始的样本权重λ如下表示：

然后对于每维特征使用该训练样本，根据当前的初始的样本权重λ值更新该特征上的决策桩h_f(x)及其加权权重，并更新该训练样本的权重λ，更新后的样本权重λ用于下一维度的决策桩及其加权权重的在线更新；对于特征f，按照以λ为参数的Poission分布随机生成训练样本(x，y)的个数k，并以k个训练样本(x，y)在线更新特征f上的决策桩h_f(x)，并且样本权重λ和特征f上决策桩权重的更新按照如下方式进行：

若h_f(x)＝y，则λfsc=λfsc+λ]]>

ϵf=λfswλfsc+λfsw]]>

λ=λ·12(1-ϵf)]]>

否则

λfsw=λfsw+λ]]>

ϵf=λfswλfsc+λfsw]]>

λ=λ·12ϵf]]>

通过检测模块，由当前的各个决策桩加权融合而得入侵检测强分类器，对网络连接数据进行入侵检测，所述当前的各个决策桩加权融合而得到的入侵检测强分类器表示如下：

H(x)=sign(Σfhf(x)·lg1-ϵfϵf).]]>