[发明专利]基于固有子序列模式分解的网络入侵检测方法

权利要求书

1.一种基于固有子序列模式分解的网络入侵检测方法，其特征在于，包括以下步骤：

步骤一网络数据截取和预处理：采用WINCAP截获网络数据包，对截获的数据包的预处理过程如下：①对每个属性二值化：该属性取值范围的均值为M，则属性值大于M则属性值为1，反之为0，对每个属性的一维序列首先取一定长度的子序列，计算不同子序列的个数，选取序列个数较少的属性作为候选属性；②对于每个连接数据用上述选取的属性表示，计算出训练集中用这些属性表示的连接的种类，然后每种类型的连接用一个ID标志；③将多维网络数据序列表示为上述ID标志的一维序列；

步骤二将正常训练集的序列和疑似序列分别进行固有子序列模式挖掘：将序列建立一个序列图，找出序列图中的封闭路径作为固有子序列模式的候选序列，在建立序列图的原序列中找出构成每个候选序列的固有子序列模式；

步骤三按照支持度分层：将正常训练集的序列和疑似序列分别分解为若干层，每层含有相似支持度的固有子序列模式；

步骤四异常检测：将疑似序列和正常训练集的序列的固有子序列模式按照支持度各自独立地组成若干层，然后在相应的层中对疑似序列的固有子序列模式与正常子序列模式进行匹配，根据匹配的数量，计算出异常程度从而判断疑似序列是否异常。