[发明专利]基于分布式迁移网络学习的入侵检测系统及其方法

说明书

技术领域

本发明属于网络安全领域，具体涉及一种入侵检测系统，可用于信息安全方面的入侵检测。

背景技术

随着Internet的广泛使用，对计算机网络越来越多的非法攻击已对信息系统的安全造成了威胁，以防火墙等被动管理为主的网络安全系统对于应用层的后门，内部用户的越权操作等导致的攻击或窃取、破坏信息已经无能为力，且防火墙本身容易受到攻击，对于内部网络出现的安全问题经常束手无策。作为网络安全防护工具“防火墙”的一种重要的补充措施，入侵检测系统IDS显示出日益增加的重要性。IDS能够对抗来自内部网络的攻击，能阻止黑客的入侵并防止病毒的蔓延，是防火墙的安全后盾。利用审计记录，IDS能够识别出任何不希望有的活动，从而限制这些活动，保护系统的安全。1998年，MIT Lincoln实验室与DARPA合作开展了入侵检测系统评估，该计划的任务之一是提供包括主机日志和网络流量在内的用于入侵检测的数据集，KDD CUP’99对DARPA提供的9周tcpdump数据进行了适当处理和特征提取，作为标准的入侵检测数据集。

近年来，随着机器学习的发展，新的入侵检测技术也不断出现，如基于神经网络、贝叶斯网络、支持向量机等的单机入侵检测方法，但面对新环境和新形势下的网络安全问题，上述入侵检测技术存在误报率高、自适应性差、自动反应程度不高、智能化程度不高等问题，因此分布式算法成为提高IDS的检测速度和检测正确率的必需。2006年，王世军等人将Boosting算法引入分类器网络中，将分类器网络与分类器集成并用，并扩展至分布式环境，提出了分布式网络集成算法DNB，通过各节点分类器之间的通信和协作得到具有更强泛化能力的分类器系统。由于基于DNB的入侵检测方法同现有的其他传统的机器学习方法，当有标签数据很少时，不能够训练出较好的分类器模型，且要求训练数据和测试数据独立同分布，因此存在如下缺点：

1、对不同攻击类型的网络行为检测率存在不平衡现象，对某些攻击类型的网络行为检测率很低；

2、如果要提高检测率，需用户重新搜集数据并进行学习，该任务费用昂贵且花费时间；

3、不能够利用现有的其它可用资源来提高某些攻击类型的网络行为检测率。

发明内容

本发明的目的是克服上述入侵检测方法存在的缺点，将迁移学习引入DNB中，提出基于分布式迁移网络学习的入侵检测系统及其方法，以利用现有的其它数据来指导检测率较低的网络行为的学习，从而提高其检测率。

为实现上述目的，本发明的检测系统，包括：

网络行为记录预处理模块，用于对搜集到的网络行为记录完成量化和归一化预处理，并将预处理后的结果传输给异常检测模块；

异常检测模块，用于对输入的记录采用异常检测学习机进行分类识别，确定该记录是否属于正常行为，若该记录属于正常行为则不作处理，结束检测，否则，将该记录传至异常行为分析模块；

异常行为分析模块，用于对输入的异常记录采用异常行为分析学习机进行分类识别，输出该记录所属的攻击类型。

所述的网络行为记录预处理模块包括：

已有记录预处理子模块，用于对已有的有标签网络行为记录集完成量化和归一化处理，并将量化和归一化处理后的参数传入新纪录预处理子模块；

新记录预处理子模块，利用已有记录预处理子模块传入的参数对新的网络行为记录进行量化和归一化处理。

所述的异常检测模块包括：

异常检测学习子模块，将预处理后的已有的有标签网络行为记录集分为正常和异常两类，从中分别随机抽取部分样本，采用分布式网络集成学习算法进行学习，生成异常检测学习机，并将该学习机传输给异常检测测试子模块；

异常检测测试子模块，采用异常检测学习机对输入的预处理后的新记录进行分类识别，若输出结果为正常，则不作处理，结束检测，否则，将该记录传入异常行为分析模块。

所述的异常行为分析模块包括：

迁移样本预选取子模块，将已有的有标签的网络行为记录设定源域样本和目标域有标签样本，根据目标域待指导样本对源域样本完成预选取，将选出的源域迁移样本输入异常行为分析学习子模块；

异常行为分析学习子模块，将输入的源域迁移样本和目标域有标签样本一同作为训练样本，采用引入迁移学习的分布式网络集成学习算法进行学习，生成异常行为分析学习机；

异常行为分析测试子模块，对输入的异常行为采用异常行为分析学习机进行分类识别，输出其攻击类型。

为实现上述目的，本发明的检测方法，包括如下步骤：