[发明专利]一种基于元样本稀疏表示的网络入侵检测方法

权利要求书

1.一种基于元样本稀疏表示的网络入侵检测方法，其特征在于，包括以下步骤：

a.使用网络数据采集工具采集网络实例，构建训练样本集；

b.从构建的网络训练样本集中提取元样本，形成元样本集并替代训练样本集；

c.采用稀疏表示分类方法对待识别网络数据进行检测，以识别待测网络数据所属类别，具体包括步骤c1-c3:

c1.求解稀疏表示系数；

c2.使用每个类的元样本集与对应稀疏表示系数重构待测数据；

c3.计算经过重构的待测数据与真实待测样本数据之间的误差，误差最小者即为该待测样本所属类别；

步骤c1中，求解稀疏表示系数的方法是：将每个待测样本表示为字典集的线性组合，从而计算得到每类字典对应的稀疏表示系数，将任意位置类别的待测样本表示为字典集合的线性组合：

y＝Wx；

其中，W表示字典集合，x＝[0,...0,a_i,1,a_i,2,...,a_i,ni,0...,0]^T∈Rⁿ

稀疏表示系数x可以通过求解如下最优化问题得到：

J(x,λ)=minx{||Ax-y||2+λ||x||1}]]>

其中，A表示训练样本集，λ是一个用来平衡重构误差和稀疏度的标量正则化参数；

步骤c2和c3中，采用Wx_i来重构测试样本y，然后通过计算二者之间的近似误差来确定y的类别，Wx_i与y的误差计算公式如下：

r_i(y)＝||y-Wx_i||₂,(i＝1,2...,k)

其中，x_i是训练样本特征向量x中第i个分量，x_i＝[0,...0,a_i,1,a_i,2,...,a_i,ni,0...,0]^T，重构误差r_i(y)越小，则第i个类在表示测试样本y的过程中所做的贡献就越大，根据重构误差值的大小来分类y,即如果

l(y)=argminiri(y)]]>

则将测试样本归入到第l(y)类中去。

2.如权利要求1所述的一种基于元样本稀疏表示的网络入侵检测方法，其特征在于，步骤b中，采用矩阵分解法从构建的网络训练样本集中提取元样本，形成元样本集并替代训练样本集，具体方法是：

b1.对训练样本集中的每一类训练样本进行归一化处理；

b2.采用奇异值分解方法对每类训练样本进行分解，得到每类训练样本的元样本；

b3.将得到的每类训练样本的元样本进行合并处理，得到元样本集，并替代训练样本集。