[发明专利]一种基于元样本稀疏表示的网络入侵检测方法

说明书

技术领域

本发明涉及网络安全领域，具体涉及一种基于元样本稀疏表示的网络入侵检测方法。

背景技术

随着网络技术的飞速发展和网络规模的不断扩大，网络安全问题日趋严重。入侵检测作为维护网络安全的一项重要技术，俨然已成为信息安全领域一个重要的研究内容，获得了众多专家学者的广泛关注。入侵检测技术主要是通过分析相关的网络数据来判断系统中是否存在违背系统安全或安全策略的行为。

入侵检测本质上可以看成是一个分类问题，可以把网络中的所有行为分为两类即正常行为和异常行为，这样入侵检测可以被划分到模式识别和分类的范畴。根据分析方法和检测原理的不同，可以将入侵检测技术分为异常检测和误用检测两类，异常检测通常漏报率较低，但往往存在误报率过高的问题。误用检测准确度高，但对于未知攻击的效果并不明显。因此，两种检测方式都面临着训练时间、噪声数据和实时检测的挑战。

迄今为止，入侵检测技术的发展主要经历了三个阶段：行为规则匹配、可靠性检测和机器学习检测。相对于其他方法，基于机器学习的入侵检测方法一般具有更好的自适应性、学习性和抗毁性，能有效对抗网络中已知和未知的攻击方式。将机器学习方法用于入侵检测的一般做法是首先收集网络中的入侵数据和正常数据，从中提取数据的特征，构建特征数据库，然后进行模式匹配，检测出攻击行为。各种机器学习方法如神经网络、遗传算法、隐马尔科夫模型等已被引入到入侵检测系统中，但是网络入侵检测的数据往往具有高维、高噪、小样本的特点，传统的机器学习算法多是建立在样本数量趋于无穷大的假设上的，这就导致基于这些机器学习算法的入侵检测系统不能得到非常理想的效果。

近年来，受到基于l₁范数最小化方法如基追踪、压缩感知等算法的启发，稀疏表示作为一种新颖有效的数据处理方法应运而生，相关理论也受到了越来越多专家学者的关注，并已在人脸识别、图像处理等领域得到了广泛应用。理想情况下，稀疏表示分类中待测样本可以仅由同类的训练样本很好的表示。此时，稀疏表示稀疏向量中只有少量非零系数，l₁正则化最小二乘方法可以用来求解稀疏表示系数。与传统的监督学习方法不同，稀疏表示不需要构建分类模型，不包括训练和测试阶段，这就避免了过学习的问题。稀疏表示方法已被成功应用于人脸识别和肿瘤分类等领域。稀疏表示分类方法能够大大地提升高噪、高维数据的识别与分类的性能。

然而，由于同一类型的网络数据中存在大量的冗余信息，直接使用原始的训练样本有时并不能有效地表示新的待测样本，同时，训练样本过多会导致算法速度变慢。

发明内容

本发明所要解决的技术问题是：提出一种基于元样本稀疏表示的网络入侵检测方法，解决传统常用的入侵检测方法难以应对未知的网络攻击行为和异常检测误报率过高的问题。

本发明解决上述技术问题所采用的方案是：一种基于元样本稀疏表示的网络入侵检测方法，包括以下步骤：

a.使用网络数据采集工具采集网络实例，构建训练样本集；

b.从构建的网络训练样本集中提取元样本，形成元样本集并替代训练样本集；

c.采用稀疏表示分类方法对待识别网络数据进行检测，以识别待测网络数据所属类别。

进一步的，步骤b中，采用矩阵分解法从构建的网络训练样本集中提取元样本，形成元样本集并替代训练样本集，具体方法是：

b1.对训练样本集中的每一类训练样本进行归一化处理；

b2.采用奇异值分解(SVD)方法对每类训练样本进行分解，得到每类训练样本的元样本；

b3.将得到的每类训练样本的元样本进行合并处理，得到元样本集，并替代训练样本集。

具体的，步骤b1中，所述对训练样本集中的每一类训练样本进行归一化处理，具体包括：

其中，x_i是训练样本特征向量x中第i个分量，x_max为特征向量x中最大的分量，x_min是特征向量x中最小的分量,x_i′为归一化以后的向量。

具体的，步骤b2中，所述采用奇异值分解方法对每类训练样本进行分解的方法如下：

A_i～W_iH_i