[发明专利]一种基于改进协同训练-ADBN的入侵检测算法

权利要求书

1.一种基于改进协同训练-ADBN的入侵检测算法，其特征在于，包括以下步骤：

1)原始入侵检测数据的预处理；

采用的NSL-KDD包含41个特征的标准入侵检测公开数据集作为样本，其中包含38个离散型及3个连续型的数据特征，具体过程如下：

(1)连续数据离散化

采取连续数据离散化的方法将连续型数据转为数字型数据，第二个数据特征为连续型数据用于描述tcp协议类型，离散化将tcp映射为1，udp映射为2，icmp映射为3；

(2)数据归一化

使用下式对数据进行归一化：

其中，X为数据样本值，MIN为数据样本的最小值，MAX为数据样本中最大值；

2)结合原始入侵检测数据的预处理结果，基于改进协同训练算法的数据预训练，其步骤为：

(1)使用基于属性特征关系将入侵检测数据划分为两个视图；

(2)在协同训练训练过程中，通过使用集成学习算法训练在两个视图上进行训练；

所述的两个视图上采取集成学习算法包括分别使用随机森林与SVM-Logistic两种集成学习，基于SVM-Logistic回归的集成学习是在分类过程中采用SVM、Logistic回归对样本进行分类，最后将他们的分类结果利用加权平均的方法集成得到最终的分类结果，加权平均法如下：

假设集成包含n个基学习器{h₁,h₂....,h_n}，其中h_i在示例样本的输出为h_i(x)，则集成学习分类结果H(x)可以表示为：

其中H(x)为基学习器的分类结果，w_i为基学习器的权重，采用预测误差绝对值来计算权重；

在训练过程中，在两个视图上采取不同集成学习分类方法，根据两个视图上的分类结果，计算样本的分类置信度，根据置信度将分类后的数据分为高置信度、低置信度、中置信度的数据，高置信度的数据直接加入训练集中，中置信度的数据通过利用主动学习方法提供给专家标注后加入训练集，低置信度的数据放入训练集中，并且使用分类器对训练集进行训练后剔除百分之10的前后分类不一致的数据，重复这个过程，直到训练集数量达到总数的百分之50，停止训练，输出带有标签的训练数据集；

(3)训练集扩大过程中，基于主动学习与分类置信度来选取数据加入训练集；

所述的训练集扩大过程中，基于主动学习与分类置信度来选取数据加入训练集包括根据下式根据数据在四个分类器中的综合情况得到预测数据的置信度，并根据置信度选择数据用于扩大训练集，其中，按照数据预测置信度进行排序并将前三分之一直接用于扩大训练集，中间三分之一的数据结合主动学习标注后加入训练集；

其中，P_ij＝max(y_i|x)为第j个视图上样本分为i类的概率；

(4)达到某种条件时，输出有标签的训练数据；

3)主动DBN的模型训练；

所述的主动DBN网络的模型训练，其步骤为：

(1)使用协同训练得到的数据输出到训练集通过深层RBM网络构建训练集样本数据的抽象表示URBM，并利用顶层的Softmax分类器进行分类预测；

(2)依据训练集中的标签与预测的结果，使用BP反馈调节网络进行DBN的参数调优，得到训练后DBN模型；

(3)在迭代训练ADBN模型过程中，选取最不可信的数据进行人工标记后放入训练集，提供给下次训练ADBN模型使用，训练完成后输出ADBN模型参数；

4)基于改进协同-ADBN的入侵检测。

2.根据权利要求1所述的一种基于改进协同训练-ADBN的入侵检测算法，其特征在于，所述的使用基于属性特征关系将入侵检测数据划分为两个视图包括：基于主机流量相关特征及基于网络流量相关特征进行视图划分，视图包括的是特征而不是数据集的某一部分。

3.根据权利要求1所述的一种基于改进协同训练-ADBN的入侵检测算法，其特征在于，选取最不可信的数据进行人工标记后放入训练集步骤为：

(1)使用DBN训练后的数据重构误差排序；

(2)根据重构误差选取最不可信的数据提供给专家人工标注；

(3)迭代完成后，输出训练好的ADBN模型。