[发明专利]一种基于机器学习集成模型的网络入侵检测方法

说明书

本明公开了一种基于机器学习集成模型的网络入侵检测方法，该方法包括流量捕获、特征提取、特征向量降维、模型训练与融合、结果分析。本发明使用LSTM，实现对时序数据的降维，提高了模型训练和预测的效率；其次本发明使用多个机器学习模型的融合，实现了对网络中流量的识别与分类，该方法具有较高的检测准确率和较快的处理速度，在网络节点中部署，可以高效地识别并防范恶意攻击行为，保证了实时性和应用性。

技术领域

本发明涉及计算机网络安全技术领域，属于入侵检测（IDS），尤其涉及一种基于机器学习集成模型的网络入侵检测方法。

背景技术

互联网应用在人们生活的各个方面，网络交互的同时留下了大量的网络痕迹。以往在网络中的流量数据大多以明文形式存在，例如HTTP协议的交互过程。随着网络技术的更新，现在网络中的流量数据都采用TLS/SSL加密协议进行加密。以往的一些基于字段的网络入侵检测方法不再有效，所以加密流量背景下的入侵检测方法是具有研究意义的。

传统的流量识别包括基于IP和端口、基于有效负载的方法，现在恶意攻击者常常会伪装自己的IP地址和端口号，并且有效负载进行了加密，大大增加了流量分类的难度。结合机器学习的应用，设计高效且准确的模型具有广泛的前景。

模型直接针对高维数据分类时，存在训练时间长，效率低等缺点。对于高维数据的降维，通常采用PCA、CFS等方法进行处理。传统方法在降维时只是根据数据的密度和距离等属性进行分析，没有考虑时序数据的特点；同时没有针对每种类别数据分析特征的权重。

发明内容

本发明的目的在于针对现有技术的不足，提出了一种能够针对时序数据进行降维的方法，同时能够针对每种类别给出特征的权重排序。同时对机器学习进行模型融合，提出了一种基于机器学习集成模型的网络入侵检测方法，有效提高入侵检测的高效性和准确性。

本发明的目的是通过以下技术方案来实现的：一种基于机器学习集成模型的网络入侵检测方法，包括以下步骤：

步骤（1）：将网络节点入口的流量数据进行捕获，保存至本地文件，所述本地文件中包含不同类别的DDoS攻击；

步骤（2）：数据预处理和特征提取：对于捕获的流量数据中重复的流量数据进行删除，按照五元组进行划分，随后进行特征提取，所述特征构成特征向量；所述特征包括：TCP标志类别相关特征、TCP标志个数相关特征、数据包大小相关特征、包间隔时间相关特征、速率相关特征；所述五元组包括：源IP、目标IP、源端口、目标端口、协议类型；

步骤（3）：特征向量降维：将步骤（2）中的特征向量转换为包特征向量序列，根据不同类别的DDoS攻击分别训练LSTM_i模型，当损失函数值小于0.01时完成对LSTM_i模型的训练；对于每一种LSTM_i模型，求得前一个包特征向量序列输入训练好的LSTM_i模型中的输出结果与当前包特征向量序列的均方误差MSE，并将均方误差MSE由高到低排序，并按照均方误差MSE的排列顺序，保留前10维包特征向量；将所有类别的DDoS攻击的前10维包特征向量求并集，再将并集转化成对应的五元组特征向量；所述LSTM_i模型为长短期记忆网络，以神经元为结构单元，i表示DDoS攻击的类别数；

步骤（4）：模型训练与融合：将步骤（3）中得到的五元组特征向量分别输入随机森林-基尼机器学习模型、随机森林-熵机器学习模型、KNN-均匀权重机器学习模型、KNN-距离倒数机器学习模型、LGB机器学习模型、CatBoost机器学习模型、NN机器学习模型中，分别进行训练，当每个机器学习模型的迭代次数大于1万次或者准确率达到99.9%，完成对机器学习模型的训练；