[发明专利]一种基于混合采样与膨胀卷积相结合的入侵检测方法

说明书

本发明涉及一种基于混合采样与膨胀卷积相结合的入侵检测方法，属于网络安全领域的入侵检测技术。本发明提出一种新的数据平衡方法，使用了SVMSMOTE过采样和高斯混合(GMM)欠采样相结合，采用了网络运行的UNSW‑NB15入侵检测数据集；对UNSW‑NB15数据集进行了数据预处理操作；包括数值化、特征缩减、标准化和特征选择；随之对UNSW‑NB15训练集进行混合采样技术；使得训练集各个类别所占的比例处于均衡状态；随之将处理好的训练集导入膨胀卷积网络模型进行训练，使得模型迭代至收敛；最后将测试集放入训练好的模型进行测试；并得出最终的分类结果。该方法有效的能有效的解决类不均衡问题，能显著提高少数类别的检测进度，多分类上的准确率都优于现有方法。

技术领域

本发明涉及一种基于混合采样与膨胀卷积相结合的入侵检测方法，属于网络安全领域的入侵检测技术。

背景技术

随着网络范围和规模的不断扩大，网络入侵的威胁比以往任何时候都更加严重。传统的网络入侵检测技术已经不能满足日益增长的网络安全保障需求，在这种情况下，具有主动防御功能的入侵检测系统(Intrusion Detection System， IDS)应运而生。IDS可以通过分析网络中的实时数据包来判断是否发生了入侵行为，并以此发出警报；

入侵检测技术是计算机网络安全的重要组成部分在入侵检测领域，已经有研究人员使用了许多机器学习方法。如支持向量机(SVM)、随机森林、决策树等，然而随着网络规模和范围的不断扩大，网络环境日益复杂，网络攻击类别变得多样化，传统的机器学习技术等浅层学习已经不适合大规模NIDS的要求。近年来，深度学习以其全自动特征工程的优势成为研究的热点。卷积神经网络(CNN)，多层感知器(MLP)，递归神经网络(RNN)，深度神经网络(DNN)，深度置信网络(DBN) 也慢慢在NIDS广泛使用。中的研究表明，这些基于深度学习的NIDS在处理大数据时可以获得更好的性能；

目前入侵检测基本存在几个问题，首先，目前入侵检测大部分采用的是KDD CUP99数据集或20年前收集的NSL-KDD数据集进行测试。随着网络技术的不断发展，攻击手段和类型也随之变化，使用这些过时的流量数据不能完整的反映网络入侵检测在现代网络中的实际表现。其次，这些系统大部分采用数据集的一部分进行实验，没有考虑到该系统在现实大数据环境下的性能。最后，没有有效的解决类不平衡问题对分类效果的影响，这将使得少数的类别无法别检测或者检测精度低等问题，显著的降低了检测率；

发明内容

本发明通过将过采样和欠采样相结合，能有效的解决数据不平衡问题，提高少数类别的检测率，使用了膨胀卷积神经网络更好的提取流量数据特征，以提高入侵检测性能，并探究了不同卷积核、学习率、网络层数对模型性能的影响。

本发明采用的技术方案是：一种基于混合采样与膨胀卷积相结合的入侵检测方法，包括如下步骤：

S1、对原始数据进行预处理，具体包括数据数值化、特征缩减、数据标准化、特征缩减；

S2、混合采样：对训练集进行混合采样来平衡数据，利用SVMSMOTE方法对训练集进行过采样，随之用GMM对过采样的训练集进行欠采样操作；

S3、将混合采样过后的训练集导入膨胀卷积神经网络模型进行训练，通过多次迭代使得模型收敛，随之用测试集对已经训练好的膨胀卷积神经网络模型进行测试，并得出分类结果。

具体地，对原始数据进行预处理包括：

S1.1、数值化：采用独热编码将原始数据中的符号特征转化为数值特征；

S1.2、特征缩减：对数值化后的特征进行缩减，删除数据集中的冗余和无意义的特征；

S1.3、数据标准化：对数值特征进行标准归一化，将每个数值归一到[0,1] 区间；

S1.4、特征缩减：对进行标准化后的数据，堆叠一个自动编码器DAE，选择了其中权重最高的12个数据特征。

具体地，S2的具体步骤为：

S2.1、通过SVMSMOTE对数量小于N的样本数进行过采样，通过合成少数类样本来增加少数类样本的数量；