[发明专利]基于深度生成模型和聚类欠采样的网络入侵检测方法

权利要求书

1.基于深度生成模型和聚类欠采样的网络入侵检测方法，其特征在于：该方法包括以下步骤：

S1)采用DCGAES生成模型对少数类样本进行生成；

S2)采用DBSCAN聚类对多数类样本进行欠采样；

S3)采用Tomek Links剔除数据集中的噪声样本；

S4)使用投票分类器(DT+KNN)对平衡前后的数据集进行分类实验。

2.根据权利要求1所述的基于深度生成模型和聚类欠采样的网络入侵检测方法，其特征在于：所述步骤S1中，少数类样本进行生成包括以下步骤：

步骤S11)首先，DCGAES将入侵检测数据集中的少数类攻击样本分批输入编码器/解码器，编码器/解码器可以学习到少数类数据中固有的基本重构模式，以此重构少数类攻击样本，可以对每批样本及重构样本计算重构损失，从而在训练过程中保证生成样本分布不会偏离原始样本分布。重构损失函数可表示为：

其中b_j为原始数据样本，E_b为编码后的样本，D_b为解码后的样本。

步骤S12)另一方面，DCGAES为了生成与输入样本不同的示例，需要在编码的特征空间中引入方差，以便解码生成不同于自动编码器的输入，但仍受输入数据的约束。首先从少数类攻击中随机采样与批大小重构样本相等数量的少数类样本，编码器将采样的少数类样本降为低维特征空间，通过排列编码数据的顺序，将方差引入编码/解码过程。在解码阶段，解码器改变排列好的编码数据顺序来还原样本，当解码顺序发生改变时，编码后的样本和解码后的样本必然存在一定的差异，这种差异不同于重构样本时的差异，它有助于过采样时少数类样本的生成，可以使用惩罚损失来表示。惩罚损失函数可以表示为：

其中S_b为原始数据样本，E_S为编码后的样本，P_E为打乱顺序后的编码样本，D_S为解码后的样本。

最后结合重构样本的损失函数和引入方差后的惩罚损失函数可以得到总的损失函数如下所示：

T_L＝R_L+P_L

步骤S13)深度过采样过程也需要引入方差，但使用的方法与训练阶段不同。在训练阶段，编码器将输入数据减少到低维空间，并通过乱序排列编码数据来扰乱解码过程，从而在其中引入方差。然而，当涉及到深度过采样时，会使用SMOTE过采样方法来引入方差。首先通过优化总损失函数T_L训练DCGAES生成模型，然后经过训练的编码器可用于深度过采样过程以获得高质量的嵌入，有助于发现输入数据的最佳数据表示。SMOTE方法在最佳数据上生成数据，最后通过训练好的解码器对生成的数据进行解码，生成高质量的少数类攻击样本。

3.根据权利要求1所述的基于深度生成模型和聚类欠采样的网络入侵检测方法，其特征在于：所述步骤S2中，多数类样本进行聚类欠采样包括以下步骤：

步骤S21)DBSCAN的关键思想是，对于集群的每个对象，给定半径的邻域(Eps)必须包含至少最小数量的对象(MinPts)，这意味着邻域的基数必须超过某个阈值。任意点p的ε-邻域被定义为：

N_Eps＝q∈D/dist(p,q)＜Eps

其中D是对象的数据库，dist(p,q)为点p,q的相互距离。如果点P的ε-邻域至少包含最小数量的点，则此点称为核心点。核心点定义为：

N_Eps(P)＞MinPts

这里Eps和MinPts是用户指定的参数，分别表示一个核心点的ε-邻域的邻域半径和最小点数。如果不满足此条件，则认为该点为非核心点。

DBSACN通过检查数据集中每个对象的ε-邻域来搜索簇群。如果对象p的ε-邻域包含超过MinPts，则创建一个以p为核心对象的新簇群。然后迭代地从这些核心对象中直接收集密度可达对象，这可能涉及到一个新的密度可达集群的合并。当没有新对象可以添加到任何集群时，进程终止。