[发明专利]一种基于元样本稀疏表示的网络入侵检测方法

摘要

本发明涉及网络安全领域，其公开了一种基于元样本稀疏表示的网络入侵检测方法，解决传统常用的入侵检测方法难以应对未知的网络攻击行为和异常检测误报率过高的问题。该方法包括以下步骤a.使用网络数据采集工具采集网络实例，构建训练样本集；b.从构建的网络训练样本集中提取元样本，形成元样本集并替代训练样本集；c.采用稀疏表示分类方法对待识别网络数据进行检测，以识别待测网络数据所属类别。本发明适用于网络入侵检测。

主权项

一种基于元样本稀疏表示的网络入侵检测方法，其特征在于，包括以下步骤：a.使用网络数据采集工具采集网络实例，构建训练样本集；b.从构建的网络训练样本集中提取元样本，形成元样本集并替代训练样本集；c.采用稀疏表示分类方法对待识别网络数据进行检测，以识别待测网络数据所属类别，具体包括步骤c1‑c3:c1.求解稀疏表示系数；c2.使用每个类的元样本集与对应稀疏表示系数重构待测数据；c3.计算经过重构的待测数据与真实待测样本数据之间的误差，误差最小者即为该待测样本所属类别；步骤c1中，求解稀疏表示系数的方法是：将每个待测样本表示为字典集的线性组合，从而计算得到每类字典对应的稀疏表示系数，将任意位置类别的待测样本表示为字典集合的线性组合：y＝Wx；其中，W表示字典集合，x＝[0,...0,ai,1,ai,2,...,ai,ni,0...,0]T∈Rn稀疏表示系数x可以通过求解如下最优化问题得到：J(x,λ)=minx{||Ax-y||2+λ||x||1}]]>其中，A表示训练样本集，λ是一个用来平衡重构误差和稀疏度的标量正则化参数；步骤c2和c3中，采用Wxi来重构测试样本y，然后通过计算二者之间的近似误差来确定y的类别，Wxi与y的误差计算公式如下：ri(y)＝||y‑Wxi||2,(i＝1,2...,k)其中，xi是训练样本特征向量x中第i个分量，xi＝[0,...0,ai,1,ai,2,...,ai,ni,0...,0]T，重构误差ri(y)越小，则第i个类在表示测试样本y的过程中所做的贡献就越大，根据重构误差值的大小来分类y,即如果l(y)=argminiri(y)]]>则将测试样本归入到第l(y)类中去。