基于重采樣的級(jí)聯(lián)分類(lèi)器入侵檢測(cè)研究.pdf

1、隨著信息技術(shù)的快速發(fā)展和網(wǎng)絡(luò)的普及，互聯(lián)網(wǎng)已經(jīng)成為人們工作生活的重要組成部分，同時(shí)互聯(lián)網(wǎng)中惡意信息竊取、人身攻擊、非法牟取暴利的行為也大量增長(zhǎng)，網(wǎng)絡(luò)安全問(wèn)題日益突出，致使網(wǎng)絡(luò)安全研究的重要性日漸凸顯。
　　入侵檢測(cè)是網(wǎng)絡(luò)安全領(lǐng)域的研究熱點(diǎn)，是一種檢測(cè)計(jì)算機(jī)網(wǎng)絡(luò)或系統(tǒng)中違反安全使用行為的過(guò)程。隨著信息技術(shù)的發(fā)展，各類(lèi)計(jì)算機(jī)系統(tǒng)的復(fù)雜性也呈指數(shù)級(jí)增長(zhǎng)，這給入侵檢測(cè)帶來(lái)極大困難。本文通過(guò)對(duì)網(wǎng)絡(luò)入侵檢測(cè)方法的研究，發(fā)現(xiàn)常用的入侵檢測(cè)方法主

2、要致力于于提高整體的檢測(cè)率，然而卻忽視了部分重要類(lèi)別的檢測(cè)率，使得R2L（來(lái)自遠(yuǎn)程主機(jī)的未授權(quán)訪問(wèn)）和U2R（未授權(quán)的本地超級(jí)用戶(hù)特權(quán)訪問(wèn)）兩類(lèi)攻擊行為檢測(cè)率很低，然而該兩類(lèi)行為入侵成功后均可對(duì)服務(wù)器資源進(jìn)行竊取或破壞，因此，提高其檢測(cè)性能顯得刻不容緩。
　　本文首先針對(duì)目前常見(jiàn)的主要檢測(cè)方法，分析了導(dǎo)致R2L和U2R兩類(lèi)攻擊檢測(cè)效果不理想的原因，其主要原因有兩點(diǎn)：一是數(shù)據(jù)分布不平衡，導(dǎo)致分類(lèi)發(fā)生偏斜，其為不平衡分類(lèi)問(wèn)題（即訓(xùn)練集

3、中數(shù)據(jù)分布極其不平衡，某一類(lèi)或某些類(lèi)的樣本數(shù)量遠(yuǎn)遠(yuǎn)大于或小于其他類(lèi)別）；二是該兩類(lèi)攻擊很難從包頭分辨，需要數(shù)據(jù)包的詳細(xì)內(nèi)容信息。通過(guò)對(duì)常用入侵檢測(cè)方法的分析與研究，發(fā)現(xiàn)他們均采用相同方法檢測(cè)各類(lèi)，故很難達(dá)到理想效果，而級(jí)聯(lián)多個(gè)分類(lèi)器分別做不同類(lèi)的分類(lèi)能有效解決入侵檢測(cè)中數(shù)據(jù)分布不平衡問(wèn)題。
　　入侵檢測(cè)屬于典型的不平衡分類(lèi)問(wèn)題，本文系統(tǒng)深入地研究了重采樣等不平衡分類(lèi)方法，針對(duì)SMOTE在對(duì)入侵檢測(cè)數(shù)據(jù)集重采樣過(guò)程中會(huì)產(chǎn)生噪音及邊界

4、數(shù)據(jù)的問(wèn)題，引入NCL（鄰域清理）過(guò)濾器方法；提出了改進(jìn)優(yōu)化的重采樣方法SMOTE-NCL用于過(guò)濾掉噪音與邊界數(shù)據(jù)。由于級(jí)聯(lián)分類(lèi)器方法在解決不平衡分類(lèi)問(wèn)題中的優(yōu)勢(shì)和在入侵檢測(cè)中表現(xiàn)的良好效果，本文使用級(jí)聯(lián)分類(lèi)器進(jìn)行入侵檢測(cè)。但考慮到入侵檢測(cè)數(shù)據(jù)集中較高的特征維數(shù)對(duì)檢測(cè)性能的影響的問(wèn)題，本文通過(guò)引入改進(jìn)優(yōu)化的CGFR特征選擇方法，分別為級(jí)聯(lián)的分類(lèi)器選擇特征子集。然后將CGFR與SMOTE-NCL應(yīng)用于級(jí)聯(lián)分類(lèi)器，在此基礎(chǔ)上提出了基于重采樣

5、的級(jí)聯(lián)分類(lèi)器入侵檢測(cè)模型，以解決現(xiàn)有入侵檢測(cè)方法中對(duì)R2L和U2R兩類(lèi)攻擊檢測(cè)效果不理想的問(wèn)題。
　　根據(jù)理論分析實(shí)驗(yàn)，本文選擇的級(jí)聯(lián)分類(lèi)器中的分類(lèi)方法分別為決策樹(shù)算法（C4.5）和樸素貝葉斯（NB）算法，模型級(jí)聯(lián)的第一個(gè)分類(lèi)器用于訓(xùn)練DoS（拒絕服務(wù)攻擊）、Probe（端口掃描）和Normal（正常數(shù)據(jù)）三類(lèi)，第二個(gè)分類(lèi)器用于訓(xùn)練Normal、R2L和U2R三類(lèi)；在檢測(cè)過(guò)程中，測(cè)試集首先進(jìn)入第一個(gè)分類(lèi)器被分類(lèi)器分類(lèi)為Normal

6、的數(shù)據(jù)進(jìn)入到第二個(gè)分類(lèi)器分類(lèi)，最終能夠完成DoS、Probe、Normal、R2L和U2R五類(lèi)的分類(lèi)。
　　實(shí)驗(yàn)首先對(duì)比了各種特征選擇方法與CGFR方法選擇的特征子集在級(jí)聯(lián)分類(lèi)器上的分類(lèi)結(jié)果；然后對(duì)比了在原數(shù)據(jù)集、SMOTE不同采樣率的和SMOTE-NCL重采樣的數(shù)據(jù)集上使用級(jí)聯(lián)分類(lèi)器進(jìn)行分類(lèi)的結(jié)果；最后對(duì)比了在SMOTE-NCL重采樣的數(shù)據(jù)集上使用SVM、KNN、NB、C4.5以及級(jí)聯(lián)分類(lèi)器方法進(jìn)行分類(lèi)的結(jié)果；對(duì)于U2R和R2L