基于演化支持向量机的入侵检测理论与应用研究

• 作 者: 陈光英
• 机 构: 清华大学
• 出 处: 清华大学
• 发表日期: 2003年期
• 关键词: 支持向量机 入侵检测 网络安全 检测器 联合优化

入侵检测是网络安全模型中的重要环节，需要解决一些问题：小样本情况下的推广能力，攻击特征提取质量有限，检测新攻击和更新样本时重新训练等问题。本文分析了传统的入侵检测技术的优缺点如误用检测和异常检测分别属于过学习和欠学习现象，则限制了检测器的推广能力，在此基础上提出一种应用支持向量机(SVM)的基于分类的入侵检测方法，并应用于入侵检测的数据，处理过程中取得良好的效果。
本文分析了攻击特征提取质量难度大和SVM训练参数的敏感性强的问题，提出有效特征选择和SVM训练模型的联合优化，比单独和分开优化更好的分类效果。联合优化问题定义为在调整有效特征选择向量(含权值为0到1之间的加权向量)和SVM训练模型向量(含混合核函数和折中控制参数)的条件下提高SVM总体性能(含错误率，查全率和查准率)。
在联合优化问题中，需要计算SVM性能，一般常用ξα-estimate方法。本文将ξα-estimate方法推广为ξαρ-estimate和ξαρ2-estimate方法，能够高效率地分别计算ν-SVC和One-classSVM性能。在计算ξαρ2-estimate方法的过程中，针对One-classSVM，本文提出使用支持向量比例来表示查准率。
本文提出演化SVM方法来递归计算联合优化问题。演化SVM方法可以控制查全率和查准率，重新训练计算开销小，能够检测新类型攻击。本文用KDD-99事件样本数据库分析演化SVM方法在入侵检测的应用效果。结果表明，在有限样本和攻击特征提取的质量有限时，该方法能够建立高推广能力的检测器，并且还能有效地检测新类型的攻击。