论文部分内容阅读
随着计算机网络的普及和发展，网络入侵呈现出综合化发展趋势，入侵者在实施入侵时往往采用多种技术手段、进行分布式入侵，从而使得现有基于规则的滥用检测系统检测效率较低，相应误警率和漏检率较高。为此，基于计算智能的网络异常检测成为最近的研究热点。它将入侵检测看成分类问题，通过采集网络中的正常和入侵连接样本数据集构建智能检测模型，从而提高检测性能以及对未知攻击的检测能力，研究已经取得了一定的成果。然而，其中还存在一些问题如对于通过领域知识构建的网络连接的特征进行综合分析、提高算法检测性能和算法的可扩展性及速度等方面有待解决或提高。
论文从网络入侵特征分析和检测两个方面对基于计算智能的入侵检测进行了研究，提出了一些网络入侵特征选择、抽取和检测的算法。研究工作取得的创新性成果主要有：
(一)、在综合分析MITKDD99网络入侵检测实验环境和数据集的基础上，在局域网模拟环境下研究实时网络入侵检测的实验仿真模型，通过采用高效的网络抓包程序，设计网络连接的实时特征并辅以相应的协议解析，获取不同采样时间窗下的网络连接数据集，并提出相应的数据预处理技术，从而为基于计算智能的网络入侵检测研究提供基础数据平台。
(二)、提出一种基于结合量子粒子群和支持向量机的网络入侵特征选择方法，首先根据入侵检测数据集中的特征呈异构表达，给出一种基于异构HEOM距离的扩展高斯核函数，从而更准确的度量样本间的距离，针对扩展后的高斯核函数中的核参数，从数据本身出发，构造一种基于核与核匹配的核宽度参数选择方法，从而避免参数选择中格点搜索的计算复杂性。针对通过专家领域知识设计的特征间存在一定相关性，基于递归特征选择的过滤式算法难以衡量，采用量子粒子群的简单高效搜索策略实施打包式特征选择，特征的状态利用量子理论中的叠加态特性和概率表达特性，其中，叠加态特性可以使单个粒子表达更多的状态，从而增加种群的多样性。在搜索策略中通过引入粒子群依概率整体变异来避免陷入局部最优，同时采用粒子禁忌搜索列表来扩大粒子搜索范围和避免重复计算，粒子的适应度值通过SVM的分类精度进行评价。
(三)、从网络入侵特征抽取角度出发，结合SVM，提出了应用主元分析(PCA)和核主元分析(KPCA)进行网络入侵特征抽取及检测的方法，首先应用PCA和KPCA抽取网络特征实现降维，再应用SVM检测入侵。其中PCA对输入特征做线性变换，而KPCA通过核函数进行非线性变换。针对KPCA核矩阵的计算随样本数增加而呈现的计算和空间复杂性，给出基于KHA准则的核主元抽取方法，提出其学习速率的自适应调整策略，从而通过神经网络学习训练获得主元逼近，减少核计算的复杂性。
(四)、针对基于网络的异常检测应用，提出了一种基于稀疏化最小二乘支持向量机的入侵检测方法，通过利用核空间近似策略获得训练样本集的有效低秩逼近，并在此基础上训练最小二乘支持向量机，从而构建支持向量机的稀疏化表达，提高网络入侵检测模型的响应速度，此外针对大训练样本集LS-SVM难以进行SVD分解求解的困难，在分析已有的研究基础上，初步分析和探讨了其大规模问题求解策略。
(五)、提出了构造支持向量机集成学习的网络入侵检测模型算法，针对其典型算法AdaBoost在学习迭代过程中易受难分类或噪声训练样本的影响造成泛化性能的不稳定，提出一种抑制噪声样本的权值阈值设定策略，并进行了对比仿真实验；针对大规模的训练样本集，研究了基于Bagging-SVM的网络入侵检测算法，通过实验探讨了其中的两个重要参数—训练样本数和单分类器数对集成学习效果的影响，并将其与采用全部样本进行训练及部分样本进行训练的单分类器检测性能进行了比较。