CN112052450B - 一种基于否定选择算法的入侵检测方法及装置 - Google Patents
一种基于否定选择算法的入侵检测方法及装置 Download PDFInfo
- Publication number
- CN112052450B CN112052450B CN202010733504.XA CN202010733504A CN112052450B CN 112052450 B CN112052450 B CN 112052450B CN 202010733504 A CN202010733504 A CN 202010733504A CN 112052450 B CN112052450 B CN 112052450B
- Authority
- CN
- China
- Prior art keywords
- detector
- empty
- grid
- data
- grid object
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 53
- 238000000034 method Methods 0.000 claims abstract description 33
- 238000012549 training Methods 0.000 claims description 26
- 230000008569 process Effects 0.000 claims description 15
- 238000010276 construction Methods 0.000 claims description 3
- 230000009191 jumping Effects 0.000 claims description 3
- 239000000725 suspension Substances 0.000 claims description 3
- 238000004364 calculation method Methods 0.000 abstract description 4
- 210000000987 immune system Anatomy 0.000 description 7
- 239000000427 antigen Substances 0.000 description 5
- 102000036639 antigens Human genes 0.000 description 5
- 108091007433 antigens Proteins 0.000 description 5
- 238000002474 experimental method Methods 0.000 description 5
- 238000004458 analytical method Methods 0.000 description 3
- 238000013377 clone selection method Methods 0.000 description 3
- 230000007547 defect Effects 0.000 description 3
- 230000000694 effects Effects 0.000 description 3
- 238000012360 testing method Methods 0.000 description 3
- 230000006399 behavior Effects 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 230000008073 immune recognition Effects 0.000 description 2
- 238000012545 processing Methods 0.000 description 2
- 238000011160 research Methods 0.000 description 2
- 210000001744 T-lymphocyte Anatomy 0.000 description 1
- 238000013528 artificial neural network Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000015556 catabolic process Effects 0.000 description 1
- 238000006731 degradation reaction Methods 0.000 description 1
- 238000010586 diagram Methods 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 230000006054 immunological memory Effects 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 239000011664 nicotinic acid Substances 0.000 description 1
- 238000010606 normalization Methods 0.000 description 1
- 238000005192 partition Methods 0.000 description 1
- 244000052769 pathogen Species 0.000 description 1
- 238000007781 pre-processing Methods 0.000 description 1
- 238000010845 search algorithm Methods 0.000 description 1
- 241000894007 species Species 0.000 description 1
- 238000012706 support-vector machine Methods 0.000 description 1
- 210000001541 thymus gland Anatomy 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F18/00—Pattern recognition
- G06F18/20—Analysing
- G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
- G06F18/214—Generating training patterns; Bootstrap methods, e.g. bagging or boosting
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Theoretical Computer Science (AREA)
- Computing Systems (AREA)
- Data Mining & Analysis (AREA)
- Software Systems (AREA)
- Signal Processing (AREA)
- Physics & Mathematics (AREA)
- Computer Networks & Wireless Communication (AREA)
- General Physics & Mathematics (AREA)
- Life Sciences & Earth Sciences (AREA)
- Artificial Intelligence (AREA)
- Computer Vision & Pattern Recognition (AREA)
- Bioinformatics & Cheminformatics (AREA)
- Bioinformatics & Computational Biology (AREA)
- Evolutionary Computation (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Evolutionary Biology (AREA)
- Burglar Alarm Systems (AREA)
Abstract
本发明提出一种基于否定选择算法的入侵检测方法及装置。本发明方法首先将数据集所表示的特征空间进行网格划分,形成若干个等大网格对象。算法的目的是找出检测器尽可能覆盖的非自体区域,由于空的网格对象里不含自体数据,等同于非自体区域,故可将空的网格对象直接作为候选检测器;对非空的网格对象,依次在每个非空网格对象中利用传统算法生成候选检测器以减少距离计算的时间代价,提高检测器生成效率,算法以期望的非空网格对象区域覆盖率作为终止条件。实验结果表明该算法的效率与性能明显优于经典的否定选择算法。
Description
技术领域
本发明涉及网络安全技术领域,具体涉及一种基于否定选择算法的入侵检测方法及装置。
背景技术
入侵检测(Intrusion Detection)是对那些企图破坏计算机或者计算机网络机密性、完整性、安全性等特征进行识别的过程。入侵检测的实质是通过对计算机主机或者计算机网络关键信息的分析,提取其中主要特征,与基础通用的计算机模式做相应对比,然后做出智能判断。由于网络安全的重要性,国内外学者尝试将各领域算法应用到入侵检测,常用的方法包括:人工免疫***的系列算法、人工神经网络、群智能算法、支持向量机等。
目前主要的入侵检测问题解决方法及其缺陷如下:
(1)传统的入侵检测技术在处理大规模网络数据时,处理速度较慢,实时性不高,并且不能有效的从大量数据中提取到有效特征,检测效率较低。
(2)传统入侵检测技术在面对复杂多变的网络环境时,经常发生漏报、误报等现象。
理想的入侵检测方法应该能够准确检测到入侵活动,并能够在检测到入侵活动时迅速做出反应,这些特性与生物免疫***有着较大的相似性。人工免疫***是受生物免疫***的功能、原理和方法所启发解决计算机领域问题的一种仿生智能计算方法。人工免疫***通过模拟生物免疫***对外界病原体的处理方式设计免疫模型和免疫算法,研究主要集中在免疫识别、免疫学习、免疫记忆、克隆选择和免疫网络等方面,其中免疫识别模型中的否定选择算法和克隆选择算法常用来解决入侵检测问题。
否定选择算法已广泛应用于网络入侵检测,但否定选择算法在解决入侵检测问题时仍然存在误报率高、准确率低以及检测器集合冗余度高等问题。如,ZHOU J等人提出了半径可变的实值否定选择算法(V-Detector),对于随机生成的候选检测器,通过计算与候选检测器距离最近的自体的距离来确定检测器半径,虽然一定程度上减少了检测器冗余,但仍然不能有效解决“黑洞”问题;LIU Z等人提出了一种改进的基于子空间密度搜索的否定选择算法(SDS-RNSA),通过子空间密度搜索算法来获取样本数据的稠密子空间区域,并在每个子空间区域生成检测器来提高算法的效率和性能,但检测过程中误报率略高;CHEN W等人提出了一种基于抗原软子空间聚类的否定选择算法(ASSC-NSA),该算法利用抗原软子空间聚类计算出不同种类抗原各个关键特征及其权值,然后通过这些关键特征引导检测器生成以有效地减少检测器冗余,但该算法检测器生成效率不高。
名词解释:
否定选择算法:否定选择算法是一种受生物免疫***中胸腺T细胞生成机制启发而设计的新型智能算法;
自体(Self):本发明特指入侵检测中的正常行为;
非自体(Nonself):本发明特指入侵检测中的入侵行为;
网格划分(Grid partition):网格划分是一种数据预处理的方法,把待处理模型分成很多小的单元来分别执行想要的操作从而提高执行效率。
发明内容
本发明针对现有技术中存在的技术问题,提供一种基于网格划分的实值否定选择算法,将网格划分的方法应用到否定选择算法的检测器生成阶段,有效提高了检测器生成效率和检测率。
本发明解决上述技术问题的技术方案如下:
一种基于否定选择算法的入侵检测方法,包括以下步骤:
对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合;所述训练集数据仅包含自体数据;
构建初始值为空值的检测器集合,将空网格对象所表示的区域作为非自体区域,并将非自体区域所表示的范围作为成熟的检测器,加入到检测器集合中;
利用检测器生成算法依次在每个非空网格对象中生成检测器,直到所有的非空网格对象内检测器生成完毕;
利用所述检测器集合中的检测器对待检测数据进行入侵检测。
本发明的有益效果是:本发明提出了一种基于网格划分的否定选择算法将其应用于入侵检测。该方法对数据集所在的特征空间进行网格划分,形成若干个等大的空网格对象和非空网格对象,将空网格对象集直接作为检测器,并对于非空网格对象集,依次在每个网格对象中利用传统算法生成候选检测器,从而提高检测器生成效率。与传统基于否定选择算法的入侵检测方法相比,本发明有以下几个优点:
(1)本发明将网格划分的方法应用到否定选择算法的检测器生成阶段,从而提高检测器生成效率,有效地解决了传统否定选择算法中检测器训练的时间代价随自体数量呈指数增长这一难题,使得入侵检测效率有效提高。
(2)传统入侵检测方法,经常发生漏报、误报,该方法有效降低了入侵检测过程中的误报率,提高了检测过程中的检测率。
进一步的,所述的对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合,包括:
将训练集数据所在的特征空间的每一维划分成相同的段数,形成多个等大的网格对象,并统计划分出空网格对象集合和非空网格对象集合;
其中网格划分长度L通过下式确定:
其中,[li,hi)为训练集数据在第i维度的区间范围,f为特征空间每一维划分的段数。
进一步的,在网格划分时,首先根据初始设定的划分段数f对特征空间的每一维进行网格划分,将非空网格对象记为NG,将非空网格对象数目记为num(NG),若num(NG)满足划分终止条件S则划分结束,否则令f=f+1,对所述特征空间重新进行网格划分,直到满足划分终止条件。
进一步的,所述的利用检测器生成算法依次在每个非空网格对象中生成检测器,直到所有的非空网格对象内检测器生成完毕,包括:
S401,定义检测器重复数量计数器m和成熟检测器个数计数器t;
S402,选取非空网格集合中的一个网格对象,在该网格对象所表示的范围内随机生成候选检测器a,如果检测器a在成熟检测器所表示的范围内,则令m=m+1;
S403,计算候选检测器a与距离最近的自体数据之间的距离r,如果a与最近的自体数据之间的距离大于r,则递增t,令t=t+1,否则剔除a,并跳转至步骤S402;
S404,非空网格对象中生成检测器的期望覆盖率大于或等于期望覆盖率p时,该网格对象内生成检测器完成,利用下式判断检测器生成是否达到中止条件,
其中,p为期望覆盖率,Q和Za是上式中的条件控制参数,Q用来判别何时清空计算器,Q=max(5/p,5/(1-p)),Za是很小的常数,用来判断是否继续生成检测器,本发明取Za=0.001;
若converage(p,t,m)=-1,则清空计数器,令t=m=0,并跳转至步骤S402,若converage(p,t,m)=0,则直接跳转至步骤S402,若converage(p,t,m)=1,则表示算法达到期望覆盖率,终止算法。
另一方面,本发明还提供一种基于否定选择算法的入侵检测装置,包括
网格划分模块,用于对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合;所述训练集数据仅包含自体数据;
检测器构建模块,用于构建初始值为空值的检测器集合,将空网格对象所表示的区域作为非自体区域,并将非自体区域所表示的范围作为成熟的检测器,加入到检测器集合中;用于利用检测器生成算法依次在每个非空网格对象中生成检测器,直到所有的非空网格对象内检测器生成完毕;
检测模块,用于利用所述检测器集合中的检测器对待检测数据进行入侵检测。
附图说明
图1为本发明实施例提供的一种基于否定选择算法的入侵检测装置结构原理图;
图2图3为二维训练集上网格划分前后的数据分布图;其中,图3中白色网格为空网格对象,深灰色网格为非空网格对象,图2和图3中的白色圆圈代表自体数据;
图4为本发明实施例提供的入侵检测方法流程图。
具体实施方式
以下结合附图对本发明的原理和特征进行描述,所举实例只用于解释本发明,并非用于限定本发明的范围。
本发明的目的在于利用否定选择算法与网格划分相结合来解决入侵检测问题。传统否定选择算法随机生成候选检测器与全部的自体数据进行匹配,再去除无效的检测器(识别了自体的和重复的检测器),导致生成的检测器大量冗余且难以覆盖全面非自体区域,且该过程的检测器生成效率较低。
首先,本发明实施例提供一种基于否定选择算法的入侵检测装置,如图1所示,包括:
网格划分模块,用于对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合;所述训练集数据仅包含自体数据;
检测器构建模块,用于构建初始值为空值的检测器集合,将空网格对象所表示的区域作为非自体区域,并将非自体区域所表示的范围作为成熟的检测器,加入到检测器集合中;用于利用检测器生成算法依次在每个非空网格对象中生成检测器,直到所有的非空网格对象内检测器生成完毕;
检测模块,用于利用所述检测器集合中的检测器对待检测数据进行入侵检测。
在此基础上,针对检测器生成效率低这一问题,本发明实施例提出一种基于网格划分的否定选择算法。算法首先将数据集所表示的特征空间进行网格划分,形成若干个等大网格对象。算法的目的是找出检测器尽可能覆盖的非自体区域,由于空的网格对象里不含自体数据,等同于非自体区域,故可将空的网格对象直接作为候选检测器;对非空的网格对象,依次在每个非空网格对象中利用传统算法生成候选检测器以减少距离计算的时间代价,提高检测器生成效率,算法以期望的非空网格对象区域覆盖率作为终止条件。实验结果表明该算法的效率与性能明显优于经典的否定选择算法。
具体的,基于网格划分的否定选择算法主要分为三个部分:第一部分,网格划分阶段,通过网格划分算法对自体数据所在的特征空间进行划得到非空网格对象集合空网格对象集;第二部分,空网格生成检测器阶段,将空网格对象所表示的区域作为非自体区域加入到检测器集合中;第三部分,非空网格生成检测器阶段,利用检测器生成算法依次在每个非空网格对象中生成检测器,直到所有的非空网格对象内检测器生成完毕。
进一步的,本实施例采用如下方法对本技术方案进行详细说明:
步骤1,实验数据集及预处理
KDDCup99数据集是提取的网络流量入侵检测数据,是网络入侵检测领域的基准数据,为网络入侵检测的研究奠定了基础。该数据集有41个固定的特征属性和1个类标识,标识用来表示该条连接记录是正常的,或是某个具体的攻击类型,具体分类标识包括Normal、DOS、R2L、U2R、Probing五大类。由于该数据集较大,且存在很多重复的数据,本文选取该数据集的四个子数据集进行实验(分别为KDDTrain+,KDDTest,KDDTest+,KDDTest-21)。实验前对四个子数据集进行了线性判别分析法(Linear Discriminant Analysis,LDA)降维和归一化处理,NSL-KDD数据集基本信息如下表:
数据集 | 数据总量 | 正常数据 | 攻击数据 | 特征维数 |
KDDTrain+ | 125973 | 67343 | 58630 | 41 |
KDDTest | 49403 | 15236 | 34167 | 41 |
KDDTest+ | 22544 | 9711 | 12833 | 41 |
KDDTest-21 | 11850 | 2152 | 9698 | 41 |
步骤2,样本的初始化以及参数初始化设置
在本发明中,抗原表示表示各种类型的网络流量数据,包括攻击数据与正常数据,抗体表示检测器,本实验取KDDTrain+数据集的正常数据作为训练集,KDDTest、KDDTest+、KDDTest-21作为测试集,设置自体半径r为每个训练数据在特征空间中所表示的范围,n为训练数据集个数,终止条件S:
式中c控制参数,用来控制每个网格对象中的网格密度,在本发明中,针对KDDCup数据集c=25。则实验参数设置如下:
数据集 | 期望覆盖率 | 自体半径r | 划分终止条件S |
KDDTrain+ | 99% | 0.015 | n/25 |
步骤3,网格划分
针对入侵检测问题,使用网格划分算法,将样本数据所在的特征空间的每一维划分成相同的段数,形成若干个等大的网格对象,并统计分出空网格对象和非空网格对象。因此网格长度L为:
其中,[li,hi)为入侵检测数据集的样本数据在第i维度的区间范围,f为特征空间每一维划分的段数。
针对二维数据集A,其划分前后的数据分布如图2图3所示。
步骤4,空网格检测器生成
针对上一步划分的网格对象,取出空网格对象,直接将每个空网格对象所表示的范围作为成熟的检测器,加入到最终的检测器集合中。
步骤5,非空网格生成候选检测器
取出非空网格对象集中的一个网格对象,在该网格对象所表示的范围内随机生成候选检测器a,如果a在成熟检测器所表示范围内,则递增检测器重复数量计数器m,令m=m+1。
步骤6,候选检测器有效性判断
计算候选检测器a到最近的正常数据抗原之间的距离r,如果a不在正常数据半径范围内,则递增成熟检测器个数计数器t,令t=t+1,否则剔除a,并回到步骤5。
步骤7,终止条件判断
每个非空网格对象中生成检测器的期望覆盖率大于或等于期望覆盖率p时,该网格对象内生成检测器完成,跳转回步骤5。终止条件判断:
其中,p为期望覆盖率,Q和Za是上式中的条件控制参数,Q用来判断何时清空计算器,Q=max(5/p,5/(1-p));Za是很小的常数,用来判断是否继续生成检测器,本发明取Za=0.001;
若converage(p,t,m)=-1,则清空计数器,令t=m=0,并跳转至步骤S402,若converage(p,t,m)=0,则直接跳转至步骤S402,若converage(p,t,m)=1,则表示算法达到期望覆盖率,终止算法。
由于在检测器生成过程中,只需要与对应网格对象中的自体数据进行比较,减少了距离计算的代价,故能有效减少检测器生成的时间。
基于网格划分的否定选择算法流程如图4所示:
步骤8,实验与分析
本发明实验的主要目的是验证否定选择算法在应用入侵检测中时是否存在第一节所述的不足,以及基于网格划分的否定选择算法是否能够有针对性的解决这些不足。为了使实验结果更准确,取20次实验结果的平均值,在三个测试集上的运行时间和检测率如下表所示:
从实验结果中可以看出,在三个测试集上,本发明提出的GP-RNSA与V-Detector和SDS-RNSA相比,运行时间明显提高。同时,本发明提出的改进否定选择算法在检测率上与SDS-RNSA相似,但明显高于V-Detector。这是因为进行网格划分后,训练集数据大多集中在少数网格对象中,在生成检测器时,算法直接将空网格对象作为检测器,然后在非空网格对象中利用传统算法生成检测器,由于在同一网格对象中生成检测器只需要和同一网格对象里的数据进行比较,故本文算法能在短时间内生成大量检测器且效果较好。实验结果表明,本发明提出的改进的克隆选择算法作为一种新的解决入侵检测的方法,具有很高的效率以及检测率。
以上所述仅为本发明的较佳实施例,并不用以限制本发明,凡在本发明的精神和原则之内,所作的任何修改、等同替换、改进等,均应包含在本发明的保护范围之内。
Claims (3)
1.一种基于否定选择算法的入侵检测方法,其特征在于,包括以下步骤:
对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合;所述训练集数据仅包含自体数据;
构建初始值为空值的检测器集合,将空网格对象所表示的区域作为非自体区域,并将非自体区域所表示的范围作为成熟的检测器,加入到检测器集合中;
利用检测器生成算法依次在每个非空网格对象中生成检测器,直到所有的非空网格对象内检测器生成完毕;
利用所述检测器集合中的检测器对待检测数据进行入侵检测;
所述的对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合,包括:
将训练集数据所在的特征空间的每一维划分成相同的段数,形成多个等大的网格对象,并统计划分出空网格对象集合和非空网格对象集合;
其中网格划分长度L通过下式确定:
其中,[li,hi)为训练集数据在第i维度的区间范围,f为特征空间每一维划分的段数;
所述的利用检测器生成算法依次在每个非空网格对象中生成检测器,直到所有的非空网格对象内检测器生成完毕,包括:
S401,定义检测器重复数量计数器m和成熟检测器个数计数器t;
S402,选取非空网格集合中的一个网格对象,在该网格对象所表示的范围内随机生成候选检测器a,如果检测器a在成熟检测器所表示的范围内,则递增m;
S403,计算候选检测器a与距离最近的自体数据之间的距离r,如果a与最近的自体数据之间的距离大于r,则递增t,令t=t+1,否则剔除a,并跳转至步骤S402;
S404,非空网格对象中生成检测器的期望覆盖率大于或等于期望覆盖率p时,该网格对象内生成检测器完成,利用下式判断检测器生成是否达到中止条件,
其中,p为期望覆盖率,Q和Za是控制参数;Q用来判别何时清空计算器,Q=max(5/p,5/(1-p));Za为常数,用来判断是否继续生成检测器;
若converage(p,t,m)=-1,则清空计数器,令t=m=0,并跳转至步骤S402,若converage(p,t,m)=0,则直接跳转至步骤S402,若converage(p,t,m)=1,则表示算法达到期望覆盖率,终止算法。
2.根据权利要求1所述的方法,其特征在于,在网格划分时,首先根据初始设定的划分段数f对特征空间的每一维进行网格划分,将非空网格对象记为NG,将非空网格对象数目记为num(NG),若num(NG)满足划分终止条件S则划分结束,否则令f=f+1,对所述特征空间重新进行网格划分,直到满足划分终止条件;其中
式中n是训练集数据个数,c控制参数,用来控制每个网格对象中的网格密度。
3.一种基于否定选择算法的入侵检测装置,其特征在于,包括
网格划分模块,用于对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合;所述训练集数据仅包含自体数据;
检测器构建模块,用于构建初始值为空值的检测器集合,将空网格对象所表示的区域作为非自体区域,并将非自体区域所表示的范围作为成熟的检测器,加入到检测器集合中;用于利用检测器生成算法依次在每个非空网格对象中生成检测器,直到所有的非空网格对象内检测器生成完毕;
检测模块,用于利用所述检测器集合中的检测器对待检测数据进行入侵检测;
所述的对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合,包括:
将训练集数据所在的特征空间的每一维划分成相同的段数,形成多个等大的网格对象,并统计划分出空网格对象集合和非空网格对象集合;
其中网格划分长度L通过下式确定:
其中,[li,hi)为训练集数据在第i维度的区间范围,f为特征空间每一维划分的段数;
所述的利用检测器生成算法依次在每个非空网格对象中生成检测器,直到所有的非空网格对象内检测器生成完毕,包括:
S401,定义检测器重复数量计数器m和成熟检测器个数计数器t;
S402,选取非空网格集合中的一个网格对象,在该网格对象所表示的范围内随机生成候选检测器a,如果检测器a在成熟检测器所表示的范围内,则递增m;
S403,计算候选检测器a与距离最近的自体数据之间的距离r,如果a与最近的自体数据之间的距离大于r,则递增t,令t=t+1,否则剔除a,并跳转至步骤S402;
S404,非空网格对象中生成检测器的期望覆盖率大于或等于期望覆盖率p时,该网格对象内生成检测器完成,利用下式判断检测器生成是否达到中止条件,
其中,p为期望覆盖率,Q和Za是控制参数;Q用来判别何时清空计算器,Q=max(5/p,5/(1-p));Za为常数,用来判断是否继续生成检测器;
若converage(p,t,m)=-1,则清空计数器,令t=m=0,并跳转至步骤S402,若converage(p,t,m)=0,则直接跳转至步骤S402,若converage(p,t,m)=1,则表示算法达到期望覆盖率,终止算法。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN202010733504.XA CN112052450B (zh) | 2020-07-27 | 2020-07-27 | 一种基于否定选择算法的入侵检测方法及装置 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN202010733504.XA CN112052450B (zh) | 2020-07-27 | 2020-07-27 | 一种基于否定选择算法的入侵检测方法及装置 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN112052450A CN112052450A (zh) | 2020-12-08 |
CN112052450B true CN112052450B (zh) | 2024-02-02 |
Family
ID=73601949
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN202010733504.XA Active CN112052450B (zh) | 2020-07-27 | 2020-07-27 | 一种基于否定选择算法的入侵检测方法及装置 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN112052450B (zh) |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101299691A (zh) * | 2008-06-13 | 2008-11-05 | 南京邮电大学 | 一种基于人工免疫的动态网格入侵检测方法 |
CN101866402A (zh) * | 2010-05-31 | 2010-10-20 | 西安电子科技大学 | 基于免疫多目标约束的否定选择入侵检测方法 |
CN104504332A (zh) * | 2014-12-29 | 2015-04-08 | 南京大学 | 一种基于二次移动点策略的否定选择入侵检测方法 |
CN111107082A (zh) * | 2019-12-18 | 2020-05-05 | 哈尔滨理工大学 | 一种基于深度信念网络的免疫入侵检测方法 |
Family Cites Families (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10609057B2 (en) * | 2016-06-27 | 2020-03-31 | Research Foundation Of The City University Of New York | Digital immune system for intrusion detection on data processing systems and networks |
-
2020
- 2020-07-27 CN CN202010733504.XA patent/CN112052450B/zh active Active
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101299691A (zh) * | 2008-06-13 | 2008-11-05 | 南京邮电大学 | 一种基于人工免疫的动态网格入侵检测方法 |
CN101866402A (zh) * | 2010-05-31 | 2010-10-20 | 西安电子科技大学 | 基于免疫多目标约束的否定选择入侵检测方法 |
CN104504332A (zh) * | 2014-12-29 | 2015-04-08 | 南京大学 | 一种基于二次移动点策略的否定选择入侵检测方法 |
CN111107082A (zh) * | 2019-12-18 | 2020-05-05 | 哈尔滨理工大学 | 一种基于深度信念网络的免疫入侵检测方法 |
Non-Patent Citations (9)
Title |
---|
A Algorithm of Detectors Generating Based on Negative Selection Algorithm;Wu Renjie;Frontier Computing;133-139 * |
Negative Selection Algorithm Based on Antigen Density Clustering;Chao Yang;IEEE Access;第8卷;44967 - 44975 * |
Negative selection algorithm based on grid file of the feature space.Knowledge-Based Systems.2014,26-35. * |
Network Intrusion Detection System Using Artificial Immune System;SAIFUL I S;International Conference on Computer and Communication Systems;全文 * |
Nikolova E,Jecheva V.Some Similarity Coefficients and Application of Data Mining Techniques tothe Anomaly-based IDS.Telecommunication Systems.2012,127-135. * |
Technique for Intrusion Detection Based on Dual Negative Splitting SelectionAlgorithm;Liu H H;Fire Control & Command Control;全文 * |
一种基于自体集层次聚类的否定选择算法;陈文;李涛;刘晓洁;张冰;;中国科学:信息科学(05);全文 * |
一种改进的否定选择算法在入侵检测中的应用;伍海波;;计算机应用与软件(02);全文 * |
基于矩阵形式的否定选择算法研究;张雄美;易昭湘;宋建社;李俊山;;电子与信息学报(11);全文 * |
Also Published As
Publication number | Publication date |
---|---|
CN112052450A (zh) | 2020-12-08 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN111753985B (zh) | 基于神经元覆盖率的图像深度学习模型测试方法与装置 | |
CN110084610B (zh) | 一种基于孪生神经网络的网络交易欺诈检测*** | |
Arbin et al. | Comparative analysis between k-means and k-medoids for statistical clustering | |
Ling et al. | Intrusion detection using normalized mutual information feature selection and parallel quantum genetic algorithm | |
CN110377605B (zh) | 一种结构化数据的敏感属性识别与分类分级方法 | |
Kuismin et al. | Estimation of covariance and precision matrix, network structure, and a view toward systems biology | |
Kianmehr et al. | Fuzzy clustering-based discretization for gene expression classification | |
CN111062425B (zh) | 基于c-k-smote算法的不平衡数据集处理方法 | |
Angelin et al. | Outlier Detection using Clustering Techniques–K-means and K-median | |
CN106845336A (zh) | 一种基于局部信息和组稀疏约束的半监督人脸识别方法 | |
Gan et al. | Tic2d: trajectory inference from single-cell rna-seq data using consensus clustering | |
CN112489689B (zh) | 基于多尺度差异对抗的跨数据库语音情感识别方法及装置 | |
CN112052450B (zh) | 一种基于否定选择算法的入侵检测方法及装置 | |
CN117708815A (zh) | 一种基于精简行为图的安卓恶意软件检测方法 | |
Li et al. | Uncertainty measurement for a gene space based on class-consistent technology: an application in gene selection | |
CN112738724B (zh) | 一种区域目标人群的精准识别方法、装置、设备和介质 | |
Geng et al. | A new clustering algorithm using message passing and its applications in analyzing microarray data | |
CN111984762B (zh) | 一种对抗攻击敏感的文本分类方法 | |
CN114298245A (zh) | 异常检测方法、装置、存储介质和计算机设备 | |
YuanTong | Research of intrusion detection method based on IL-FSVM | |
CN113205124A (zh) | 一种基于密度峰值的高维真实场景下的聚类方法、***及存储介质 | |
Oo et al. | Comparative study of fuzzy PSO (FPSO) clustering algorithm and fuzzy c-means (FCM) clustering algorithm | |
Feng et al. | A novel parallel object-tracking behavior algorithm based on dynamics for data clustering | |
Wang et al. | Cosine kernel based density peaks clustering algorithm | |
Jing et al. | SMART: a subspace clustering algorithm that automatically identifies the appropriate number of clusters |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |