基于稀疏编码和SVM的协同入侵检测.pdf

技术与方法 TechniqueandMethod 基于稀疏编码和 SVM 的协同入侵检测术 崔 振 ，陈柏生 (1．华侨大学 计算机科学与技术学院，福建 厦 门361021； 2．中国科学院 计算技术研 究所 ，北京 100190) 摘 要 ：将稀疏编码理论应用于入侵检测 ，并提 出一种将稀疏编码理论和支持向量机结合的入侵 检测算法 稀疏性约束 同时引入到过完备词典学习和编码过程 ，学习到的系数作为特征送入到支持向 量机进行入侵检测 。实验表明，稀疏性具有一定的去噪能力，使得学习的特征更富有判别力 同时实验 也验证 了所提 出的方法能保证较高的检测率和较低的误报率 ，并且对不平衡数据集有较好的鲁棒性。 关键词 ：稀疏编码 ；支持 向量机 ；协 同；入侵检测 ；过完备词典 中图分类 号 ：TP181 文献标识码 ：A 文章编号 ：1674—7720(2011)22—0078—04 Cooperativeintrusion detection system basedon sparsecoding and supportvectormachine CuiZhenl一，Chen Baisheng (1．CollegeofComputerScience Technology，HuaqiaoUniversity，Xiamen 361021，China： 2．InstituteofComputingTechnology，ChineseAcademyofSciences，Beijing100190，China) Abstract：The theory ofsparse representation isapplied to intrusion detection，and an approach based on sparse coding and supportvectormachine isalso proposed forintrusion detection．Sparsity constraintsare added to train the over—complete dictionary and encode samples simultaneously．Learned sparse coefficientsasfeaturesarefed into support vectormachineofrintursion detec— tion．Experimentsshow thatthe sparsity can removesome noisesand make mapping featuresmore discriminative．Meanwhile，expel’一 imentsalso pl’OVC ourproposed method more effective with higherdetection rate and lowerthlsealarm rate，especially good robust一 [1eSS illthe imbalanced datasetexperiment． Keywords：sparsecoding；SVM ；cooperation；intrusion detection；over—complete dictionary 将所有的网络行为分成正常行为和异常行为两类 ， 如何应对大规模 的高速数据流检测 、如何实现在线学 这样入侵检测问题就可 以转化成模 式分类 问题 。入侵检 习、如何减少或消 除噪声数据 的影 响 ，是 入侵检测 系统 测的关键是正常和异常行为模 式库 的建立 。目前常用 的 面临 的主要挑 战 。 入侵检测方法有基于 贝叶斯推理 的入侵检测lI1、基于模 近年来 ，稀疏表示相关理论 已成为研 究的热点 。常川 式 匹配 的入侵检测 12I、基 于神经 网络 的入侵检测 [31和基 的信号分解方式通常是非冗余 的正交变换 ，如离散余弦 丁数据挖掘 的入侵检