基于半监督学习的网络流量分类.pdfVIP

第35卷 第l2期 计 算 机 工 程 2009年6月 1．35 No．12 ComputerEngineering June2009 ·网络与通信 · 文章编号：100o_-3428(2o09)12—009o__02 _j丽萄面 ————— -i 基于半监督学习的网络流量分类 余 锋，王小玲 (中南大学信息科学与工程学院，长沙 410083) 摘 要：利用攻击在网络通信中独特的流特征，给出一个可以适应已知和未知攻击的半监督分类方法。在训练分类器中，提出使用加权采 样技术得到训练流，同时采用顺序前向选择算法得到最佳的特征子集。使用KDDCUP1999性能评估数据，可以得到较高的流和字节分类 准确度。 关健词：网络流量分类；半监督学习；模糊C均值；入侵检测 NetworkTrafficClassificationBasedonSemi-supervisedLearning SHEFeng，WANG Xiao—ling (SchoolofInformationScienceandEngineering，CentralSouthUniversity,Changsha410083) [Abstract]Thispaperexploitsdistinctiveflowcharacteristicsofattackswhentheycommunicateonanetwork，andproposesasemi—supervised classification method thatcan accommodateboth known and unknown attacks．In training theclassifier，itemploysSequentialForward Selection(SFS)togetthebestfeaturesubsetMeanwhile，itproposesweightedsamplingtechniquestoobtaintrainingflows．Perfomranceevaluation usingKDDCUP1999datashowsthathighflow andbyteclassificationaccuracycanbeachieved． [Keywords]networktrafficclassification；semi-·supervisedlearning；FuzzyC--Means(FCM)；intrusiondetection l 概述 这种分类方法被称为半监督学习 J。 网络流量分类是众多网络活动的基础，根据具体类型动 2．1 聚类方法 态识别和分类流量的能力非常关键，如网络运营商可以找出 首先利用标记和未标记的流进行聚类训练分类器。聚类 异常网络流量以减轻恶意行为的影响。 的好处是有能力确定隐藏类型，如可以通过检查形成的新簇 最近，Moorel】等人采用基于NaiveBayes分类的监督学 识别新攻击类型以及改变行为的现有攻击。不失一般性，本 习方法分类网络流量。然而，监督分类面临2个主要挑战。 文采用欧氏距离作为属性向量 和Y，之间的相似性度量： 首先，标记的例子稀缺且难以获取，传统监督学习方法用少 厂m ] d(x，，)=l∑(— )I (1) 量已标记的例子产生的分类器，往往不能归纳以前没出现的