一种基于机器学习的网络入侵检测系统技术方案

本发明专利技术公开了一种基于机器学习的网络入侵检测系统，属于入侵检测技术领域，包括初始样本数据模块、数据获取模块、数据预处理模块、数据存储模块、机器学习模块、入侵检测模块、反馈告警模块和安全管理模块；本发明专利技术借助卷积神经网络在图像识别上有较出色的能力，通过将入侵检测问题转换为图像检测问题，从而有利于提高网络入侵行为检测的准确率和检出率，同时降低误报率，能够更加直观的将拦截信息以及网络入侵行为比例反馈给工作人员，提高工作人员分析效率，同时自行对恶意IP地址启动数据拦截，大幅提高计算机运行稳定性。大幅提高计算机运行稳定性。大幅提高计算机运行稳定性。

【技术实现步骤摘要】
一种基于机器学习的网络入侵检测系统


[0001]本专利技术涉及入侵检测
，尤其涉及一种基于机器学习的网络入侵检测系统。

技术介绍

[0002]随着互联网的快速发展，通信网络和信息系统成为一个脆弱的容易受到多种网络类型攻击的对象，网络安全变得越来越受关注，网络安全的威胁日益增加；现如今，虽然靠着防火墙与防毒病毒可控管大部分意图入侵计算机系统者的恶意入侵，但部分黑客仍可突破防火墙入侵计算机系统；网络入侵检测系统(Intrusion Detection System，IDS)技术遂发展成为保护计算机系统免于被窃取数据或恶意破坏计算机的重要技术，由入侵检测系统搭配防火墙可有效防止来自于外部网络或内部网络的恶意入侵动作；入侵检测系统主要是通过监视与分析计算机系统的网络活动，由分析接收的所有网络封包，发现系统中未授权或异常的网络封包活动，并于遭受入侵活动时，实时对异常的存取行为发出警报，并将统计分析的结果记录于报表；目前，入侵检测系统虽然有广泛的应用，但是仍然存在一定的问题，其误报率和漏报率都较高；机器学习，是一门多领域交叉学科，涉及概率论、统计学、逼近论、凸分析、算法复杂度理论等多门学科，专门研究计算机怎样模拟或实现人类的学习行为，以获取新的知识或技能，重新组织已有的知识结构使之不断改善自身的性能，随着机器学习技术的不断发展，如何将其应用到网络入侵检测以降低误报率和漏报率成为当下研究重点；因此，专利技术出一种基于机器学习的网络入侵检测系统变得尤为重要；
[0003]经检索，中国专利号CN110162968A公开了一种基于机器学习的网络入侵检测系统，该专利技术通过聚类算法是对入侵数据进行有效的聚类检测，该专利技术虽然具有一定的可行性，但基于聚类算法的入侵检测技术误报率和漏报率都较高，并且准确率较低，因而不适用大规模入侵检测，易导致系统响应时间较慢，此外，现有的基于机器学习的网络入侵检测系统无法直观的将拦截信息反馈给工作人员，降低工作人员分析效率；为此，我们提出一种基于机器学习的网络入侵检测系统。

技术实现思路

[0004]本专利技术的目的是为了解决现有技术中存在的缺陷，而提出的一种基于机器学习的网络入侵检测系统。
[0005]为了实现上述目的，本专利技术采用了如下技术方案：
[0006]一种基于机器学习的网络入侵检测系统，包括初始样本数据模块、数据获取模块、数据预处理模块、数据存储模块、机器学习模块、入侵检测模块、反馈告警模块和安全管理模块；
[0007]初始样本数据模块用于获取NSL
‑
KDD数据集，所述NSL
‑
KDD数据集包括41类特征，即符号类特征、二进制特征和数值型特征；
[0008]数据获取模块用于提取实时获取网络通信状态下的网络流量数据包；
[0009]数据预处理模块用于对所述NSL
‑
KDD数据集进行符值转换、归一化处理和特征降维，将特征变为0到1区间内；
[0010]数据存储模块用于存储经过数据预处理后的所述NSL
‑
KDD数据集；
[0011]机器学习模块用于根据所述NSL
‑
KDD数据集进行学习训练，生成网络入侵检测模型；
[0012]入侵检测模块用于利用所述网络入侵检测模型对数据获取模块获取到的网络流量数据包进行入侵检测，识别网络入侵行为；
[0013]反馈告警模块用于获取网络入侵行为并根据其进行反馈告警，形成反馈告警信息；
[0014]安全管理模块用于系统管理人员根据所述反馈告警信息进行计算机安全管理，保障用户计算机安全。
[0015]进一步地，所述符值转换采用独立编码器将所述NSL
‑
KDD数据集中非二进制的数据转换为二进制；所述归一化处理用于通过Min
‑
Max归一化方法将所述NSL
‑
KDD数据集转换至0到1区间内，所述Min
‑
Max归一化方法的转换函数如下：
[0016][0017]式中：x
new
表示归一化后的数据；x表示NSL
‑
KDD数据集的特征数据；x
max
表示特征数据的最大值；x
min
特征数据的最小值。
[0018]进一步地，所述特征降维通过方差系数实现，其具体函数公式如下：
[0019][0020]式中：σ表示特征数据的标准差；μ表示特征数据的均值；CV表示特征数据的方差系数，若方差系数越大，则表示越重要，反之，则表示不重要，予以剔除。
[0021]进一步地，所述机器学习模块的具体处理过程如下：
[0022]S1：首先，将所述NSL
‑
KDD数据集的特征数据转换为21*21图像格式的特征，形成样本特征图；
[0023]S2：然后，对所述样本特征图进行人工标记，并将其划分为训练集和测试集；
[0024]S3：接着，构建卷积神经网络，并将所述训练集通过输入、卷积、池化、全连接和输出进行学习训练，得到网络入侵检测模型；
[0025]S4：之后，利用所述测试集对网络入侵检测模型进行测试，若测试准确率满足期望值，则停止训练，反之继续上述步骤；
[0026]S5：最后，对满足期望值的网络入侵检测模型进行性能评估，即进行准确率、检出率和误报率评估。
[0027]进一步地，所述网络入侵检测模型采用焦点损失函数进行损失计算，其具体公式如下：
[0028]FL(p
i
)＝
‑
α(1
‑
p
i
)
γ
log(p
i
)(3)
[0029]式中：p
i
表示预测值；α表示权重因子；γ表示聚焦参数。
[0030]进一步的，所述入侵检测模块入侵检测具体步骤如下：
[0031]步骤(1)：网络入侵检测模型接收数据获取模块发送的网络流量数据包，同时与入
侵共享数据库进行通信连接；
[0032]步骤(2)：对各组网络流量数据包进行数据解析，同时网络入侵检测模型对解析出的数据进行行为分析，同时依据分析结果与入侵共享数据库进行检索对比；
[0033]步骤(3)：若存在对比结果一致的数据，则将相对应的网络流量数据包进行拦截，若不存在，则允许接收该网络流量数据包；
[0034]步骤(4)：网络入侵检测模型对剩余各组网络流量数据包的特征代码进行提取，同时将其与病毒共享数据库中各网络病毒特征代码进行对比；
[0035]步骤(5)：若存在某一部分特征代码相同，则通过文件自动查杀技术对该该网络流量数据包中的网络病毒数据进行阻隔查杀处理，同时对其进行二次检测，若不存在相同的特征代码，网络入侵检测模型与云端虚拟机通信连接；
[0036]步骤(6)：云端虚拟机对各网络流量数据包进行传染模拟，并根据网络病毒定义而确立的传染标准进行病毒分析，并对存在病毒本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于机器学习的网络入侵检测系统，其特征在于，包括初始样本数据模块、数据获取模块、数据预处理模块、数据存储模块、机器学习模块、入侵检测模块、反馈告警模块和安全管理模块；初始样本数据模块用于获取NSL
‑
KDD数据集，所述NSL
‑
KDD数据集包括41类特征，即符号类特征、二进制特征和数值型特征；数据获取模块用于提取实时获取网络通信状态下的网络流量数据包；数据预处理模块用于对所述NSL
‑
KDD数据集进行符值转换、归一化处理和特征降维，将特征变为0到1区间内；数据存储模块用于存储经过数据预处理后的所述NSL
‑
KDD数据集；机器学习模块用于根据所述NSL
‑
KDD数据集进行学习训练，生成网络入侵检测模型；入侵检测模块用于利用所述网络入侵检测模型对数据获取模块获取到的网络流量数据包进行入侵检测，识别网络入侵行为；反馈告警模块用于获取网络入侵行为并根据其进行反馈告警，形成反馈告警信息；安全管理模块用于系统管理人员根据所述反馈告警信息进行计算机安全管理，保障用户计算机安全。2.根据权利要求1所述的一种基于机器学习的网络入侵检测系统，其特征在于，所述符值转换采用独立编码器将所述NSL
‑
KDD数据集中非二进制的数据转换为二进制；所述归一化处理用于通过Min
‑
Max归一化方法将所述NSL
‑
KDD数据集转换至0到1区间内，所述Min
‑
Max归一化方法的转换函数如下：式中：x
new
表示归一化后的数据；x表示NSL
‑
KDD数据集的特征数据；x
max
表示特征数据的最大值；x
min
特征数据的最小值。3.根据权利要求1所述的一种基于机器学习的网络入侵检测系统，其特征在于，所述特征降维通过方差系数实现，其具体函数公式如下：式中：σ表示特征数据的标准差；μ表示特征数据的均值；CV表示特征数据的方差系数，若方差系数越大，则表示越重要，反之，则表示不重要，予以剔除。4.根据权利要求1所述的一种基于机器学习的网络入侵检测系统，其特征在于，所述机器学习模块的具体处理过程如下：S1：首先，将所述NSL
‑
KDD数据集的特征数据转换为21*21图像格式的特征，形成样本特征图；S2：然后，对所述样本特征图进行人工标记，并将其划分为训练集和测试集；S3：接着，构建卷积神经网络，并将所述训练集通过输入、卷积、池化、全连接和输出进行学习训练，得到网络入侵检测模型；S4：之后，利用所述测试集对网络入侵检测模型进行测试，若测试准确率满足期望值，则停止训练，反之继续上述步骤；S5：最后，对满足期望值的网络入侵检测模型进行性能评估，即进行准确率、检出率和
误报率评估。5.根据权利要求4所述的一种基于机器学习的网络入侵检测系统，其特征在于，所述网络入侵检测模型采用焦点损失函数进行损失计算...

【专利技术属性】
技术研发人员：黄文科，
申请(专利权)人：广州中南网络技术有限公司，
类型：发明
国别省市：