基于决策树的入侵检测技术.pdfVIP

科技信息 计算机与网络 基于决策树的入侵检测技术 上海市安装工程有限公司 陈小红 ［摘 要］本文针对传统的基于简单模式匹配的入侵检测技术性能低，误报率和漏报率高的问题，提出了基于决策树算法的连接记录 的分析方法，描述了该算法的定义和实现，并采用KDD99 的数据进行了仿真实验。实验结果表明，基于决策树算法的分析方法能有 效的提高入侵检测系统的性能。 ［关键词］入侵检测 决策树 信息熵 信息增益 KDD99 连接记录 1. 引言 4 和P （B）=0.6 。则在这两个例子中，情况1 和情况2 的信息熵分别是： 入侵检测是指对恶意破坏计算机和网路资源的行为进行检测并产 E1=- (1 log 1+0 log 0)=0 2 2 * * 生反应的过程，是当前网络完全研究领域的热点课题之一。从70 年代 E2=- (0.4 log 0.4+0.6 log 0.6)=0.971 2 2 * * 开始，人们相继采用了多种数学模型和方法来建立入侵检测系统。采用 定义2 ：集合的信息熵 决策树的入侵检测就是其中的一种建模方法，该方法可以较好的解决 对于记录集合的某个子集Si，分成C (j=1,2,…,k)类，集合Si 的熵的 j 对攻击特征描述的问题，从训练数据中提取最能反映攻击的属性，并通 计算公式如下： 过比较各个属性的信息增益，对属性进行分类，并生成决策规则用于入 k count(C ,Si) count(C ,Si) 侵检测。采用决策树的方法进行入侵检测具有较好的检测率和较低的 Info(Si)=- j log Σ j Σ (2) ΣΣ Si * 2 Si Σ 误报率。 j = 1 其中count(C ,Si)为集合Si 中属于类C 的样本数量。 Si 表示集合 2. 决策树算法介绍 j j Si 中的样本数量。 决策