基于粗糙集-支持向量机理论的过滤误报警方法.pdfVIP

第29卷第12期 电 子 与 信 息 学 报 Vl01．29NO．12 2007年12月 Journal of ElectronicsInformation Technology Dec． 2007 基于粗糙集一支持向量机理论的过滤误报警方法 肖 云①② 韩崇昭① 郑庆华① 赵 婷① ①(西安交通大学电子与信息工程学院 西安710049) 西北大学信息科学与技术学院 西安710127) 摘 要：为过滤入侵检测系统报警数据中的误报警，根据报警的根源性和时间性总结出了区分真报警和误报警的 19个相关属性，并提出了一种基于粗糙集．支持向量机理论的过滤误报警的方法。该方法首先采用粗糙集理论去除 相关属性中的冗余属性，然后将具有约简后的10个属性的报警数据集上的误报警过滤问题转化为分类问题，采用 支持向量机理论构造分类器以过滤误报警。实验采用由网络入侵检测器Snort监控美国国防部高级研究计划局1999 年入侵评测数据(DA剐PA99)产生的报警数据，结果表明提出的方法在漏报警约增加 1．6％的代价下，可过滤掉约 98％的误报警。该结果优于文献中使用相同数据、相同入侵检测系统的其它方法的结果。 关键词：入侵检测；误报警；漏报警；粗糙集；支持向量机 中图分类号：TP393．08 文献标识码：A 文章编号：1009．5896(2007)12．3011-04 An Approach to Filter False Positive Alerts Based on RS-SVM Theory Xiao Yun①② Han Chong—zhao① Zheng Qing—hua① Zhao ting① (School ElectronicInformation Engineering，Xian Jiaotong University，Xian 710049，China) (School Information Science and Technology，Northwest University，Xian 710127，China) Abstract：To filter false positive alerts generated by Intrusion Detection Systems(IDS)，19 related attributes for distinguishing false positive alerts from true alerts are summarized according to the root and timeHness of intrusion alerts，and an approach to filter these false positive alerts based on RS—SVM(Rough Set and Support Vector Machine)theory is proposed。First，redundant attributes are removed and 10 attributes are obtained utilizing rough set theory in the proposed approach．Then the problem of filtering false positive alerts on the dataset with those 10 attributes is transformed to classification problem，and the classifier is constructed using support vector machine theory。The experimental data is the alert dataset raised by Snort，a network intrusion detectio