基于决策支持向量机的入侵检测技术研究.docVIP

基于决策支持向量机的入侵检测技术研究 　　摘要：该文在对“1对其他的”SVM多类分类基础上提出了决策支持向量机多类分类方法，并应用到入侵检测中。实验表明，该方法的训练效率大大提高，并且具有较高的检测率。 　　关键词：入侵检测；决策支持向量机；多类分类 　　中图分类号：TP309文献标识码：A文章编号：1009-3044(2011)11-2535-03 　　An Intrusion Detection System Based on Decision Support Vector Machine 　　YU Xiao-rong, GUO Chang-yan 　　(Jiangsu University of Science and Technology, Zhenjiang 212003, China) 　　Abstract: In this paper, we propose the decision-making support vector machine multi-category classification method which based on the 1 to the other SVM multiclass classification, and applied to Intrusion Detection. Experiments show that the method greatly improved the efficiency of the training, and has a higher detection rate. 　　Key words: intrusion detection; decision support vector machine; multiclass classification 　　支持向量机(SVM，support vector machine)是一种新型用于机器学习的一种方法，并于入侵检测系统（IDS）中得到了广泛的应用。Mukkamala S.等在2002年改进了入侵检测，并将有监督的标准SVM算法用在入侵检测技术中[1]，后又将该新技术和神经网络的算法两者比较，最终得到的实验结果比原来要好。不过SVM 是针对两种问题进行分类的，并且IDS系统如果想对入侵做出及时的响应，那么对入侵类别就要进行区分[2]。目前支持向量机方法解决多个分类（比如n个分类）转化为两个类的分类问题，有两个方法可以实现：1)“1对1”的方法。该方法先生成n(n-1)/2个分类器，然后对每个分类器操作，分类器分别训练两种数据，每种数据是不同类别的，可以将投票策略使用在每个分类中；2)“1对其它”的方法，先生成n个分类器，然后将其中一个分类器的训练数据作为正例，比如第i个分类器，而除此之外的类的训练数据成为反例，这样的话，每个类都生成分类器的数据，再构造一个超平面在第m类和剩余的类这两类之间，分别构造完成后，在生成的多个两类分类器中进行比较，可以得到最大输出的类别，此类别就是需要得到的类别。有了上述的理论支持，主要是“1对其他的” 支持向量机多类分类的理论支持下，本文设计了SVM决策树的多类的分类方法，并在入侵检测中应用。实验表明，该方法的训练效率大大提高，并且具有较高的检测结果。 　　1 支持向量机决策树的理论方法 　　支持向量机决策树方法将二叉决策树和支持向量机的思想两者结合起来，构成一个识别器，且是多类别的。该方法的思想如下：先将所有n个类别按某个方法分成a子类和b子类，再将a子类或b子类按同样方法分成二个次级子类a1和b1，按照该方法一直循环，直到得到一个类别是单独的。通过上述方法可以得到一棵二叉树，但该二叉树是倒立的，所有在二叉树中，决策点的分类问题可以用支持向量机来解决。N类的分类问题，N大于2，该问题与上述的分成两类的问题之间是有一定的关系和联系的，因为一个N分类可以分，那么在N分类中取出任意两类，这两类之间是一定可以分的；反之，如果有一个N分类，需要对它分类，现知道这个N分类中的任意两类都可以分类，那么我们建立一个合适的的组合规则，通过该组合规则的两类可以分类直至完成这个N类可以分类。支持向量机决策树的方法必需先生成n个支持向量机的分类器，子支持向量机分类器的个数为N-1个，如果生成一个具有N个叶子结点的决策二叉树可以有好多个方法，而且支持向量机决策树的每个结点与叶子的分类需要一定的历史经验。所有要选择支持向量机决策树的具体方案时，可以按下述方法操作： 　　1）如果对N类分类问题中的各种子类无历史经验时，这样就没有办法进行叶结点的划分，这种情况下可以根据每次决策就可以分类出一个类别的二叉树结构。 　　2）如果对N类分类问题中的各种子类有一些历史经验时，如