[发明专利]一种基于整合相关性分析与分级聚类的入侵检测方法

权利要求书

1.一种基于整合相关性分析与分级聚类的入侵检测方法，其特征在于，包括以下步骤，

步骤1建立入侵检测数据库的特征数据向量；

步骤2：进行相关性分析：计算计算机网络上的用户行为数据向量集中的每个特征数据向量和其余特征数据向量间的最大相关系数，排除与其余特征向量的最大相关系数小于一相关系数阈值的特征数据向量；

步骤3：对经相关系数阈值选取后保留下来的特征数据向量进行分级聚类，分级聚类中采用的两个特征数据向量之间的距离量度其中，corr(v_i，v_j)是特征数据向量v_i和v_j间的相关系数，‖v_i-v_j‖为特征数据向量v_i和v_j间的欧拉距离。

2.根据权利要求1所述的入侵检测方法，其特征在于，步骤2在确定相关系数阈值的方法为：首先通过bootstrap自助统计法拟合出所有特征数据向量的最大相关系数的正态分布，并获得得到的正态分布的平均值mean和标准差std；再通过正态累积分布的求逆函数求出对应于统计检验值的相关系数阈值。

3.根据权利要求2所述的入侵检测方法，其特征在于，所述统计检验值小于等于0.05。

4.根据权利要求2所述的入侵检测方法，其特征在于，所述特征数据向量包括一个时间窗口内目标主机是与当前连接相同的连接次数、出现SYN错误的连接在所述一个时间窗口内目标主机是与当前连接相同的连接次数中所占的百分比、目标端口相同的连接所占的百分比、目标端口不同的连接所占的百分比、目标端口与当前连接相同的连接次数、出现SYN错误的连接在所述目标端口与当前连接相同的连接次数中所占的百分比和目标主机不同的连接所占的百分比中的至少一个数据。

5.根据权利要求1至4中任一项所述的入侵检测方法，其特征在于，步骤3中进行分级聚类的方法为：用距离量度d_ST指定的方法计算用户行为数据向量集中的各特征数据向量之间的距离向量；再利用最短距离法计算所述距离向量的系统聚类树；最后，根据系统聚类树创建分类。