[发明专利]一种基于二次否定选择的网络异常检测方法

权利要求书

1.一种基于二次否定选择的网络异常检测方法，其特征在于，所述方法包括以下步骤：

(1) 读入自体集步骤；

1) 采集正常网络连接数据包步骤；

2) 规范化网络连接数据包步骤；

(2) 网络连接数据预处理步骤；

1) 网络连接数据数值化处理步骤；

2) 网络连接数据归一化处理步骤；

(3) 第一次否定选择产生半成熟检测器步骤；

(4) 第二次否定选择产生成熟检测器集步骤；

(5) 自体集聚类生成认证检测器步骤；

(6) 利用成熟检测器集对待检测网络连接数据进行检测步骤；

1) 待检测网络连接数据数值化处理步骤；

2) 待检测网络连接数据归一化处理步骤；

3) 利用生成的成熟检测集对待检测网络连接数据进行检测步骤；

(7) 利用认证检测器确认检测结果步骤;

1) 利用认证检测器验证检测结果步骤；

2) 异常网络连接数据隔离步骤；

3) 异常网络连接数据告警处理步骤。

2.权利要求1所述的一种基于二次否定选择的网络异常检测方法，其特征在于，所述的第一次否定选择产生半成熟检测器步骤包括以下步骤：

(1) 随机产生候选检测器步骤；

(2) 候选检测器耐受成熟检测器集生成半成熟检测器步骤，包括以下步骤： 

1) 计算候选检测器与成熟检测器亲和力步骤；

2) 判定候选检测器是否被当前成熟检测器识别步骤；

3) 判定是否完全耐受成熟检测集步骤。

3.权利要求1所述的一种基于二次否定选择的网络异常检测方法，其特征在于，所述的第二次否定选择产生成熟检测器集步骤包括以下步骤：

(1) 对半成熟检测器进行训练集耐受训练生成成熟检测器步骤，包括以下步骤；

1) 计算半成熟检测器与训练集中所有自体的最近距离步骤；

2) 判定半成熟检测器是否被训练集识别步骤；

3) 生成成熟检测器并计算出成熟检测器半径步骤；

(2) 成熟检测器加入成熟检测器集步骤；

(3) 根据期望覆盖率终止检测器生成步骤。

4.权利要求1所述的一种基于二次否定选择的网络异常检测方法，其特征在于，所述的自体集聚类生成认证检测器步骤包括以下步骤：

(1) 利用基于划分聚类方法对自体集进行聚类步骤，包括以下步骤：

1) 选择聚类方法步骤；

2) 设置聚类参数步骤；

3) 对自体集进行聚类步骤；

(2) 利用聚类结果生成认证检测器步骤；

1) 计算每个聚类的半径步骤；

2) 根据每个聚类的中心和半径生成认证检测器步骤。