[发明专利]一种网络入侵异常检测方法

权利要求书

1.一种网络入侵异常检测方法，包括：

S100、基于贡献率期望值对网络特征训练样本进行主元分析(PCA)，获取由相互独立的特征向量组成的第一特征集合；

S200、根据如下公式计算第一特征集合中各特征向量与网络特征训练样本对应的网络入侵类别之间的互信息，

Muin(y0;zh0)=∫∫p(y0,zh0)logp(y0,zh0)p(zh0)p(y0)d(zh0)dy0=H(y0)-H(y0|zh0)]]>

其中，Z⁰_h为第一特征集合的特征向量，y⁰为对应的网络入侵类别，Muin(y⁰；z⁰_h)为所述互信息，和p(y⁰)是和y⁰的边际概率密度；是联合概率密度；是条件熵，H(y⁰)是信息熵；

选取互信息大于选择阈值的特征向量作为第二特征集合的元素，并记录第二特征集合的元素在第一特征集合中的位置；

S300、以最小化训练误差和输出权值范数为目标，基于结构参数以随机向量泛函连接(RVFL)建模方法根据所述第二特征集合以及对应的网络入侵类别计算RVFL模型的输出权值,包括根据如下公式计算所述RVFL模型的输出权值：

β^=H+Y]]>

其中，H⁺表示隐含层矩阵的Moore-Penrose广义逆，为所述隐含层矩阵，h(x)＝[G(a₁,b1_,x),…,G(a_i,b_i,x)]，G(a_i,b_i,z^sel)＝g(a_i·z^sel+b_i)为表示第i个隐含节点的激励函数，z^sel为所述第二特征集合；N_RVFL为结构参数，用于限定隐含层节点的个数；a_i和b_i是隐含层参数，β_i是连接第i个隐含节点的输出权值，Y为所有网络特征训练样本对应的网络入侵类别组成的向量,所述结构参数N_RVFL根据如下公式计算获得：

N_RVFL＝2*h’+1

其中，h’为第二特征集合的元素数量；

S400、判断根据当前的贡献率期望值、选择阈值以及结构参数建立的检测模型的识别率是否最大，如果否，执行步骤S500，如果是，执行步骤S600；

S500、调整所述贡献率期望值、选择阈值以及结构参数，执行步骤S100；

S600、将当前PCA模型、第二特征集合的元素在第一特征集合中的位置以及RVFL模型的输出权值记录为模型参数；

S700、检测获取网络特征测试样本；

S800、基于训练样本构建的主元分析模型获取所述网络特征测试样本的第一特征集合；

S900、根据第二特征集合的元素在第一特征集合中的位置选择获取所述网络特征测试样本的第二特征集合；

S1000、根据RVFL模型的输出权值以及所述网络特征测试样本的第二特征集合计算获取网络入侵类别,包括根据如下公式计算计算获取网络入侵类别：

ytest=Σi=1NRVFLβiG(ai,bi,zsel)]]>

其中，y^test为所述网络入侵类别，Z^sel为所述网络测试样本的第二特征集合。