[发明专利]一种面向云计算的网络入侵检测方法及系统

权利要求书

1.一种网络入侵检测方法，其特征在于，包括：

生成用于判别网络入侵行为的伪梯度提升决策树集合；其中，计算伪梯度提升决策树的过程包括：采用并行的Bootstrapping抽样方式抽取多个训练数据集；计算所述训练数据集的经验熵、相对于特征的经验条件熵和基于所述特征的信息增益；

根据各伪梯度提升决策树对应的非叶子节点的分类特征，确定各所述伪梯度提升决策树的权重信息；

分别采用所述伪梯度提升决策树对接收到的网络行为记录进行并行判断，得到独立判断结果；

将各所述独立判断结果分别与对应的权重信息相乘，生成判断所述网络行为记录是否为网络攻击的最终结果信息。

2.如权利要求1所述的网络入侵检测方法，其特征在于，所述生成用于判别网络入侵行为的伪梯度提升决策树集合包括：

采用并行的方式抽取多个训练数据集，所述训练数据集包含多个在网络行为日志中抽取的记录；

采用并行的方式对每个训练数据集计算伪梯度提升决策树。

3.如权利要求2所述的网络入侵检测方法，其特征在于，所述采用并行的方式对每个训练数据集计算伪梯度提升决策树包括：

计算所述训练数据集的经验熵；

计算所述训练数据集相对于特征的经验条件熵；

计算所述训练数据集基于所述特征的信息增益，所述信息增益为使用所述特征分类时的所述经验条件熵与所述经验熵的偏离程度；

根据所述信息增益对所述训练数据集进行分类；

计算所述训练数据集中判别为攻击的记录数量；

根据所述记录数量与预设规则，确定各节点的赋值，将节点与所述赋值作为决策树的一个叶子节点。

4.如权利要求3所述的网络入侵检测方法，其特征在于，所述计算所述训练数据集的经验熵包括：

采用计算所述训练数据集的经验熵；其中，K为训练集D(t)的种类，第k类Dc(t,k)的样本数量为|Dc(t,k)|，|D(t)|为训练集D(t)的样本数量。

5.如权利要求4所述的网络入侵检测方法，其特征在于，所述计算所述训练数据集相对于特征的经验条件熵包括：

采用

计算所述训练数据集相对于特征的经验条件熵H(D(t)|S(j))；

其中，J为特征集S中特征的数量，I为第j个特征S(j)的取值的数量；|Ds(t,i,j)|为依据I取值将训练集D(t)划分为I个子集后，第i个子集Ds(t,i,j)的样本数量。

6.如权利要求5所述的网络入侵检测方法，其特征在于，所述计算所述训练数据集基于所述特征的信息增益包括：

采用计算所述训练数据集基于所述特征的信息增益ΔH(D(t)|S(j))。

7.如权利要求6所述的网络入侵检测方法，其特征在于，所述根据所述信息增益对所述训练数据集进行分类包括：

根据所述训练数据集基于特征集所有特征的信息增益，确定信息增益值最大的一个特征S(b)；

如果所述信息增益ΔH(D(t)|S(b))小于预设阈值δ，则D(t)不可以基于特征S(b)进行分类，将该集合作为伪梯度提升决策树G(t)一个叶子节点；

如果ΔH(D(t)|S(b))大于或等于所述预设阈值δ，则D(t)可以基于特征S(b)进行分类；根据S(b)的I个取值将所述训练数据集D(t)划分为I个子集。

8.如权利要求1至7任一项所述的网络入侵检测方法，其特征在于，所述根据各伪梯度提升决策树对应的非叶子节点的分类特征，确定各所述伪梯度提升决策树的权重信息包括：

采用对各所述伪梯度提升决策树的权重信息α(t)进行确定；

其中，S(t)为G(t)分裂属性的特征集合，|S(t)|为S(t)内特征的数量，Fs(t,u)为S(t)内的一个特征S(t,u)在T个决策树上作为分裂属性出现的次数，Ds(t,u)为特征S(t,u)作为G(t)的分裂属性所在的深度。