[发明专利]一种面向云计算的网络入侵检测方法及系统

说明书

本发明公开了一种网络入侵检测方法及系统，通过生成用于判别网络入侵行为的伪梯度提升决策树集合；根据各伪梯度提升决策树对应的非叶子节点的分类特征，确定各伪梯度提升决策树的权重信息；分别采用伪梯度提升决策树对接收到的网络行为记录进行并行判断，得到独立判断结果；将各独立判断结果分别与对应的权重信息相乘，生成判断网络行为记录是否为网络攻击的最终结果信息。本申请具有简单易解、区分精度高、智能综合处理能力强的特点；同时，还可以在云计算环境下分布式并行生成伪梯度提升决策树，提高了决策树的动态更新运算速度，增加了IDS检测新型入侵事件实时性与准确性。

技术领域

本发明涉及网络安全与云计算技术领域，特别是涉及一种面向云计算的网络入侵检测方法及系统。

背景技术

近年来，以网络入侵为代表的信息安全事件层出不穷，入侵者以互联网为工具窃取信息、散播木马和病毒、恶意消耗资源，给用户造成了巨大的损失，也极大得影响和破坏了互联网的进一步推广和使用。设计和使用入侵检测(IDS)方法对网络应用进行监控，及时发现和控制恶意网络入侵，成为网络安全的一个重要屏障。

在当前的网络入侵检测技术中，基于决策树分类算法的IDS以其结构简单、结果易于理解而且区分检测精度较高等优势，一直以来都受到了普遍的关注。但是，独立的决策树忽略了属性之间的相互关系，具有组合属性的入侵事件在这类IDS中常常被漏掉。另外，一般决策树并未考虑到所选属性对后继分支及整棵树的影响，容易陷入局部最优，从而对网络正常的数据流产生误判。梯度提升决策树(GBDT)采用迭代的方法累加多棵决策树的判别结果求取最终答案，可以有效的解决一般决策树应用于IDS产生的上述问题。GBDT对于有不同的特征组合的情况拥有不同的判别式，与数据包多特征组合形成攻击的网络安全问题相符合。GBDT应用于IDS中可以智能的综合处理用户的网络行为，甚至可以根据用户的特征分析判断出训练数据集中没有出现的入侵事件，大大提升了决策树算法的入侵检测能力。

梯度提升决策树GBDT虽然在网络入侵行为判别方面优势明显，但是它根据数据集训练生成的过程是通过迭代方式完成的，更新运算的过程难以在云计算的环境下并行实现。为了最后的决策树集成，采样运算需要不断根据前一次的迭代错误来修正本次的数据采样比例，每一轮的决策树生成运算都依赖于上一轮的关键信息。这种迭代方式应用于训练问题比较单一的IDS系统时，分布式云计算的优势不能得到发挥。另外，IDS系统需要需要训练的GBDT数量巨大，抽样数据集的中需要抽样的数据也要尽可能大，在分布式云计算环境下，GBDT算法的这种迭代抽样方式会增加处理的时间。随着云计算在网络安全领域的逐步推广，设计一种在并行分布式的环境下可以实施入侵检测判别的GBDT算法是必要的。

发明内容

本发明的目的是提供一种网络入侵检测方法及系统，以解决现有入侵检测技术误判率高、运算速度较低的问题。

为解决上述技术问题，本发明提供一种网络入侵检测方法，包括：

生成用于判别网络入侵行为的伪梯度提升决策树集合；

根据各伪梯度提升决策树对应的非叶子节点的分类特征，确定各所述伪梯度提升决策树的权重信息；

分别采用所述伪梯度提升决策树对接收到的网络行为记录进行并行判断，得到独立判断结果；

将各所述独立判断结果分别与对应的权重信息相乘，生成判断所述网络行为记录是否为网络攻击的最终结果信息。

可选地，所述生成用于判别网络入侵行为的伪梯度提升决策树集合包括：

采用并行的方式抽取多个训练数据集，所述训练数据集包含多个在网络行为日志中抽取的记录；

采用并行的方式对每个训练数据集计算伪梯度提升决策树。

可选地，所述采用并行的方式对每个训练数据集计算伪梯度提升决策树包括：

计算所述训练数据集的经验熵；