[发明专利]面向稀有攻击的网络入侵检测方法

权利要求书

1.面向稀有攻击的网络入侵检测方法，其特征是，其包括步骤如下：

步骤1、搜集网络攻击数据，并将搜集的网络攻击数据处理为带有攻击类型标签的网络数据作为训练集；

步骤2、利用遗传编程算法对训练集进行特征选择后，生成特征选择后的子数据集；

步骤3、利用随机森林评估子数据集的准确度，并利用准确度计算子数据集的拟合值：如果子数据集的拟合值达到目标拟合值，则结束迭代，并将子数据集作为优化数据集，转至步骤4；否则，将子数据集作为训练集，并返回步骤2，继续迭代；

步骤4、根据网络数据攻击类型的特征标签，将优化数据集分为普通攻击集和稀有攻击集；

步骤5、首先，利用卷积神经网络构建初始的普通攻击分类模型，并将普通攻击集送入到初始的普通攻击分类模型对模型进行训练，利用普通攻击集调整训练参数来得到普通攻击分类器；然后，引入迁移学习的思想，利用普通攻击分类器构建初始的稀有攻击分类模型，并将稀有攻击集送入到初始的稀有攻击分类模型对模型进行训练，利用稀有攻击集微调训练参数来得到稀有攻击分类器；最后，将普通攻击分类器和稀有攻击分类器级联形成联合攻击分类器；

步骤6、将实时采集的待检测网络数据送入到联合攻击分类器中进行分类；在联合攻击分类器中，先将待检测网络数据送入到普通攻击分类器中进行首次检测，判断其是否存在普通攻击：如果存在，则判定该待检测网络数据受到普通攻击；如果不存在，则将该待检测网络数据送入到稀有攻击分类器中进行再次检测，判断其是否存在稀有攻击：如果存在，则判定该待检测网络数据受到稀有攻击；如果不存在，则判定该待检测网络数据为不受攻击的正常网络数据。

2.根据权利要求1所述的面向稀有攻击的网络入侵检测方法，其特征是，步骤3中，子数据集的拟合值f_fitness为：

其中，score表示使用随机森林进行评估所获得的子数据集的准确度，n表示随机森林中树的数量。

3.根据权利要求1所述的面向稀有攻击的网络入侵检测方法，其特征是，在步骤3中，如果达到预定的迭代数，子数据集的拟合值仍未达到目标拟合值，则将所有迭代中，拟合值最高的子数据集作为优化数据集，并转至步骤4。