基于決策樹分類的網(wǎng)絡(luò)異常流檢測與過濾.pdf

1、快速發(fā)展的計算機網(wǎng)絡(luò)在給人們帶來便利的同時，也因為各種各樣異常流的出現(xiàn)，給人們帶來安全上的困擾。而當(dāng)前針對網(wǎng)絡(luò)異常流的各種檢測系統(tǒng)都或多或少存在瑕疵，如最常見的入侵檢測系統(tǒng)(IDS)。市場化的IDS由于缺乏自學(xué)習(xí)的能力，開發(fā)和維護人員不得不實時的更新系統(tǒng)的病毒庫，才能使系統(tǒng)正常的工作。
　　隨著近幾年機器學(xué)習(xí)和數(shù)據(jù)挖掘的出現(xiàn)，網(wǎng)絡(luò)異常流的檢測出現(xiàn)了新的思路和方法。網(wǎng)絡(luò)異常流的攻擊特性，使得其在流量特征上必然與正常網(wǎng)絡(luò)流存在或多或少

2、的差異，而這些差異可以使用機器學(xué)習(xí)挖掘出來的模式和規(guī)則來表示。
　　當(dāng)前各種使用機器學(xué)習(xí)進行的異常流檢測研究和實驗不斷出現(xiàn)，而且大都取得了良好的效果。但由于網(wǎng)絡(luò)異常流的復(fù)雜性和多樣性，這些研究和實驗仍然存在諸多問題；比如一些實驗需要大量的訓(xùn)練樣本才能有效；而另一些實驗仍然存在很高的漏報率或誤報率；因此對基于機器學(xué)習(xí)的異常流檢測方法的研究仍然有很長的路要走。
　　本論文通過對決策樹分類算法、隨機森林和AdaBoost分類算法進

3、行深入的研究；在AdaBoost算法的基礎(chǔ)上通過引入隨機森林的多決策樹投票機制，提出了以C4.5決策樹為核心的基于AdaBoost強分類器群(簡稱AdaBoosts)的網(wǎng)絡(luò)異常流檢測算法。該算法通過訓(xùn)練得到一個AdaBoosts；使用該AdaBoosts對網(wǎng)絡(luò)流進行分類檢測，然后使用多數(shù)投票機制從檢測結(jié)果中判斷出網(wǎng)絡(luò)流的異常情況。論文使用C4.5算法構(gòu)造弱決策樹，由弱決策樹加權(quán)組合得到單個AdaBoost。為了減少AdaBoost之間的

4、關(guān)聯(lián)度，本論文通過引入四個隨機性原則對原始樣本集合和屬性集合進行處理，得到每一個AdaBoost對應(yīng)的樣本子集和屬性子集。為了驗證算法的有效性，論文設(shè)計并實現(xiàn)了異常流檢測的原型系統(tǒng)，系統(tǒng)首先通過OPNET平臺實現(xiàn)了網(wǎng)絡(luò)流屬性數(shù)據(jù)的提取，然后使用AdaBoosts算法實現(xiàn)了異常流的檢測。本論文使用wireshark抓取網(wǎng)絡(luò)流作為部分實驗數(shù)據(jù)，其他實驗數(shù)據(jù)還包括KDD數(shù)據(jù)集和DARPA數(shù)據(jù)包，論文最后通過這些實驗數(shù)據(jù)對系統(tǒng)進行了測試，通過測