稀有類入侵檢測分類算法研究.pdf

1、入侵檢測技術(shù)是一種主動(dòng)保護(hù)系統(tǒng)或網(wǎng)絡(luò)免受攻擊的一種信息安全技術(shù)。數(shù)據(jù)挖掘是從海量的數(shù)據(jù)中提取出用戶感興趣的數(shù)據(jù)信息(知識)；針對其特點(diǎn)目前很多人把數(shù)據(jù)挖掘技術(shù)用到入侵檢測中獲得相關(guān)的入侵知識、系統(tǒng)特征知識。分類是數(shù)據(jù)挖掘的重要技術(shù)之一，把分類技術(shù)用到入侵檢測中主要是為了建立分類模型，能更精確的區(qū)分正常和異常行為。 分類的方法很多，比如決策樹、神經(jīng)網(wǎng)絡(luò)、規(guī)則歸納等分類方法，其中規(guī)則歸納算法中的RIPPER算法是在入侵檢測領(lǐng)域常用的

2、一種算法。與其它分類算法相比，它能夠直接較快的建立簡單、易于理解的模型，而且RIPPER算法具有較好的泛化精度(GeneralizationAccuracy)，規(guī)則中的條件也比較簡潔明了，這兩點(diǎn)對于入侵檢測來說非常重要。 在入侵檢測中會(huì)出現(xiàn)一些小概率事件，這些事件或者是入侵行為或者是正常行為，我們稱其為是稀有類。而RIPPER算法是通用的算法對于這種小概率事件的發(fā)生不具有分類能力，所以RIPPER算法用在入侵檢測中還存在不足之處

3、。本文針對RIPPER算法這個(gè)不足進(jìn)行了研究，并且提出了一種改進(jìn)方案，具體思想就是把RIPPER算法的學(xué)習(xí)(生長)階段分成兩個(gè)過程——RP過程和RN過程。RP過程放寬了精確度限制提高了覆蓋率；RN過程在RP過程的基礎(chǔ)上去掉多覆蓋的反例。經(jīng)過這種改進(jìn)之后提高了RIPPER算法對于稀有類的分類能力。 通過實(shí)驗(yàn)證明，經(jīng)過改進(jìn)后的算法在精確度上沒有太大變化，但是在稀有類分類方面有很好的分類效果?？梢姼倪M(jìn)后的算法更適合入侵檢測領(lǐng)域。