16、网络攻击检测中二进制分类器的应用与组合方案

网络攻击检测中二进制分类器的应用与组合方案

1. 引言

在网络安全领域，准确检测网络攻击至关重要。本文将介绍一种利用二进制分类器进行网络攻击检测的方法，包括网络参数的计算与预处理、二进制分类器权重的遗传优化、网络攻击检测算法，以及二进制分类器的组合方案。

2. 网络参数的计算与预处理

利用二进制分类器检测网络攻击主要分为三个步骤：
1. 计算并预处理网络参数；
2. 进行遗传优化；
3. 使用二进制分类器检测网络攻击。

2.1 网络参数的计算

开发了一个网络分析器，可构建106个参数来描述主机之间的网络连接，这些参数包括：
- 连接持续时间；
- 网络服务；
- 发送特殊数据包的强度；
- 具体IP地址对之间的活动连接数（DoS攻击的标准之一）；
- 建立实际会话后TCP窗口缩放的二进制特征；
- TCP连接的当前状态；
- TCP、UDP、ICMP、IP等层面扫描数据包的不同属性。

为计算网络攻击的统计参数，采用了自适应滑动窗口方法。该方法将长度为L的给定时间间隔[0, L]划分为几个长度相同的较小间隔，每个间隔的起始位置相对于前一个间隔有偏移。若满足特定条件，则可计算出间隔数量k。在每个小时间间隔内，获取参数值的快照，并计算其在长度为L’的时间窗口内的平均值。在实验中，L设为5秒，L’设为1秒，偏移δ设为0.5秒，这种方法可消除稀疏和偶然的网络突发，降低误报率。

2.2 网络参数的预处理

使用主成分分析（PCA）进行预处理，具体步骤如下：