一种处理混合型属性的无监督异常入侵检测方法

合集下载

机器学习中的异常检测与异常处理技术

机器学习中的异常检测与异常处理技术异常检测是机器学习中的重要任务之一，旨在识别数据中的异常点或不正常的行为。

这些异常可以是与正常数据分布不符的样本，或者是在数据中具有特殊属性的事件。

在许多领域中，如金融、网络安全和制造业，异常检测都具有重要的应用价值。

本文将介绍机器学习中的异常检测与异常处理技术。

在机器学习中，异常检测可以分为有监督和无监督方法。

有监督的异常检测方法需要训练数据集中存在异常标签，通过建立异常模型来识别未标记数据中的异常。

然而，在现实世界中，很难获得大量已标记的异常样本。

相比之下，无监督的异常检测方法不依赖于异常标签，它通过分析数据本身的分布和特征，来发现异常点或者异常行为。

一种常用的无监督异常检测方法是基于统计学的方法，例如基于概率模型的方法。

这些方法通常假设数据服从某种分布，如高斯分布。

通过计算数据点与模型的偏离程度，可以确定数据点是否为异常。

例如，如果数据点的概率低于某个阈值，就可认为该点是异常。

另一种常用的无监督异常检测方法是基于聚类的方法。

这些方法通过将数据点分组成不同的簇，来确定哪些数据点属于正常的簇，哪些属于异常的簇。

常用的聚类算法有K-Means算法和DBSCAN算法。

异常点往往会成为一个单独的簇或者与其他簇有较大的距离。

此外，还有一些其他的无监督异常检测方法，如基于密度的方法和基于距离的方法。

基于密度的方法，如LOF(Local Outlier Factor)算法，通过计算数据点的局部密度来识别异常点。

基于距离的方法，如孤立森林(Isolation Forest)算法，通过将数据点划分为不同的分支，来确定异常点。

除了异常检测，异常处理也是机器学习中重要的一环。

当我们检测到异常点时，需要采取相应的处理措施。

一种常用的处理方法是删除异常点，这在一些情况下是可行的，特别是当异常点是错误数据或噪声时。

然而，在一些应用中，异常点可能携带重要的信息，删除它们可能会丢失有价值的信息。

一种混合式网络入侵检测系统

过大则判定新包属于异常。该算法实现简要步骤如下：（）１给定一个正常网络流量的数据包集合作为训练集，对
于每一个数据包，统计向量ｆｅ［一５］ｒｑｋ为字符值ｒｑＯ２５，ｆｅ［］
１单一检测模式系统
１１Ｓｎｒ．ｏｔ
（∈［，５］０２５）在该数据包中出现的频率，向量反映了数据包该
［ｙｗｏｄ］ｉｔｓｎｄｔｔｎａｏｌｅｃｉｎｍｉｓｅｅｔｎｈｂｉｔｓｎｄｔｃｏＫｅｒｓｎｒｉｅｅｉ；ｎｍａｄｔｔ；ｓｅｄｔｃｉ；ｙｒｉｒｉｅｅｔｎｕｏｃｏｙｅｏｕｏｄｎｕｏｉ
入侵检测系统从检测算法上基本分为２类：异常检测（ｎｍａｅｅｔｎ和误用检测（ｓｓｅｃｉｎＪ异常检测ａｏｌｄｔｃｏ）Ｙｉｍｉｅｔｔ）。ｕｄｅｏ首先学习正常行为的特征，当检测到的行为与正常行为有重大偏离时即被认为是入侵行为。误用检测预先定义所有不可接受行为的特征，任何能够与之匹配的行为都会引起报警。
Ｉ，ｃｍｂｎｎｓｓｅｅｔｏｏｄａｏａｙｄｔｃｉｎｍｏｅｈｅｍｅｏａｖｒｏｅｓｒｃｍｎｓｏＤＳｕｉｇｓｎｌｏｅＤＳｏｉｉｇｍｉｕｅｄｔｃｉｎｍｄｅａｎｎｍｌｅｅｔｏｄ，ｔｔｄＣｈｎｏｅｃｍｅｔｈｏｔｏｈｉｇｆＩｓｎｉｇｅｍｄ・ＥｘｅｍｅｔｈｗａｅｍｅｏｄＣｐｒｉｎｓｓｏｔｔｈｅｎｗｔｈｔｈａｉｒｖＤＳｄｅｅｔｏａｅａｄｄｃｅｓａｓｅｓｅｆｃｉｅｙ．ｎｍｐｏｅＩｔｃｉｎｒｔｎｅｒａｅｆｌｅａｒｆｅｔｖｌｌｔ

【CN110086767A】一种混合入侵检测系统及方法【专利】

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号 (43)申请公布日 (21)申请号 201910180422.4(22)申请日 2019.03.11(71)申请人中国电子科技集团公司电子科学研究院地址 100041 北京市石景山区双园路11号(72)发明人雷璟　(74)专利代理机构工业和信息化部电子专利中心 11010代理人张然(51)Int.Cl.H04L 29/06(2006.01)(54)发明名称一种混合入侵检测系统及方法(57)摘要本发明公开了一种混合入侵检测系统及方法，采用基于网络行为的两层混合入侵检测方式，第一异常检测模块作为第一检测阶段，第二异常检测模块和误用检测模块作为第二检测阶段，利用两个检测阶段紧密配合，第二检测阶段的两个检测模块对第一检测阶段的检测模块的检测结果进行二次识别，进而识别出第一检测阶段的检测结果中存在的误报和漏报情况，进一步提升了整体入侵检测的准确率。

权利要求书2页说明书6页附图1页CN 110086767 A 2019.08.02C N 110086767A权　利　要　求　书1/2页CN 110086767 A1.一种混合入侵检测系统，其特征在于，包括：第一异常检测模块，用于检测网络行为是否为异常行为，并输出第一检测结果；第二异常检测模块，用于在所述第一异常检测模块输出的第一检测结果为异常行为的情况下，检测所述第一异常检测模块输出的第一检测结果是否为误报，在所述第一异常检测模块输出的第一检测结果是误报的情况下，输出所述网络行为为正常行为的第二检测结果，在所述第一异常检测模块输出的第一检测结果不是误报的情况下，输出所述网络行为为异常行为的第二检测结果；误用检测模块，用于在所述第一异常检测模块输出的第一检测结果为正常行为的情况下，检测所述网络行为是否为与正常行为相似的异常行为，在所述网络行为是与正常行为相似的异常行为的情况下，输出所述网络行为为异常行为的第三检测结果，在所述网络行为不是与正常行为相似的异常行为的情况下，输出所述网络行为为正常行为的第三检测结果。

基于无监督聚类混合遗传算法的入侵检测方法

实现聚类并进行入侵检测。率的
入侵检测技术已成为计算机安全领域研究中的热点。传
统的基于知识的入侵检测系统需要领域专家人工进行检测规则和模式的建立，这往往不能满足实际需求。将机器学习和数据挖掘等用于入侵检测已有不少研究，利用标识数据集重复训练检测算法来检测攻击，过与专家系统中已有特征比通较来检测入侵，这种方法不能发现未知类型的攻击。而在实际情况中我们往往不可能得到标识的数据集，因此很多学者提出聚类算法 …对未标识据进行自动分类建立标记。 ‘ 文献［，］２３中提出了一种基于聚类的未标识数据的入侵检测方法，它将相类似的数据事件归结到聚类中进行入侵检测，但是聚类结果受聚类半径和标识比例的影响，检测结果不是很理想。文献［］出了一种利用对象异常因子的偏离程４提
Ｆｅｂ．２０８０
基于无监督聚类混合遗传算法的入侵检测方法
唐少先，文君蔡
（中南大学信息科学与工程学院，长沙４０８）１０３
（ｎｓ２０＠１３ｃｉ）ｈｃｕ０５６．ｏｎ
摘
要：在利用聚类进行入侵检测的方法中，有效地进行聚类是关键。为了对未标识数据进行聚类，出了一种提
Ａｂｔａｔｓｒｃ：Ａｍｏｇｔｅｍｅｈｄｆｉｔｕｉｎｄｔｃｉｎｗｉｌｓｅｎ，ｈｗｏｍａｅｃｕｔｒｎｆｃｉｅｙｉａｃｔａｎｈｔｏｓｏｎｒｓｏｅｅｔｔｃｕｔｒｇｏｈｉｏｔｋｌｓｅｇｅｅｔｌｓｒｉｌｉｖｉｃｐｏｌｍ．ＡｎｗｕｓｐｒｉｅｌｓｅｎｔｏａｒｐｓｄｉｈｓｐｐｒＴｅｍｅｈｄｃｎｏｅｃｍｅｔｅｓｏｔｏｎｆｒｂｅｅｎｕｅｖｓｄｃｕｔｒｇｍｅｈｉｄｗｓｐｏｏｅｎｔｉａｅ．ｈｔｏａｖｒｏｈｈｒｍｉｇｏｃｓｎｉｖｔｏｔｅｏｄｒｏｐｔｄｔｓａｄｎｃｓｉｏｋｏｈｌｓｒｎｍｂｒｂｆｒｔｗｏｋ，ａｄｉａｓａｅｕｅｔｅｅｓｉｉｔｈｒｅｆｉｕａｅｅｅｓｔｔｎｗｔｅｃｕｔｕｅｅｏｅｉｔｙｎｎｙｅｒｓｎｔｌｏｃｎｒｄｃｈｎｍｂｒｏａａｔｒ’ Ｂｈｗｔｇｆｃｅｔｇｉｉａｌｓｅｓａｄｏｔｔｎｏｈｒｔｔｇｔｙｒｅｅｉｕｅｆｐｒｍｅｅｓ．ｙｔｅｔｏｓａｅｏｒａｉｎｔｌｃｕｔｒｎｐｉｉｆｔｅｆｓａｅｗｉｈｂｄｇｎｔｎｉｍａｏｉｓｈｉｃｃｕｔｒｇｍｅｈｄｉｃｎｏｅｃｍｅｔｅｉｆｕｎｅｏｉａｌｓｒｎｒｓｌｎｒｖｅｃｕｔｒｇｑａｉ，ａｄｔｅｈｓｌｓｅｎｔｏ，ｔａｖｒｏｈｎｅｃｆｉｔｃｕｔｓｏｅｕｔａｄｉｏｅｔｌｓｅｎｕｔｎｈｎｔｉｉｌｎｉｌｅｓｍｐｈｉｌｙｍｅｈｄＷａｓｄｔｅｅｔｉｔｓｏ．Ｅｐｒｍｅｔｅｕｔｅｎｔａｅｔａｈｓｍｅｈａｅｔｒｄｔｃｉｎｒｔｄｆｓｔｏｓｕｅｏｄｔｃｎｒｉｎｕｘｅｉｎａｒｓｌｄｍｏｓｒｔｈｔｔｉｔｏｈｂｔｅｅｔａｅａａｅｌｓｄｓｅｏｎｌｐｓｉｅｒｔ．ｏｉｖａｅｔＫｅｒｓｎｒｓｎｄｔｃｉｎｃｕｔｒｎ；ｙｒｅｅｉｇｒｈｙｗｏｄ：ｉｔｉｅｅｔ；ｌｓｅｇｈｂｄｇｎｔａｏｔｍｕｏｏｉｉｃｌｉ

一种无监督网络入侵检测算法

［ｙｗｏｄ！ｎｔｏｋｉｔｓｎｄｔｃｉｎｃｕｔｒｇｃａｓｓｌ￣ｎｅｌｇａｇｒｈＫｅｒｓｅｗｒｒｉｅｔ：ｌｓｉ；ｈｏ；ｉａｄａｎａｎｌｏｉｍｎｕｏｅｏｅｎｍｕｉｔ
ｌ概述
随着计算机技术和通信技术的发展，入侵造成的损失及
２Ｄｅａｔｔｅｈｎｉｇｎｅｎ，ｏｇｉｇＵｎｖｒｉ，ｏｎｑｉｇ４０３）．ｐｒｍｅｎＭｃａｃＥｎｉｅｒｇＣｈｎｑｎｉｅｓｔＣｈｇｎ０００ｏｆｉｙ
［ｓｒｃ］Ｍｏｔｎｒｓｎｄｔｔｎｍｔｏｓａｅｄｐｎｅｔｎｔｉｉｇｄｔｔ．ａｅｅａｎｎａａｅｓａｅｄｆｃｌｔｅｂａｎａｄｏｅｃｎＡｂｔａｔｓｉｔｉｅｅｉｅｈｄｒｅｅｄｎａｎｎａａｓｓＬｂｌｔｉｉｄｔｔｒｉｉｕｔＯｂｔｉｎｎａｕｏｃｏｏｒｅｄｒｇｓｏ
ｎｖｒｂｕｅｔｔａｓｔｏｖｉｂｌａｅｅａａｃｖｒｌｐｓｉｅａｔｃｓＴｈｓｐｐｒｐｏｏｅｅｗｏｒｎｒｓｏｅｅｔｎｍｅｈｄｂａｅｎｅｅｅｓｒｈａｅｆａａｌｅｌｂｌｄｄｔｏｅｓａｌｏｓｔｋ．ｉａｅｒｐｓｓａｎｔｋｉｔｕｉｎｄｔｃｉｔｏｓｄｏａｂｌａｏｕｓｐｒｉｅｌｓｅｉｇａｄｃａｉｌｔｄａｎａｉｇａｇｒｔｍ．ＣｈｏｉｕａｅｎｅｌｇａｇｉｎｕｅｖｓｄｃｕｔｒｎｈｏｓｓｍｕａｅｎｅｌｌｏｉｎｎｈａｓｓｍｌｔｄａｎａｉｌｏｒｈｍｓｕｅＯｏｔｍｉｅｃｕｔｒｎｅｕｔｏｇｔｎｔｉｓｄｔｐｉｚｌｓｅｉｇｒｓｌｔｅｓｔｅｇｏｂｌｏｔｌｓｌｔｎ，ｐｒｄｈｃｕａｙｏｌｓｉｉａｉｎｎｍｐｏｅｔｅｑａｉｆｉｔｓｏｅｅｔｏ．ｐｒｍｅｔｒｏｍｐｌｔｄｏｈｌａｐｉｏｕｉｍａｏｕｇａｅｔｅａｃｒｃｆｃａｓｆｃｔ，ａｄｉｒｖｈｕｌｔｏｎｒｉｎｄｔｃｉｎＥｘｅｏｙｕｉｎｓａｅｃｅｅｎＫＤＤｐ１９ｎｘｅｔｎｔｅｕｔｒｃｉｖｄ．Ｃｕ９９ａｄｅｐｃａｓｌａｅａｈｅｅｒｓ

无监督异常检测算法

无监督异常检测算法无监督异常检测算法是一种自动识别异常数据的方法，它不需要人为标记正常和异常数据，而是根据数据集本身的统计特性来判断哪些数据点是异常的。

这种算法通常用于数据挖掘领域以及工业制造生产线上的故障检测等场合。

无监督异常检测算法的主要思路是，通过对数据集中的数据进行聚类或密度估计等操作，将数据点分为不同的簇或者概率密度区间。

对于那些落在簇或密度区间以外的数据点，就认为它们是异常数据。

常见的无监督异常检测算法包括：1. 基于聚类的异常检测算法：它将所有数据点分为不同的簇，对于那些落在较小簇中的数据点，就认为它们是异常点。

这种算法的缺点是，如果数据集中有很多密集簇，那么就很难将异常点正确地识别出来。

2. 基于密度估计的异常检测算法：它将整个数据空间划分为不同的密度区间，如果某个数据点的密度值比较低，就认为它是异常点。

这种算法的优点是可以适应不同的数据分布，但是由于需要对整个数据空间进行划分，计算量较大。

3. 基于距离的异常检测算法：它通过计算数据点之间的距离，将数据集中的数据点分为不同的聚类，然后根据距离度量规则，将距离过大的数据点认为是异常点。

这种算法的计算量较小，但是对于高维数据集来说，距离计算会变得非常复杂。

无监督异常检测算法的应用非常广泛，可以用于金融欺诈检测、网络入侵检测、工业故障检测等场合。

但是，这种算法也存在一些问题，例如无法准确地识别那些比正常点稍微偏离一些的数据点，或者会将一些正常的数据点误认为是异常点。

因此，在使用无监督异常检测算法时，需要根据具体的应用场景进行定制化调整。

混合型数据库中入侵检测技术仿真

ｔｏｐｒｙｆｕｓｉｏｎａｌｇｏｉｒｔｈｍ．Ｂｙｕｓｉｎｇｔｈｅｒｏｕｇｈｓｅｔ＂ｓａｂｉｌｉｔｙｔｏｅｘｐｅｓｒｓｃｏｍｐｌｅｘｉｆｏｎｍａｒｔｉｏｎ，ａｓｅｔｏｆｉｎｔｒｕｓｉｏｎｃｈｒａａｅｔｅｒｉｓ —
数据集合，针对该集合中的元素，计算不同特征的信息熵，得到不同入侵特征在入侵检测过程中的重要性，获取简化处理后
的入侵特征集合，实现混合型数据库的入侵检测。实验结果表明，利用改进算法进行混合型数据库中入侵检测，能够简化入侵训练集合。缩短检测时间，极大的提高了检测的准确性。
ｔｉｃｓｆｏｒｈｙｂｉｒｄｄａｔａｂｓｅａｉｓｂｕｉｌｔ，ｔｈｅｉｆｏｎｍａｒｔｉｏｎｅｎｔｒｏｐｙｏｆｄｉｆｅｒｅｎｔｃｈａｒａｃｔｅｉｓｒｔｉｃｓｉｓｃａｌｃｕｌａｔｅｄｏｒｆｈｅｔｅｌｅｍｅｎｔｓｉｎｔｈｅｓｅｔ，ｔｈｅｄｉｆｅｒｅｎｔｉｍｐｏｒｔａｎｃｅｓｏｆｄｉｆｅｒｅｎｔｉｎｖａｓｉｏｎｃｈａｒａｃｔｅｉｒｓｔｉｃｓｉｎｔｈｅｐｒｏｃｅｓｓｏｆｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｒｅａｇｏｔ，ｔｈｅ
ｓｅｔｏｆｉｎｖｓｉａｏｎｃｈａｒａｃｔｅｒｉｓｔｉｃｓａｆｔｅｒｓｉｍｐｌｉｉｆｅｄｐｒｏｃｅｓｓｉｎｇｉｓｏｂｔａｉｎｅｄ，ａｎｄｔｈｅｈｙｂｉｄｒｄａｔａｂｓｅａｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｉｓｅ— ｒａｌｉｚｅｄ．ＥｘｐｅｒｉｍｅｎｔａｌｅｓｒｕｌｔｓｓｈｏｗｔｈａｔｈｅｔｉｍｐｒｏｖｅｄａｌｇｏｒｉｈｍｔＣｎａｓｉｍｐｌｉｆｙｔｈｅｉｎｖｓｉａｏｎｏｆｈｅｔｔｒａｉｎｉｎｇｓｅｔ，ｓｈｏ￣ｅｎｔｈｅｔｅｓｔｉｎｇｔｉｍｅ，ｇｒｅａｔｌｙｉｍｐｒｏｖｅｔｈｅａｃｃｕｒａｃｙｏｆｔｈｅｄｅｔｅｃｔｉｏｎ． ‘

智能入侵检测技术

智能入侵检测技术作者：黄伟峰孙青茹来源：《陕西教育·高教版》2008年第09期[摘要]网络安全问题的日益严峻使得传统的检测方法难以适应新的网络环境，而采用智能化的入侵检测技术是将来的发展方向，本文论述了采用智能入侵检测技术在入侵检测系统中的应用。

[关键词]入侵检测专家系统数据挖掘神经网络前言入侵检测技术是近20年来出现的一种新型网络安全技术,能够检测出多种形式入侵行为,是现代计算机网络安全体系的一个重要组成部分，入侵检测的研究可以追溯到JamesP.Anderson 在1980年的工作，首次提出了利用审计数据发现入侵行为的思想。

1987年DorothyE. Denning 首次给出一个入侵检测的抽象模型，并将入侵检测作为一个新的安全防御措施提出。

后来，随着对入侵检测技术的广泛和深入的研究，科研人员提出了多种入侵检测方法，从早期的日志审计、文件的完整性检查和异常行为的统计检测等方法[1]，到现在智能化检测技术的研究都体现了网络安全问题的日益重要和严峻。

智能入侵检测技术1.专家系统。

传统的采用模式匹配的特征检测算法没有逻辑推理和判断能力，对一些有变化的攻击就无能为力，而采用专家系统的入侵检测系统具有适应性强、可靠性强、相应快和稳定等优点，用专家系统对入侵进行检测，经常是针对有特征入侵行为，专家系统的建立依赖知识库的完备性，知识库的完备性又取决于审计记录的完备性与实时性。

而入侵特征的抽取与表达，是入侵检测专家系统的关键。

在系统实现中，将有关入侵的知识化为if-then结构，条件部分为入侵特征，then部分是系统防范措施，系统防范有特征入侵行为的有效性完全取决于知识库的完备性。

系统通过监测系统、事件、安全记录以及系统记录和原始IP数据包的截获来获取数据。

当采集到的数据显示有可疑活动时，就会触发规则，当可疑超过一定门限时，即判断发生入侵行为。

专家系统可有针对性地建立高效的入侵检测系统，检测准确度高，但是在具体实现中，有如下问题：（1）专家知识获取问题：即由于专家系统的检测规则依赖于安全专家知识，因此难以全面的构建知识库；（2）规则动态更新问题：因为用户行为的动态性也要求专家系统有自学习、自适应的功能。

无监督学习在网络入侵检测中的应用

无监督学习在网络入侵检测中的应用第一章：引言近年来，随着互联网的快速发展，网络入侵事件屡屡发生，给个人和组织的信息安全带来了巨大威胁。

传统的网络入侵检测方法主要采用基于规则和签名的方法，需要人工定义规则或者特征，但由于网络入侵手段不断演变，这种方法已经无法满足对新型网络入侵的检测需求。

因此，无监督学习作为一种无需人工标注数据的网络入侵检测方法受到越来越多的关注。

本文将探讨无监督学习在网络入侵检测中的应用。

第二章：无监督学习概述2.1 无监督学习的概念无监督学习是机器学习的一种重要分支，与监督学习和强化学习相对。

无监督学习是指模型根据输入数据的统计特征和结构，自主发现数据中的规律和模式，而无需人工标注的过程。

常见的无监督学习方法包括聚类、降维和异常检测等。

由于无监督学习不需要依赖人工标注的数据，因此具有更好的适应性和泛化性。

2.2 无监督学习算法介绍2.2.1 聚类算法聚类算法是无监督学习中最常用的方法之一，它将数据集划分为多个簇，使得同一簇内的数据相似度较高，而不同簇之间的数据相似度较低。

常见的聚类算法包括K-means、层次聚类和DBSCAN等。

聚类算法可以帮助发现网络入侵行为中的潜在模式。

2.2.2 降维算法降维算法是将高维数据映射到低维空间的方法，可以帮助减少数据维度以提高计算效率，并去除不重要的特征。

常用的降维算法有主成分分析（PCA）和线性判别分析（LDA）等。

降维算法可以帮助将复杂的网络入侵数据转化为可以更好理解和处理的低维空间。

2.2.3 异常检测算法异常检测算法是通过建立一个正常模型，检测输入数据中的异常样本。

常见的异常检测算法有孤立森林和One-class SVM等。

异常检测算法可以帮助发现网络入侵中的不符合正常行为模式的异常行为。

第三章：网络入侵检测概述3.1 网络入侵概念网络入侵是指未经授权的第三方，通过利用系统漏洞或其他手段，窃取或破坏计算机系统中的数据和资源。

网络入侵行为可以由个人、组织或者恶意软件执行。

一种处理混合型属性的聚类算法及其在入侵检测中的应用

一种处理混合型属性的聚类算法及其在入侵检测中的应用黄斌;史亮;姜青山;李伯阳
【期刊名称】《计算机研究与发展》
【年(卷),期】2007(044)0z2
【摘要】针对目前基于k-Means算法的入侵检测技术存在对符号类型数据处理能力欠缺、误报率较高的问题,提出了一种处理混合型属性的聚类算法的入侵检测技术.该方法将对符号类型特征进行编码映射,并使用主成分分析对编码后增加的维数进行降维,从而解决了在入侵检测使用聚类分析无法对符号型数据进行处理的问题.详细地阐述了改进的具体实现方案,并通过实验验证了该方法的可行性.
【总页数】5页(P291-295)
【作者】黄斌;史亮;姜青山;李伯阳
【作者单位】厦门大学软件学院,厦门,361005;厦门大学软件学院,厦门,361005;厦门大学软件学院,厦门,361005;厦门大学软件学院,厦门,361005
【正文语种】中文
【中图分类】TP309
【相关文献】
1.一种处理混合型属性的无监督异常入侵检测方法 [J], 郑苗苗;吉根林
2.一种改进聚类算法在入侵检测中的应用 [J], 赵云;顾健;张笑笑
3.一种改进的聚类算法在入侵检测中的应用 [J], 张月琴;刘静
4.一种处理混合型属性的聚类算法在计算机取证中的应用 [J], 黄斌;史亮;陈德礼;
陈俊杰;周超
5.一种改进的k-means聚类算法在入侵检测中的应用 [J], 尹珧人;王德广
因版权原因，仅展示原文概要，查看原文内容请购买。

融合无监督和有监督学习的虚假数据注入攻击检测

融合无监督和有监督学习的虚假数据注入攻击检测黄冬梅;王一帆;胡安铎;周游;时帅;胡伟【期刊名称】《电力工程技术》【年(卷),期】2024(43)2【摘要】虚假数据注入攻击(false data injection attack,FDIA)是智能电网安全与稳定运行面临的严重威胁。

文中针对FDIA检测中存在的有标签数据稀少、正常和攻击样本极不平衡的问题,提出了融合无监督和有监督学习的FDIA检测算法。

首先引入对比学习捕获少量攻击数据特征,生成新的攻击样本实现数据扩充;然后利用多种无监督检测算法对海量的无标签样本进行特征自学习,解决有标签样本稀缺的问题;最后将无监督算法提取的特征与历史特征集进行融合,在新的特征空间上构建有监督XGBoost分类器进行识别,输出正常或异常的检测结果。

在IEEE 30节点系统上的算例分析表明,与其他FDIA检测算法相比,文中方法增强了FDIA检测模型在有标签样本稀少和数据不平衡情况下的稳定性,提升了FDIA的识别精度并降低了误报率。

【总页数】8页(P134-141)【作者】黄冬梅;王一帆;胡安铎;周游;时帅;胡伟【作者单位】上海电力大学电子与信息工程学院;上海电力大学电气工程学院;国网江苏省电力有限公司苏州供电分公司;上海电力大学经济与管理学院【正文语种】中文【中图分类】TM712【相关文献】1.虚假数据注入攻击信号的融合估计2.基于数据驱动的电力系统虚假数据注入攻击检测3.基于改进多隐层极限学习机的电网虚假数据注入攻击检测4.基于自适应UKF算法的虚假数据注入攻击检测研究5.基于长短时记忆网络和生成对抗网络的VRB储能系统虚假数据注入攻击检测因版权原因，仅展示原文概要，查看原文内容请购买。

混合型的入侵检测技术

6.1 采用多种信息源
3.
局域网监控器特点 ● LEG组件必须从当前网络数据包中构建所需的网络审计记录（NAR）。 ● LEG组件采用多个简单分析手段来分析构建好的NAR记录。 ● LEG还建立和维护当前网络行为的正常模型，并检测当前网络使用情况与正常模型的偏离情况。
6.1 采用多种信息源
6.2 采用多种检测方法
3、统计分析组件
IDES统计异常检测引擎观测在所监控计算机系统上的活动行为，自适应地学习主体的正常行为模式。维护一个主体的统计知识库，其中包含主体的档案。 IDES中所使用的用来确定一个行为是否异常的推导进程是建立在统计数值的基础上的。
6.2 采用多种检测方法
主机监控器首先从主机在系统中读取C2审计数据文件，获取审计记录，将这些审计记录映射到DIDS系统定义的规范格式 HAR上，过滤冗余后，分析检测数据，生成不同的异常事件报告，交由主机代理发送到中央控制台。同时控制台也可以通过主机代理，对用于安全分析的模式库进行修改和调整操作，以便更好地执行分析逻辑。
6.1 采用多种信息源
DIDS中央控制台组件能够解决两个关键的问题 ⑴网络环境下对特定用户和系统对象（例如文件）的跟踪问题。为此，DIDS提出了网络用户标识（NID）的概念。 ⑵不同层次的入侵数据抽象问题。DIDS系统提出了一个6层的入侵检测模型，并以此模型为基础和指导，构造了专家系统的检测规则集合。
4、专家系统组件 IDES基于规则分析组件采用一组规则来评价活动事件（即审计记录流），从而对用户的当前行为是否正常做出评价。是一个基于规则的前向链系统，即系统是由输入到知识库中的事实进行驱动的。 IDES系统采用PBEST专家系统工具来编写检测规则库。