基于決策樹(shù)分類的網(wǎng)絡(luò)異常流檢測(cè)與過(guò)濾.pdf

1、快速發(fā)展的計(jì)算機(jī)網(wǎng)絡(luò)在給人們帶來(lái)便利的同時(shí)，也因?yàn)楦鞣N各樣異常流的出現(xiàn)，給人們帶來(lái)安全上的困擾。而當(dāng)前針對(duì)網(wǎng)絡(luò)異常流的各種檢測(cè)系統(tǒng)都或多或少存在瑕疵，如最常見(jiàn)的入侵檢測(cè)系統(tǒng)(IDS)。市場(chǎng)化的IDS由于缺乏自學(xué)習(xí)的能力，開(kāi)發(fā)和維護(hù)人員不得不實(shí)時(shí)的更新系統(tǒng)的病毒庫(kù)，才能使系統(tǒng)正常的工作。
　　隨著近幾年機(jī)器學(xué)習(xí)和數(shù)據(jù)挖掘的出現(xiàn)，網(wǎng)絡(luò)異常流的檢測(cè)出現(xiàn)了新的思路和方法。網(wǎng)絡(luò)異常流的攻擊特性，使得其在流量特征上必然與正常網(wǎng)絡(luò)流存在或多或少

2、的差異，而這些差異可以使用機(jī)器學(xué)習(xí)挖掘出來(lái)的模式和規(guī)則來(lái)表示。
　　當(dāng)前各種使用機(jī)器學(xué)習(xí)進(jìn)行的異常流檢測(cè)研究和實(shí)驗(yàn)不斷出現(xiàn)，而且大都取得了良好的效果。但由于網(wǎng)絡(luò)異常流的復(fù)雜性和多樣性，這些研究和實(shí)驗(yàn)仍然存在諸多問(wèn)題；比如一些實(shí)驗(yàn)需要大量的訓(xùn)練樣本才能有效；而另一些實(shí)驗(yàn)仍然存在很高的漏報(bào)率或誤報(bào)率；因此對(duì)基于機(jī)器學(xué)習(xí)的異常流檢測(cè)方法的研究仍然有很長(zhǎng)的路要走。
　　本論文通過(guò)對(duì)決策樹(shù)分類算法、隨機(jī)森林和AdaBoost分類算法進(jìn)

3、行深入的研究；在AdaBoost算法的基礎(chǔ)上通過(guò)引入隨機(jī)森林的多決策樹(shù)投票機(jī)制，提出了以C4.5決策樹(shù)為核心的基于AdaBoost強(qiáng)分類器群(簡(jiǎn)稱AdaBoosts)的網(wǎng)絡(luò)異常流檢測(cè)算法。該算法通過(guò)訓(xùn)練得到一個(gè)AdaBoosts；使用該AdaBoosts對(duì)網(wǎng)絡(luò)流進(jìn)行分類檢測(cè)，然后使用多數(shù)投票機(jī)制從檢測(cè)結(jié)果中判斷出網(wǎng)絡(luò)流的異常情況。論文使用C4.5算法構(gòu)造弱決策樹(shù)，由弱決策樹(shù)加權(quán)組合得到單個(gè)AdaBoost。為了減少AdaBoost之間的

4、關(guān)聯(lián)度，本論文通過(guò)引入四個(gè)隨機(jī)性原則對(duì)原始樣本集合和屬性集合進(jìn)行處理，得到每一個(gè)AdaBoost對(duì)應(yīng)的樣本子集和屬性子集。為了驗(yàn)證算法的有效性，論文設(shè)計(jì)并實(shí)現(xiàn)了異常流檢測(cè)的原型系統(tǒng)，系統(tǒng)首先通過(guò)OPNET平臺(tái)實(shí)現(xiàn)了網(wǎng)絡(luò)流屬性數(shù)據(jù)的提取，然后使用AdaBoosts算法實(shí)現(xiàn)了異常流的檢測(cè)。本論文使用wireshark抓取網(wǎng)絡(luò)流作為部分實(shí)驗(yàn)數(shù)據(jù)，其他實(shí)驗(yàn)數(shù)據(jù)還包括KDD數(shù)據(jù)集和DARPA數(shù)據(jù)包，論文最后通過(guò)這些實(shí)驗(yàn)數(shù)據(jù)對(duì)系統(tǒng)進(jìn)行了測(cè)試，通過(guò)測(cè)