买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

申请/专利权人：金祺创(北京)技术有限公司

摘要：本发明提供一种基于隐马尔科夫模型的网络攻击入侵检测方法及系统，涉及网络安全技术领域，方法包括：引入平均轮廓系数对获取的网络样本数据集进行聚类，获取网络样本类别数量，计算网络样本数据集的信息熵；建立多尺度隐马尔科夫模型；设置多尺度隐马尔科夫模型的网络状态转移概率的动态更新规则；以网络观测概率最大为目标，结合极大似然估计算法将网络样本数据集作为训练数据对隐马尔科夫模型进行训练；获取实时网络观测数据；将实时网络观测数据输入至训练后的隐马尔科夫模型，获取实时网络隐藏状态；在实时网络隐藏状态为异常网络状态或者受攻击网络状态的情况下，发出警报。提升网络攻击入侵检测的准确性和效率。

主权项：1.一种基于隐马尔科夫模型的网络攻击入侵检测方法，其特征在于，包括：S1：获取网络样本数据集；S2：引入平均轮廓系数对所述网络样本数据集进行聚类，获取网络样本类别数量，确定各个网络样本类别对应数据的出现概率；S3：基于所述样本类别数量和所述出现概率，计算所述网络样本数据集的信息熵；S4：建立长时间尺度隐马尔科夫模型和短时间尺度隐马尔科夫模型，并将所述长时间尺度隐马尔科夫模型和短时间尺度隐马尔科夫模型进行联合建模，得到包括网络状态五元组的多尺度隐马尔科夫模型，其中，所述网络状态五元组包括网络隐藏状态、网络观测状态、初始状态概率、网络状态转移概率和网络观测概率，其中，所述网络隐藏状态包括正常网络状态、异常网络状态和受攻击网络状态；S5：以弥补所述网络状态转移概率的非均匀性为目标，设置所述多尺度隐马尔科夫模型的网络状态转移概率的动态更新规则；S6：在所述信息熵的值大于预设信息熵的情况下，以所述网络观测概率最大为目标，结合极大似然估计算法将所述网络样本数据集作为训练数据对所述隐马尔科夫模型进行训练；S7：获取实时网络观测数据；S8：将所述实时网络观测数据输入至训练后的隐马尔科夫模型，获取实时网络隐藏状态；S9：在所述实时网络隐藏状态为异常网络状态或者受攻击网络状态的情况下，发出警报；其中，通过改进OPTICS算法对所述网络样本数据集进行聚类，获取网络样本类别数量，确定各个网络样本类别的出现概率，所述S2具体包括：S201：将所述网络样本数据集中的数据进行向量化；S202：选择向量化后的网络样本数据集的最小样本数量和邻域阈值；S203：将所述网络样本数据集中任一样本点作为目标样本点，计算所述目标样本点的核心距离，其中，所述核心距离为满足最小样本数量的最小距离： 其中，coredistancep表示目标样本点p的核心距离，N∈p表示目标样本点p的∈邻域，|N∈p|表示目标样本点在所述邻域阈值∈内的样本点数量，MinPts表示所述最小样本数量，distancep,q表示目标样本点p和第MinPts个直接邻居点q之间的距离，r表示距离阶数，undefines表示目标样本点的核心距离未确定，n表示特征维数，pi、qMinPts,i分别表示目标样本点p和其第MinPts个直接邻居样本点q在第i个维度上的特征值；S204：计算所述目标样本点的直接邻居点和所述目标样本点的可达距离，其中，所述可达距离为所述目标样本点的直接邻居点和所述目标样本点的距离与所述核心距离二者之间的最大值，其中，所述直接邻居点为位于所述目标样本点的邻域距离内的样本点：distancereachabilityp,q＝maxcoredistanceq,distancep,q其中，distancereachabilityp,q表示所述可达距离，max表示取最大值；S205：随机选取所述网络样本数据集中的一个样本点作为目标样本点，计算所述目标样本点的可达距离，将所述目标样本点和所述目标样本点的可达距离加入到有序列表；S206：计算所述目标样本点的所有直接邻居点的可达距离，对可达距离小于所述目标样本点的可达距离的直接邻居点进行更新，并将更新后的直接邻居点和直接邻居点的可达距离加入到所述有序列表；S207：重复S205-S206，直至所述网络样本数据集中所有的样本点被处理；S208：将所述有序列表中可达距离小于预设可达距离的样本点作为一个聚类簇移出，并修改所述预设可达距离，直至所述有序列表为空；S209：统计聚类簇数量即所述样本类别数量和每个聚类簇中的样本点数量，计算每个聚类簇的出现概率即各个网络样本类别的出现概率： 其中，Pi表示第i个聚类簇的出现概率，ni表示第i个聚类簇中的样本数量，N表示所述网络样本数据中的总样本数量；其中，在所述S208之后还包括：S208A：计算每个聚类后每个样本点的轮廓系数均值，并将所述轮廓系数均值作为选择的最小样本数量和邻域阈值的轮廓系数： 其中，si表示轮廓系数均值，ai表示簇内平均距离，bi表示簇间平均距离，max{}表示取最大值；S208B：以所述轮廓系数最大为目标对选择的最小样本数量和邻域阈值进行寻优；S208C：将寻优结果即选择的最小样本数量和邻域阈值作为最优最小样本数量和最优邻域阈值。

全文数据：

权利要求：

百度查询： 金祺创(北京)技术有限公司 一种基于隐马尔科夫模型的网络攻击入侵检测方法及系统