基于特征选择的入侵检测方法

本文提出了一种基于特征选择的超球面支持向量机方法,并将其应用于入侵检测中,有效地去除冗余属性。该方法通过特征选择方法找出最优特征手集,交由超球面支持向量机进行训练,最终生成分类模型。

21 0 2年第 4期

福建电

脑

8 9

基于特征选择的入侵检测方法 刘永芬 (福建农林大学金山学院信息与机电工程系福建福州 3 0 0 5 0 1)

【要】摘：本文提出了一种基于特征选择的超球面支持向量机方法，并将其应用于入侵检测中，有效地去除冗余属性。该方法通过特征选择方法找出最优特征手集.‘交由超球面支持向量 .

机进行训练，终生成分类模型。最

【关键词】网络安全；:入侵检测；征选择；特支持向量机 1特征选择方法、/ 22C is ur算法 . h- q ae

特征选择是从一组特征集 f含特征数量为包卡方统计 (h— q ae特征选择方法[用来 C isu r) 1 1是 m中挑选出一些最有效的特征特征子集 f含特衡量特征和类别之间的统计相关性 .值越高说明 )包

征数量为d )以达到降低特征空间维度的目的 .即该特征与类别的相关性越强 .对区分类别的贡献建立一个从高维特征空问到低维特征空间的映射度越大。它的基本无效假设是H:性P 0属与类别无 H1属与类别有关联。C isu r通过设 h-q ae特征选择时需要解决关联，:性P定观察值对连续型属性进行离散化并放人所属区两个问题。即找出较好的特征选择搜索算法和选 f R其 q d m。在进行： R…￣< 。

择特征的评价标准

间，设观察值为 0,假 .然后计算卡方统计量： 5

选择一个最优的特征子集 .有两种不同的方法：一种是根据给定普遍的评价标准对特征子集

进行评估。另一种是采用最终的分类器算法的分是 A在第 i区间的第 i类中的个个类错误率或正确率来评估特征子集。第一种称为其中C类别个数， E是A的期望值满足下式： R*/其 E; N, C过滤方法f e)因为它是要在学习开始之前生成样本数， i mt, r R是第 i区间的样本数，第 i类的样本个 C在个最优特征子集 .二种称为封装方法 (rp e)第 w a pr方中， 法，因为学习方法被包含在特征选择过程中 2评估标准、 21I算法 . G

数，表示样本总数。然X是非负的，且只有在 N显 z

并 Ai 才为0 ;E时=。X的值越大，假设成立的可能性零越小，于足够大的X,们能够舍弃零假设 .对 z我并

与类别有关联 .对于不同的置信度水信息增益 ( f m t nG i, 1征选择方法认为属性 P I o ao a I特 nr i nG z对每个属性计算其信息增益。某个属性的信息增平，舍弃零假设的X零界值也不同。基于这个原计并 益越大，其包含的信息量越大 .即具有较高的区分理，算属性对类别的卡方统计量，进行排序。 最后选取最优特征子集 23C S法 . F算 对于一个包含S样本的训练集S个 .类别数为相关性特征选择 ro e t n b sdF a r C r l i— ae et e rao u m,且训练集的类 I含 S样本，么对一个给并包：个那 S lc o ) F算法闭主要思想是通过搜索算法 e t n￣C S ei其定对象进行分类所需要的信息量： 生成特征子集 .并根据相关性公式计算出特征子集的关联程度，估关联性的的公式如下：评 度。 Ⅲ t n -

I,&一 l() (s,)∑÷o÷ s2 s= l, g i =I

一

个特征 F值{,,,)训练集分为 v子集的 f 2 f将 1… v f个 :一

(,…, )中S值为￡ SS S, 其 i是值对应的子集，￣含 . g RS类别i样本数为s,征F的 .特 i的熵：

￣

J+( 1 k k— k) 。

) 喜

…

其中，表示特征子集，表示该特征子集的关 s r联性评估，为s k的所包含的特征数目，为类别与 特征之间的平均关联程度，为特征间的平均关

特征F的信息增益为： a ()I: s一 () G i F= (,, m EF。 n ss…, )

第1页