张 昭，张润莲＋，蒋晓鸽，曾 兵

（1.桂林电子科技大学信息与通信学院，广西桂林541004；2.保密通信重点实验室，四川成都610041）

0 引 言

入侵检测作为一种主动防御技术，可以有效地检测和阻断网络攻击。入侵检测系统按技术实现可分为误用检测和异常检测。异常检测因为可以检测新型的未知攻击行为，成为了研究的热点。

异常检测常用的方法有神经网络、决策树、聚类分析、贝 叶 斯 理 论、 支 持 向 量 机 （support vector machine，SVM）、K临近值算法等。其中，支持向量机［1］将基于结构风险化最小原则运用到异常检测中提高检测性能，具有较高的泛化能力和分类准确率。支持向量机也存在一些不足，一方面，其所需要的参与模型训练的标记数据较难获得；另一方面，其分类时采用的核函数的选取以及核函数的参数优化是一个较难解决的问题。针对上述问题，文献 ［2］通过对比分析几种特征去除方法，提出逐步特征剔除方法，以获得较高的检测率。文献 ［3］提出一种自动标记方法用于基于支持向量机的网络流量异常检测，通过剔除已知的入侵数据，构造不平衡数据集，提高对新型异常的检测能力。文献 ［4］提出一种基于Fisher分的特征提取算法，在保持分类精度不变情况下，降低训练时间和测试时间。文献 ［5］采用一种基于数据不一致率的快速特征提取算法，有效消除数据冗余，提高检测效率。

本文提出一种基于分类模型分类准确率计算的特征选择和支持向量机相结合的异常检测方法。该方法通过测试网络数据的每个特征对支持向量机分类模型的分类准确率，选取出分类准确率高的最优特征组合；……