张燕，杜红乐，李楠

基于密度均衡的网络入侵检测

张燕，杜红乐，李楠

针对网络入侵检测中数据集的不均衡性和异构性，提出了一种基于密度均衡的网络入侵检测算法，利用异构距离计算类密度，依据类密度之间的关系把多数类数据集划分为多个子集；然后依据每个子集密度与少数类密度之间的关系动态计算重取样后样本数目，利用K-means聚类算法对每个子类进行重取样，实现数据集的均衡化处理。最后在KDDCUP99数据集上进行仿真实验，实验结果表明，该算法提高支持向量机对少数类的分类性能，同时提高运行效率。

支持向量机；不均衡数据；欠取样；K-均值聚类

0 引言

入侵检测被看作网络安全的第二道防线，依据采用的方法把入侵检测分为：误用检测和异常检测。误用检测需要建立入侵者的行为模式，采用模式匹配法进行检测，该方法适用于已知攻击类型；异常检测需要建立用户的正常行为模式，判断是否偏离正常模式为依据进行入侵检测，该方法适用于未知入侵检测。两种方法都需要为用户行为建立模式，都可以用分类的方法区分用户行为。由于入侵者的行为数据难于收集，且不同入侵者行为数据也不尽相同，因此异常检测受到更多的关注，支持向量机由于在解决小样本、非线性、高维模式识别问题中表现出特有的优势，也被许多专家学者应用到网络入侵检测中[1-4]。

由于入侵行为数据难于收集，样本数量较少，而正常行为数据容易收集，样本数量较多，即入侵检测数据属于不均衡数据。……