基于DT 及PCA 的DNN 入侵检测模型

武晓栋，刘敬浩，金 杰，毛思平

天津大学 电气自动化与信息工程学院，天津 300072

通信系统与网络入口时时刻刻都面临着来自于外部甚至于其系统内部的网络攻击，且不似网络未成熟时期的单一攻击，如今的绝大多数入侵行为种类多样并且呈混合态势发展，防御起来愈发困难。据相关文献，雅虎数据泄露造成了3.5 亿美元的损失，比特币泄露导致了大约7 000 万美元的损失[1]。基于入侵行为，入侵检测可分为基于网络的入侵检测系统（network based intrusion detection system，NIDS）和基于主机的入侵检测系统（host based intrusion detection system，HIDS）[2]。HIDS 通过查看在本地主机上生成的各种日志文件、磁盘资源信息以及系统信息等来检测入侵行为，而NIDS 通过检测出入本地的网络数据流中的数据包来判断是否有入侵行为。机器学习作为近几年非常热门的一种算法工具，理所应当的有专家学者尝试其在入侵检测方面的应用[3]。尤其是近几年，机器学习在入侵检测方面的应用大范围地出现在人们的视野中，从支持向量机（support vector machine，SVM）到神经网络（neural networks，NN）再到随机森林（random forest，RF）都有其在入侵检测中的应用。

1 相关研究

机器学习在入侵检测方面的应用早有先例。2003 年Kruegel 等人[4]将决策树（decision tree，DT）应用到入侵检测中去，相较于当时的Snort 检测引擎[5]能够实现更加迅速的检测速度；2004 年陈光英等人提出了特征选择与SVM 训练模型的联合优化方法，并用入侵检测数据集进行了实验，结果证明联合优化方法能更好地提高SVM 性能,并且有更快的收敛速度，这是国内比较早的一篇利用了机器学习方法的入侵检测相关文献[6]。……