基于ONE-ESVM的入侵检测系统

胡希文，彭艳兵

（1.武汉邮电科学研究院，湖北武汉 430070；2.南京烽火天地通信科技有限公司，江苏南京 210019）

本世纪以来，随着网络技术的高速发展和网络规模的持续扩大，蠕虫和间谍软件等零日网络攻击变得越来越普遍与危险[1]。而现有的基于规则匹配的入侵检测机制常常由于其过于死板而不足以检测到这些攻击。因此，研究者们开发了基于异常检测的入侵检测方法来应对这类可以快速变异的攻击。

在各种入侵检测方法中，文献[2]研究了基于统计学方法的入侵检测，文献[3]的研究侧重于异常检测的理论措施，它主要研究了异常检测中的信息理论，如熵、条件熵、相对条件熵、信息增益等。文献[4]主要研究了基于基础机器学习算法如K-means 与KNN的入侵检测。

文中研究的主要是基于SVM的入侵检测方法。软间隔支持向量机由Cortes 提出，所以经常被称为C-SVM，它在分类问题中通常有很好的性能[5]。然而，软间隔支持向量机并不太适合用于检测网络流量中的新攻击，因为在监督学习过程中需要预先获取新攻击的特征信息，需要人为将这些流量数据分为正常流量和攻击流量，并分别贴上标签，导致了系统额外的时间和成本开销。因此，在入侵检测系统中可以考虑使用无监督学习的方法来进行异常检测。在SVM 家族里，适合这一场景的是单类支持向量机(One-class SVM)，它属于无监督学习算法。然而，在实际使用过程中，单类支持向量机有着假阳性率高的问题[6]，用其进行分类过后的数据，往往还需要进行第二次过滤才能有较好的效果，这无疑增加了系统的操作难度与复杂性。……