入侵检测方法及系统

摘要

本发明公开了一种入侵检测方法及系统，通过图划分方法对测试样本集合进行聚类分析，然后利用训练样本集合来确定对测试样本集合进行聚类分析而得到的聚簇的行为类别，从而实现了对测试样本集合的行为类别的确定。由于对测试样本集合的行为类别的确定过程并不完全依赖于训练样本集合所包含的训练样本所属的行为类别，因此采用本发明实施例提供的方案能够发现新的行为类别。

主权项

一种入侵检测方法，其特征在于，包括：入侵检测系统获得输入的入侵检测数据集合，其中，所述入侵检测数据集合由训练样本集合和测试样本集合构成，所述训练样本集合由分别对应于不同行为类别的训练样本簇构成，所述测试样本集合由待检测样本构成；基于图划分方法，确定所述测试样本集合所包含的由待检测样本构成的各个聚簇；针对每个所述聚簇，执行下述操作：确定用于表征该聚簇与不同训练样本簇之间的相对互连程度的各相对互连度值和用于表征该聚簇与不同训练样本簇之间的相对紧密程度的各相对紧密度值；入侵检测系统根据所述训练样本集合，确定相对互连度阈值和相对紧密度阈值；比较总个数和数目；并在比较得到所述总个数不大于所述数目时，分别确定各训练样本簇和该聚簇之间的相对互连度值和相应的相对紧密度值的乘积，并根据最大的所述乘积对应的训练样本簇的行为类别确定该聚簇的行为类别是否为入侵行为类别；在比较得到所述总个数大于所述数目时，判断是否存在满足预定判决条件的训练样本簇；在判断结果为是时，根据满足所述条件的训练样本簇的行为类别确定该聚簇的行为类别是否为入侵行为类别；在判断结果为否时，确定该聚簇的行为类别为不同于任意所述训练样本簇所属行为类别的新的行为类别；其中，所述预定判决条件包括：训练样本簇与该聚簇之间的相对互连度值和相对紧密度值分别不小于所述相对互连度阈值和所述相对紧密度阈值。