资源描述：
《tcm-knn网络异常检测算法优化研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、第7期李洋等：TCM-KNN网络异常检测算法优化研究·19·TCM-KNN网络异常检测算法优化研究李洋1,2，郭莉1，陆天波3，田志宏1（1.中国科学院计算技术研究所，北京100190；2.中国科学院研究生院，北京100039；3．国家计算机网络应急技术处理协调中心，北京100029）摘要：基于TCM-KNN（transductiveconfidencemachineforK-nearestneighbors）网络异常检测方法，采用过滤器模式的特征选择方法和基于聚类的样本选择方法分别从精简异常检测的特征空间以及选择使用少量高质量的训练样本进
2、行训练，从而高效地对网络异常进行检测。基于著名的KDDCup1999数据集的实验表明：这2种优化方法在保证TCM-KNN异常检测算法高检测率和低误报率的前提下，极大地减少了该算法的训练开销和检测开销，因而该轻量级检测方法适用于现实的网络应用环境。关键词：网络安全；异常检测；TCM-KNN算法；特征选择；样本选择中图分类号：TP309文献标识码：A文章编号：1000-436X(2009)07-0013-07ResearchonperformanceoptimizationsforTCM-KNNnetworkanomalydetectional
3、gorithmLIYang1,2,GUOLi1,LUTian-bo3,TIANZhi-hong1(1.InstituteofComputingTechnology,ChineseAcademyofSciences,Beijing100190,China;2.GraduateSchoolofChineseAcademyofSciences,Beijing100039,China;3.NationalComputerNetworkEmergencyResponseTechnicalTeam/CoordinationCenterofChina,B
4、eijing100029,China)Abstract:BasedonTCM-KNN(transductiveconfidencemachineforK-nearestneighbors)algorithm,thefilter-basedfeatureselectionandcluster-basedinstanceselectionmethodswereusedtowardsoptimizingitasalightweightnetworkanomalydetectionscheme,whichnotonlyreduceditscompl
5、exfeaturespace,butalsoacquiredhighqualityinstancesfortraining.AseriesofexperimentalresultsdemonstratethetwomethodsforoptimizationsareactuallyeffectiveingreatlyreducingthecomputationalcostswhileensuringhighdetectionperformancesforTCM-KNNalgorithm.Therefore,thetwomethodsmake
6、TCM-KNNbeagoodschemeforalightweightnetworkanomalydetectioninpractice.Keywords:networksecurity;anomalydetection;TCM-KNNalgorithm;featureselection;instanceselection第7期李洋等：TCM-KNN网络异常检测算法优化研究·19·1引言收稿日期：2008-06-21；修回日期：2009-05-11基金项目：国家重点基础研究发展计划（“973”计划）基金资助项目（2007CB311100）；
7、国家自然科学基金资助项目（6070302）FoundationItems:TheNationalBasicResearchProgramofChina(973Program)(2007CB311100);TheNationalNaturalScienceFoundationofChina(6070302)入侵检测系统是网络安全防御体系的一个重要组成部分，而异常检测方法是入侵检测中非常重要的一个分支[1]，也是当前网络信息安全领域研究的热点和难点。该方法的基本思想是事先建立一个对应“正常活动”第7期李洋等：TCM-KNN网络异常检测算法优化研
8、究·19·的系统或用户的正常轮廓，检测入侵活动时，异常检测程序产生当前的活动轮廓并同正常轮廓比较，当活动轮廓与正常轮廓发生显著偏离时即认为是入侵，从而触发相应机制。相对于误用检测
