85问答库 > 对于入侵检测，统计异常检测方法和特征选择异常检测方法有什么区别？

对于入侵检测，统计异常检测方法和特征选择异常检测方法有什么区别？

2025-03-02 07:54:26

推荐回答（1个）

回答1：

统计异常检测的方法用的是特征轮廓的异常值加权，而特征选择异常检测方法用的是特征空间构成入侵的子集来判断是否入侵。

统计异常检测方法

统计异常检测方法根据异常检测器观察主体的活动，然后产生描述这些活动的行为的轮廓。每一个轮廓记录用户的当前行为。定时地将当前的轮廓与存储的轮廓合并。通过比较当前的轮廓与存储的轮廓来判断异常行为，从而检测出网络入侵。若以S1，S2，… Sn 分别表示轮廓中变量M1,M2…Mi的异常性测量值，则Si的值越高表示Mi异常性就越大。将各单个异常性值的平方取加权得：

这里ai表示与度量Mi的相关权重。一般而言，变量M1,M2…Mi 不是相互独立的，需要更复杂的函数处理其相关性。异常性测量值仅仅是数字，没有明确的理论依据支持这种处理方式。例如，使用多个独立的异常性变量作为结合的依据，概率计算在理论上是正确的。但是，异常性测量和贝叶斯概率计算之间的关系并不是很清晰的。常见的几种测量类型通常包括：

活动强度测量：描述活动处理速度。通常用作检测突发性行为，而检测不出这种长时期的平均行为效果；
审计记录分布测量：描述最近审计记录中所有活动类型分布状况。如特定的用户在整个系统使用中文件访问和I/O活动分布；
类型测量：描述特定的活动在各种类型中的分布状况。如在系统中，从各个物理位置来的远程登录相关频度，每个邮件发送者、编译器、shell、编辑器的相关使用；
顺序测量：描述活动的输出结果，以数字值来表示。如特定的用户CPU和I/O使用总量。

统计异常检测方法的优点是所应用的技术方法在统计学中已经得到很好的研究。例如，位于标准方差两侧的数据可认为是异常的。但统计入侵检测系统有以下几点不足：

统计测量对事件发生的次序不敏感，单纯的统计入侵检测系统可能不会发觉事件当中互相依次相连的入侵行为；
单纯的统计入侵检测系统将逐渐地训练成单一点，要么行为是异常的，要么是正常的。入侵者如果知道他被这样的异常检测器监视，他可以诱导这个系统，使得那些大部分依靠行为统计测量的入侵检测方案对监视的特定的事件模式失效；
异常阀值难以确定，阀值设置偏低或偏高均会导致误报警事件；运用统计技术对异常作形式化处理要假定数据来源稳定并具有相似性，但是这种假定并不总是满足。

特征选择异常检测方法

特征选择异常检测方法是通过从一组度量中挑选能检测出入侵的度量构成子集来准确地预测或分类已检测到的入侵。判断符合实际的度量是复杂的，因为合适地选择度量子集依赖于检测到的入侵类型，一个度量集对所有的各种各样的入侵类型不可能是足够的。预先确定特定的度量来检测入侵可能会错过单独的特别的环境下的入侵。最理想的检测入侵度量集必须动态地决策判断以获得最好的效果。假设与入侵潜在相关的度量有n 个,则这n个度量构成的子集数是2^n 个 。由于搜索空间同度量数是指数关系，所以穷尽搜索最理想的度量子集的开销不是很有效的。Maccabe提出遗传方法来搜索整个度量子空间以寻找正确的度量子集。其方法是使用学习分类器方法生成遗传交叉算子和基因突变算子,除去降低预测入侵的度量子集，而采用遗传算子产生更强的度量子集取代。这种方法采用与较高的预测度量子集相结合，允许搜索的空间大小比其它的启发式搜索技术更有效。

如何让婴儿养成良好的睡眠习惯？

电脑系统时间改了软件时间咋改

春联五个字

一台定子绕组为三角形接法的三相绕线异步电动机空载运行时,有一相突然断电,电

什么工作性质的人容易有肝囊肿，肾囊肿？

工地临时用电应该注意点什么？

照片里的三个妹子什么性格？

尘埃2进不去，没有找到xlive.dll?

跪求化工原理第四版王志魁课后习题答案