网络的大力发展不仅方便了人民的生活,但是也带来了许多安全问题:从入侵个人计算机窥探个人隐私、泄露个人信息,到攻击企业网络服务系统、造成系统瘫痪、危害社会经济活动。因此亟需有效的网络安全防御手段来适应黑客技术日渐猖獗的今天。近年来,随着计算力的大幅度提升,机器学习在网络入侵检测领域得到了充足的发展,相比传统的网络安全防御技术,具有智能化、灵活化的优点,尤其是集成学习的提出,更是解决了单一算法泛化能力不足的问题。本文的内容包括:(1)阐述了网络入侵检测的研究背景和意义,分析了当前网络发展态势和国内外网络入侵检测研究现状。(2)归纳总结了基本的网络入侵检测手段和基础的机器学习知识。(3)针对网络入侵检测应用场景的不均衡数据分类问题,对少数类样本如U2R和R2L类型数据检测率低下的问题提出了 KIBSMOTE算法,通过人工合成少数类样本,增强少数类样本决策边界,并且在K-Means聚类簇内欠采样多数类样本得到正类和负类数量均衡的数据集训练学习器,设计了对比实验进行相应的指标分析。(4)针对单一机器学习算法总体检测率不高,虚警率较高的问题,提出了基于集成学习的网络入侵检测框架,训练多个学习器,充分学习数据集样本信息,通过有效的方法将多个学习器组合,并且设计了实验与同领域内的研究对比。本文的创新之处在于:(1)提出了 KIBSMOTE算法。该算法采用了过采样和欠采样技术获得平衡数据集,改进了 SMOTE算法,并且融合了 K-Means算法:首先,利用边界少数类样本点及其近邻样本点人工合成少数类样本点,增加边界少数类样本点的数量,改进了SMOTE算法合成少数类的方法,使得合成的少数类样本均匀的分布在决策边界上;此外,利用K-Means算法在聚类簇中欠采样多数类样本点,使得数据稀疏区域的样本点也能被采样到。通过实验证明,KIBSMOTE算法可以有效提高算法在U2R和R2L上的检测率。(2)提出了一种新的网络入侵检测集成学习框架。首先,该框架采用了 Boosting方式的基学习器训练方式,初始为每一个训练集样本点赋予相同的抽样权重,根据每次分类正确与否,降低或提高该样本点的抽样权重,最后根据每个学习器的误差设置该学习器的投票权重;其次,该框架将每种类型数据的检测模块化,每个检测模块对应一个二分类问题,并且在U2R、R2L检测模块采用了 KIBSMOTE算法。通过实验证明,网络入侵检测集成学习框架比单一分类器具有更好的效果。