入侵检测是网络安全研究的热点领域,它是防范主机和网络攻击的一种有效措施。它的使用弥补了传统防火墙技术、签名认证技术和访问控制技术在安全防护上的不足。传统的入侵检测技术是通过人为构造的规则库来对数据进行甄别,其工作量繁杂而且检测率也不高。机器学习的出现为入侵检测提供了一种新的解决方案,入侵检测问题可通过机器学习中的分类问题来解决,通过使用入侵检测训练集来构建专门的分类模型,然后利用这个分类模型对新来的数据进行判断分类。但在入侵检测模型的构建中也存在着一些问题,入侵检测的训练集中不同类别的数据样本分布不平衡,以此建好的模型难以对少数类样本进行准确的分类。另外,入侵检测中数据的特征维度比较高,存在着冗余,影响模型分类的准确率和效率。所以针对这些问题,本文的主要研究内容如下:(1)对入侵检测基准数据集KDDcup99进行了去除冗余数据的处理,大幅减小了数据的规模,缩短了不同类别间样本的数量差距。然后在此基础上,对样本中每个特征的取值做了详细的统计分析,找出那些取固定值比例超过99.9%的特征,并对它们剩余的0.01%的取值在不同类别间的分布进行具体分析,找出影响度较小的那些特征,在模型构建前剔除掉了原始训练集中的5个特征,为下面特征选择中特征相关度之间的计算减轻了负担,同时还对文中使用到的基础分类器的超参数进行了网格搜索,寻到了效果相对较佳的那些参数组合。(2)设计了一种基于互信息和萤火虫算法的特征选择算法,该算法首先在尽可能减少特征间信息冗余的情况下,计算出每个特征和类别标签之间的互信息,并按互信息的大小对特征进行重要程度的排序。然后使用萤火虫算法在原始的特征空间中搜索最佳的特征子集,并按照特征的重要程度对每次迭代中的最佳特征进行增加和减少,最后,通过交集和筛选的策略对互信息和萤火虫算法得到的两个子集进行合并得到最终的特征子集。实验结果表明了本文提出的特征选择方法对模型的分类效果带来了提升。(3)设计了一种基于集成学习的入侵检测算法,该算法采用两种不同的集成学习方法来解决入侵检测中数据的不平衡问题。一种是基于限制性随机采样和特征选择的Bagging集成方法,使用决策树作为基础分类器,为保证基础模型的多样性和不同类别间数据的平衡,提出了限制性的随机采样策略来抽取训练子集。同时,对每个基础分类器所使用到的特征子集也采取了基于最佳特征子集情况下的半随机策略。另一种是基于改进的聚类欠采样的Stacking集成方法,这里主要是对原有的基于聚类的欠采样技术进行改进,在尽量保证每个类别原始数据分布的情况下减少多数类中的数据量。实验结果表明了上面提出的两个集成学习方法让少数类的分类准确度得到了提升。