陳 虹，王 飛，肖振久，2，孫麗娜

1.遼寧工程技術(shù)大學(xué) 軟件學(xué)院，遼寧 葫蘆島 125105

2.中國(guó)傳媒大學(xué) 計(jì)算機(jī)學(xué)院，北京 100024

基于IHS_LSSVR的網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)方法

陳 虹1，王 飛1，肖振久1，2，孫麗娜1

1.遼寧工程技術(shù)大學(xué) 軟件學(xué)院，遼寧 葫蘆島 125105

2.中國(guó)傳媒大學(xué) 計(jì)算機(jī)學(xué)院，北京 100024

1 引言

隨著互聯(lián)網(wǎng)絡(luò)的迅速發(fā)展，網(wǎng)絡(luò)安全問題變得越來越嚴(yán)重，網(wǎng)絡(luò)安全主動(dòng)防御策略也成為當(dāng)前網(wǎng)絡(luò)安全領(lǐng)域的研究熱點(diǎn)之一[1]。文獻(xiàn)[2]中Songmei Zhang等提出一種基于信息融合的網(wǎng)絡(luò)安全態(tài)勢(shì)分析框架，力圖重現(xiàn)網(wǎng)絡(luò)遭受攻擊的過程，文獻(xiàn)[3]中Rongrong Xi等提出一種綜合網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)，從多個(gè)角度實(shí)現(xiàn)了網(wǎng)絡(luò)安全態(tài)勢(shì)的可視化。但文獻(xiàn)[1-2]都沒能實(shí)現(xiàn)網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)。

文獻(xiàn)[4]中孟錦等提出基于HHGA-RBF神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)模型；文獻(xiàn)[5]中尤馬彥等提出基于Elman神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)方法；文獻(xiàn)[6]中王晉東等提出使用馬爾可夫鏈結(jié)合灰色理論構(gòu)造預(yù)測(cè)模型，文獻(xiàn)[7]中韋勇等提出利用ARMA模型對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)值進(jìn)行預(yù)測(cè)分析。但這些方法都存在著不足之處：文獻(xiàn)[4-5]采用的神經(jīng)網(wǎng)絡(luò)方法具有結(jié)構(gòu)難以確定和易陷入局部最優(yōu)的缺點(diǎn)；文獻(xiàn)[6]中提出的數(shù)學(xué)模型在實(shí)際應(yīng)用中難以建立，而且需要大量復(fù)雜數(shù)學(xué)推理過程；文獻(xiàn)[7]中提出的方法需要較多的人工操作，步驟頗為復(fù)雜。

最小二乘支持向量機(jī)[8]是經(jīng)典支持向量機(jī)[9]的改進(jìn)和發(fā)展，采用等式約束代替不等式約束，求解過程變成解一組等式方程，求解速度明顯加快，但其參數(shù)選擇目前仍然是依靠經(jīng)驗(yàn)和試算。和聲算法[10]是新近提出的一種全局優(yōu)化算法，本文對(duì)其進(jìn)行了改進(jìn)，并將改進(jìn)后的和聲搜索算法用于優(yōu)化選取最小二乘支持向量機(jī)的參數(shù)，提出一種IHS_LSSVR算法。最后嘗試將該算法應(yīng)用到網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)中，同時(shí)與已有模型進(jìn)行對(duì)比，仿真實(shí)驗(yàn)表明該方法更具優(yōu)越性。

2 LSSVR回歸算法

設(shè)給定數(shù)據(jù)樣本為{(x1，y1)，(x2，y2)，…，(xn，yn)}，其中xi∈Rm表示輸入向量，yi∈R表示輸出值，n表示數(shù)據(jù)樣本數(shù)目?；貧w預(yù)測(cè)函數(shù)表示如下：

其中，w表示LSSVR超平面的權(quán)重向量，b表示偏置量。

與SVR不同，LSSVR回歸預(yù)測(cè)即是求解如下的最小化問題：

其中，r表示懲罰因子，εi為松弛因子。

引入拉格朗日乘子αi，構(gòu)造如下拉格朗日函數(shù)：

其 中，Iv=[1，…，1]T，I為n×n的單位矩陣，y=[y1，y2，…，yn]，α =[α1，α2，…，αn]，Ω 為方陣，它第 i行 j列的元素為Ωi，j=K(xi，xj)，K(xi，xj) 為滿足 Mercer條件的 核函數(shù)。本文使用高斯核函數(shù)為：

解上述線性方程組（4）可求得回歸函數(shù) f(x)的表達(dá)式為：

3 改進(jìn)的和聲搜索算法

3.1 和聲搜索算法（HS）

HS算法首先隨機(jī)產(chǎn)生HMS（Harmony Memory Size，HMS）個(gè)初始解（和聲）放入和聲記憶庫（Harmony Memory，HM）中，根據(jù)相應(yīng)規(guī)則產(chǎn)生新解，然后判斷新解是否優(yōu)于HM內(nèi)的最差解，若是則替換之，否則保持當(dāng)前HM不變。上述過程不斷重復(fù)，直至滿足終止條件為止。

HS算法過程如下：

步驟1HM的初始化，包括以下兩部分：

（1）初始化算法參數(shù)，包括和聲記憶庫大小HMS，和聲記憶庫考慮概率HMCR，和聲微調(diào)概率PAR，微調(diào)幅度BW和算法迭代次數(shù)NI。

（2）初始化和聲記憶庫，為了使初始和聲庫HS具有一定的均勻分布性，初始和聲矢量 X1，X2，…，XHMS在定義域內(nèi)按照 Xi，j=LBj+r×(UBj-LBj)均勻地產(chǎn)生，其中Xi，j為 Xi的第 j維決定變量，r為[0，1]之間的均勻隨機(jī)數(shù)；UBj和LBj分別為決策變量的上界和下界。

步驟2生成新的和聲?；诳紤]概率、微調(diào)概率和隨機(jī)選擇3個(gè)規(guī)則產(chǎn)生新的和聲矢量。過程描述如下：

步驟3更新和聲記憶庫。令 f(x)表示目標(biāo)函數(shù)，f(x)值越小表示性能越好。如果 f(Xnew)＜f(Xworst)，則Xwors=Xnew，并將HM按照 f(x)的優(yōu)劣重新排序；否則，保持HM不變。

步驟4判斷是否滿足終止條件，若是則算法結(jié)束，否則轉(zhuǎn)到步驟2繼續(xù)執(zhí)行。

3.2 改進(jìn)和聲搜索算法（IHS）

通過對(duì)3.1節(jié)分析可知，和聲記憶庫考慮概率HMCR、和聲微調(diào)概率PAR和微調(diào)幅度BW是和聲搜索算法的3個(gè)關(guān)鍵控制參數(shù)。根據(jù)文獻(xiàn)[11]，HMCR值大有利于算法局部收縮，值小有利于群體多樣性，本文取HMCR值為0.95；PAR值大有利于算法在和聲記憶庫中調(diào)整搜索區(qū)域，值小有利于算法增強(qiáng)局部搜索能力；BW值大有利于算法跳出局部最優(yōu)，值小有利于算法在局部區(qū)域精細(xì)搜索。在基本HS算法中，PAR和BW值在整個(gè)迭代過程中是固定不變的，這嚴(yán)重影響了算法的性能。為了在整個(gè)解空間進(jìn)行有效搜索，并盡可能將搜索重點(diǎn)集中于性能較高的區(qū)域，從而提高算法效率，本文采用動(dòng)態(tài)變化的PAR和BW，即PAR值由小到大變化，BW值由大到小變化。

3.2.1 設(shè)置PAR變化方式

在HS算法搜索初期，采用較小的PAR值有利于算法快速搜尋較好區(qū)域；在HS算法搜索后期，采用較大的PAR值有利于算法跳出局部極值。因此，首先確定PAR值的變化范圍，然后采用從小到大的變化方式。PAR值按式（7）動(dòng)態(tài)變化，如圖1所示。

其中，PARmax和PARmin分別為PAR的上界和下界，iter和NI分別為當(dāng)前和最大迭代次數(shù)。

圖1 PAR值的正弦變化

起始時(shí)PAR為最小值，隨著迭代次數(shù)的增加，PAR值按正弦曲線逐漸增大，當(dāng)?shù)螖?shù)iter趨近于NI時(shí)，PAR趨近于最大值。

3.2.2 設(shè)置BW變化方式

在HS算法搜索初期，采用較大的BW值有利于算法在大范圍內(nèi)探測(cè)；在HS算法搜索后期，采用較小的BW值有利于算法在小范圍內(nèi)精細(xì)搜索。因此，首先確定BW的變化范圍，然后采用從大到小的變化方式。BW 值按式（8）動(dòng)態(tài)變化，如圖2所示。

其中，BWmax和BWmin分別為BW 的上界和下界，iter和NI分別為當(dāng)前和最大迭代次數(shù)。

圖2 BW值的線性變化

起始時(shí)BW為最大值，隨著迭代次數(shù)的增加，BW值按線性方式逐漸減小，當(dāng)?shù)螖?shù)iter趨近于NI時(shí)，BW趨近于最小值。

4 IHS_LSSVR預(yù)測(cè)算法

通過第2章中對(duì)LSSVR的分析可知，需要確定的參數(shù)為懲罰因子r和高斯核函數(shù)的半徑σ。對(duì)于如何獲得LSSVR參數(shù)的最佳值，目前還沒有統(tǒng)一的方法。謝屹鵬等[12]提出用遺傳算法（GA）優(yōu)選LSSVR參數(shù)的方法，這種方法需要人為確定變異因子、交叉因子和選擇因子三個(gè)參數(shù)。為了使LSSVR獲得更好的泛化性能和預(yù)測(cè)精度，本文使用改進(jìn)的HS算法對(duì)LSSVR算法的參數(shù)對(duì)(r，σ)進(jìn)行優(yōu)化選擇，提出一種IHS_LSSVR算法。在IHS_LSSVR算法中，每一個(gè)和聲代表LSSVR的一個(gè)參數(shù)對(duì)(r，σ)，和聲所對(duì)應(yīng)的目標(biāo)函數(shù)值反映了該組參數(shù)下的算法性能，本文選取均方根誤差（RMSE）作為目標(biāo)函數(shù)，其具體形式如下：

其中，n是訓(xùn)練樣本的個(gè)數(shù)；yi是實(shí)際值；是預(yù)測(cè)值；fRMSE是相應(yīng)的目標(biāo)函數(shù)值。

IHS_LSSVR算法步驟如下：

步驟1初始化算法參數(shù)，隨機(jī)生成并初始化和聲庫，其中每個(gè)和聲代表一組參數(shù)(r，σ)。

步驟2基于考慮概率、微調(diào)概率和隨機(jī)選擇3個(gè)規(guī)則產(chǎn)生新的和聲，其中PAR和BW 的值按式（7）和式（8）進(jìn)行動(dòng)態(tài)地變化。

步驟3根據(jù)式（6）和式（9）更新和聲記憶庫，若新解優(yōu)于HM內(nèi)的最差解，則替換之，并將HM內(nèi)各個(gè)解向量重新排序，否則保持當(dāng)前HM不變。

步驟4判斷是否滿足終止條件或達(dá)到預(yù)定的迭代次數(shù)NI，若是則轉(zhuǎn)到步驟5，否則轉(zhuǎn)到步驟2繼續(xù)執(zhí)行。

步驟5輸出和聲庫HM的最優(yōu)解向量，按照式（6）構(gòu)造最優(yōu)的回歸預(yù)測(cè)模型。

5 仿真實(shí)驗(yàn)

5.1 實(shí)驗(yàn)數(shù)據(jù)及其相關(guān)處理

本文實(shí)驗(yàn)數(shù)據(jù)采用Honeynet組織收集的黑客攻擊數(shù)據(jù)[13]。Honeynet組織維護(hù)一個(gè)包含8個(gè)IP地址的局域網(wǎng)絡(luò)，連續(xù)收集記錄了從2000年4月至2001年2月針對(duì)該局域網(wǎng)絡(luò)的所有攻擊信息。由于Honeynet采取隱匿方式連接到互聯(lián)網(wǎng)上，使用防火墻和NIDS按照時(shí)序關(guān)系記錄每一個(gè)網(wǎng)絡(luò)行為信息，對(duì)外不提供任何服務(wù)，且沒有誘使黑客進(jìn)行攻擊，采集到的安全數(shù)據(jù)大幅減少虛警率和漏報(bào)率，能夠真正反映出黑客的攻擊行為模式，所以采用Honeynet數(shù)據(jù)進(jìn)行網(wǎng)絡(luò)安全態(tài)勢(shì)分析是合適的。

采用文獻(xiàn)[14]提出的網(wǎng)絡(luò)安全態(tài)勢(shì)評(píng)估方法來計(jì)算2000年7月5日到2000年12月3日的網(wǎng)絡(luò)安全態(tài)勢(shì)值。這期間的記錄數(shù)據(jù)相對(duì)完整，共得到126個(gè)網(wǎng)絡(luò)安全態(tài)勢(shì)值。為了避免原始數(shù)據(jù)跨度大對(duì)預(yù)測(cè)模型訓(xùn)練造成不良影響，將所獲得的樣本數(shù)據(jù)集歸一化到區(qū)間（0，1）。歸一化公式如下所示：

其中xi與 x分別為歸一化前后的網(wǎng)絡(luò)安全態(tài)勢(shì)值；xmax與xmin分別為歸一化前所有網(wǎng)絡(luò)安全態(tài)勢(shì)值中最大值和最小值；n為網(wǎng)絡(luò)安全態(tài)勢(shì)值個(gè)數(shù)。歸一化后的網(wǎng)絡(luò)安全態(tài)勢(shì)值如圖3所示。

圖3 規(guī)格化后的網(wǎng)絡(luò)安全態(tài)勢(shì)值

5.2 實(shí)驗(yàn)預(yù)測(cè)分析

由于網(wǎng)絡(luò)安全態(tài)勢(shì)值都是一維的時(shí)間序列值，需要重構(gòu)這些值才能得到符合條件的樣本集。重構(gòu)就是確定輸入維數(shù)和輸出維數(shù)的過程，本文設(shè)定輸入維數(shù)為7，輸入維數(shù)為1。對(duì)歸一化后的樣本數(shù)據(jù)集進(jìn)行重構(gòu)，可以構(gòu)造119個(gè)樣本對(duì)，選取前105個(gè)樣本對(duì)作為訓(xùn)練集，后14個(gè)樣本對(duì)作為測(cè)試集。

由文獻(xiàn)[15]可知，r的大致范圍是[1，108]，σ的大致范圍是[0.01，2.0]，這樣可以避免在初始化參數(shù)時(shí)盲目取值。本文所有實(shí)驗(yàn)的環(huán)境為：Windows XP操作系統(tǒng)，matlab7.0平臺(tái)，Core CPU主頻2 000 Hz，RAM為2 048 MB。經(jīng)過反復(fù)實(shí)驗(yàn)，所得最優(yōu)解為：r=83，σ=2.21。

利用所得最優(yōu)參數(shù)建立網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)模型，對(duì)測(cè)試集數(shù)據(jù)進(jìn)行實(shí)驗(yàn)。為了驗(yàn)證本文算法有更好的預(yù)測(cè)精度，采用已有網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)方法（文獻(xiàn)[3]的HHGA-RBFNN預(yù)測(cè)方法，文獻(xiàn)[4]的Elman預(yù)測(cè)方法）進(jìn)行相同的實(shí)驗(yàn)，得到如圖4所示的對(duì)比結(jié)果。

從圖4中可以看出IHS_LSSVR模型的預(yù)測(cè)結(jié)果要優(yōu)于其他兩種方法，下面采用定量分析方法作進(jìn)一步的對(duì)比。

本文采用均方根誤差（RMSE）和平均相對(duì)誤差（MAPE）兩項(xiàng)性能指標(biāo)來評(píng)判預(yù)測(cè)模型的性能。MSE和MAPE值越小，對(duì)應(yīng)模型預(yù)測(cè)性能越好。這三種模型的性能對(duì)比如表1所示。

圖4Elman、HHGA-RBFNN、IHS_LSSVR態(tài)勢(shì)預(yù)測(cè)值

表1 三種模型的性能對(duì)比

從表1中可以看出，IHS_LSSVR預(yù)測(cè)模型的RMSE和MAPE值均小于其他兩種模型的RMSE和MAPE值，表明IHS_LSSVR模型的預(yù)測(cè)性能優(yōu)于其他兩種模型。

6 結(jié)束語

對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)進(jìn)行預(yù)測(cè)是主動(dòng)防御黑客攻擊的一種有效手段，有助于網(wǎng)絡(luò)管理人員把握未來網(wǎng)絡(luò)安全態(tài)勢(shì)的發(fā)展趨勢(shì)，從而提前采取相應(yīng)的網(wǎng)絡(luò)安全措施。本文提出一種基于IHS_LSSVR的網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)方法，將LSSVR嵌入到IHS算法的目標(biāo)函數(shù)計(jì)算過程中，利用IHS算法的全局搜索能力來優(yōu)化選取LSSVR的參數(shù)，在一定程度上提升了LSSVR的學(xué)習(xí)能力和泛化能力。仿真實(shí)驗(yàn)結(jié)果表明，該方法對(duì)于預(yù)測(cè)未來的網(wǎng)絡(luò)安全態(tài)勢(shì)值具有較好的效果。

[1]席榮榮，云曉春，金舒原，等.網(wǎng)絡(luò)安全態(tài)勢(shì)感知研究綜述[J].計(jì)算機(jī)應(yīng)用，2012，32（1）：1-4.

[2]Zhang Songmei，Yao Shan，Ye Xin’en，et al.A network security situation analysis framework based on information fusion[C]//2011 6th IEEE Joint International Information Technology and Artificial Intelligence Conference（ITAIC），2011：326-332.

[3]Xi Rongrong，Jin Shuyuan，Yun Xiaochun，et al.CNSSA：a comprehensive network security situation awareness system[C]//Proceedings of 2011 IEEE 10th International Conference，2011：482-487.

[4]孟錦，馬馳，何加浪，等.基于HHGA-RBF神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)模型[J].計(jì)算機(jī)科學(xué)，2011，38（7）：71-75.

[5]尤馬彥，凌捷，郝彥軍.基于Elman神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)方法[J].計(jì)算機(jī)科學(xué)，2012，39（6）：61-76.

[6]王晉東，沈柳青，王坤，等.網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)及其在智能防護(hù)中的應(yīng)用[J].計(jì)算機(jī)應(yīng)用，2010，30（6）：1480-1488.

[7]韋勇，連一峰，馮國(guó)登.基于信息融合的網(wǎng)絡(luò)安全態(tài)勢(shì)評(píng)估模型[J].計(jì)算機(jī)研究與發(fā)展，2009，46（3）：353-362.

[8]Suykens J A K，Vandewalle J.Least squares support vector machine classifiers[J].Neural Processing Letters，1999，3：293-300.

[9]Wu C H，Wei C C，Su D C，et al.Travel time prediction with support vector regression[C]//Proceedings of IEEE Intelligent Transportation Conference，2003：1438-1442.

[10]Geem Z W，Kim J H，Loganathan G V.A new heuristic optimization algorithm：harmony search[J].Simulation，2001，76（2）：60-68.

[11]Omran M G H，Mahdavi M.Global-best harmony search[J]. Applied Mathematics and Computation，2008，198（2）：643-656.

[12]謝屹鵬，汪西莉.基于GA-LSSVR的渭河水質(zhì)參數(shù)遙感反演研究[J].遙感技術(shù)與應(yīng)用，2010，25（2）：257-262.

[13]Honeynet Project.Know your enemy：statistics[EB/OL]. [2012-10-11].http：//old.honeynet.org/papers/stats.

[14]陳秀真，鄭慶華，管曉宏，等.層次化網(wǎng)絡(luò)安全威脅態(tài)勢(shì)量化評(píng)估方法[J].軟件學(xué)報(bào)，2006，17（4）：885-897.

[15]Ustun B，Melssen W J.Determination of optimal support vector regression parameters by genetic algorithms and simplex optimization[J].Analytical Chimica Acta，2005，544（1/2）：292-305.

CHEN Hong1,WANG Fei1,XIAO Zhenjiu1，2,SUN Lina1

1.School of Software,Liaoning Technical University,Huludao,Liaoning 125105,China
2.School of Computer,Communication University of China,Beijing 100024,China

To address the situation prediction problem in the network security situation awareness,this paper presents a prediction method of network security situation based on the algorithm of IHS_LSSVR.An improved Harmony Search（IHS）algorithm is proposed since the principle of the Harmony Search（HS）algorithm is studied.This method embeds the Least Squares Support Vector machine for Regression（LSSVR）in the process of the objective function calculation of the improved harmony search algorithm,and takes advantage of the global searching ability of the IHS algorithm to optimize the parameters of the LSSVR.To some extent,this enhances the learning ability and generalization ability of the LSSVR.Simulation experiments show that this method has better prediction affection in comparison with other existing prediction methods.

Harmony Search algorithm（HS）;Least Squares Support Vector machine for Regression（LSSVR）;parameters optimization;network security situation prediction

針對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)感知中的態(tài)勢(shì)預(yù)測(cè)問題，提出一種基于IHS_LSSVR的網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)方法。對(duì)和聲搜索算法（HS）的原理進(jìn)行了研究，在該基礎(chǔ)上提出一種改進(jìn)的和聲搜索算法（IHS）。將最小二乘支持向量回歸機(jī)（L-SSVR）嵌入到改進(jìn)的和聲搜索算法（IHS）的目標(biāo)函數(shù)計(jì)算過程中，利用IHS算法的全局搜索能力來優(yōu)化選取LSSV-R的參數(shù)，在一定程度上提升了LSSVR的學(xué)習(xí)能力和泛化能力。仿真實(shí)驗(yàn)表明，通過與已有的其他預(yù)測(cè)方法作對(duì)比，該方法具有更好的預(yù)測(cè)效果。

和聲搜索算法；最小二乘支持向量回歸機(jī)；參數(shù)優(yōu)化；網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)

A

TP393.08；TP18

10.3778/j.issn.1002-8331.1302-0172

CHEN Hong,WANG Fei,XIAO Zhenjiu,et al.Method of network security situation prediction based on IHS_LSSVR. Computer Engineering and Applications,2014,50（23）：91-94.

國(guó)家自然科學(xué)基金（No.61103199）。

陳虹（1967—），女，副教授，研究領(lǐng)域?yàn)榫W(wǎng)絡(luò)安全；王飛（1988—），通訊作者，男，碩士研究生，研究領(lǐng)域?yàn)榫W(wǎng)絡(luò)安全；肖振久（1968—），男，副教授，研究領(lǐng)域?yàn)榫W(wǎng)絡(luò)與信息安全；孫麗娜（1982—），女，博士研究生，講師，研究領(lǐng)域?yàn)樾畔踩涂尚庞?jì)算。E-mail：china_wangfei@163.com

2013-02-26

2013-04-24

1002-8331（2014）23-0091-04

CNKI網(wǎng)絡(luò)優(yōu)先出版：2013-05-03,http://www.cnki.net/kcms/detail/11.2127.TP.20130503.1707.009.html