，　，　，　　，　　

(1.石家莊鐵道大學 信息科學與技術學院，河北 石家莊　050043;2.河北省科學院 應用數學研究所，河北 石家莊　050081)

0　引言

截至2016年6月，我國網民規(guī)模達7.10億，互聯(lián)網普及率達到51.7%[1]。網絡的快速發(fā)展給社會帶來巨大的進步，但是其安全問題也造成了巨大的損失，如何保證網絡的安全一直是人們關注的焦點。網絡安全是由防護、檢測、反應和恢復4 個層次構成的一種綜合防御體系[2]。入侵檢測(Intrusion detection)作為防御體系的第二道防線，它是防火墻的合理補充，幫助系統(tǒng)應對網絡攻擊，是網絡安全防護的重要技術之一?，F(xiàn)有的入侵檢測方法主要有以下幾種：貝葉斯網絡、馬爾科夫模型、人工免疫原理、人工神經網絡、支持向量機、極限學習機以及級聯(lián)入侵檢測等[3]。其中人工神經網絡因其具有獨特的結構，非線性模擬能力、強大的學習能力和自適應能力，在入侵檢測系統(tǒng)中得到廣泛應用。

雖然神經網絡功能強大，在入侵檢測的應用中仍然存在一些缺點。比如文獻[4]采用改進的BP神經網絡用于入侵檢測，雖然利用可變學習速率算法、動量和批處理技術來提高網絡的性能，但是數據的維數是復雜多變的，如果數據維數過高的話會導致整個網絡的計算復雜度大幅度增加。又比如文獻[5]利用遺傳算法來解決神經網絡收斂速度慢和陷入局部最優(yōu)的問題，但是遺傳算法搜索問題的解空間的大小跟網絡參數的個數有關，這無疑會增加網絡的訓練時間，另外遺傳算法處理高緯度的數據具有局限性。深度學習的出現(xiàn)使得解決復雜攻擊數據有了新的解決思路，其通過組合低層數據特征形成更加抽象的高層特征來表示屬性或者類別[6]，不同于淺層神經網絡，深度學習有多達5～6層，甚至10多層的神經網絡結構。比如文獻[7]采用了深度學習中的自編碼網絡模型實現(xiàn)對網絡特征的提取,通過softmax分類器對特征數據進行分類。雖然保證了識別率，但是由于深度學習獨特的網絡結構，其訓練速度比較慢。

針對以上問題，提出一種基于主成分分析和概率神經網絡入侵檢測方法。首先使用PCA對數據進行特征降維，消除冗余信息；然后使用概率神經網絡(PNN)建立入侵檢測模型；其次，使用粒子群算法(PSO)優(yōu)化概率神經網絡的參數；最后使用KDD99數據集對該模型進行測試。

1　主成分分析

主成分分析(PCA)是統(tǒng)計學中對數據分析的有力工具，將高維數據集變換到低維空間，保留最多的原始數據信息[8]。PCA的基本原理如下：假設空間中存在p個具有相關性的變量，通過線性組合等方法消除其相關性，使其變成一組線性無關的變量，新變量要盡可能準確地反映原始變量的信息而且新變量的個數要少于原始變量。在這里用方差來度量信息，通常線性組合的方法有很多種，為了準確反映原始變量的信息，將方差最大的那組線性組合作為第一主成分，以此類推分別建立第二、三等主成分。需要注意的是，各個主成分之間是線性無關的。具體步驟如下：

第一步：將樣本數據組成的矩陣進行標準化，目的是消除量綱對數據的干擾

(1)

第二步：計算協(xié)方差矩陣CX

(2)

第三步：采用雅克比方法計算協(xié)方差矩陣的特征值(λ1,λ2,…,λp)與相應的特征向量a1,a2,…,ap；

第四步：選擇重要的主成分，并計算主成分的貢獻率η和累計貢獻率∑η

(3)

(4)

第五步：根據累計貢獻率，一般累計貢獻率大于85%以上就可以滿足需求，這時取前k個特征值對應的特征向量(a1,a2,…,ak)組成變換矩陣Q(p×k)。

第六步：計算降維后的新樣本矩陣Y。

(5)

2　基于PCA的概率神經網絡入侵檢測模型

2.1　概率神經網絡

圖1　概率神經網絡結構

概率神經網絡是由徑向基神經網絡發(fā)展而來的一種前饋型神經網絡，其理論依據是貝葉斯最小風險規(guī)則(貝葉斯決策理論)[9]。不同于傳統(tǒng)神經網絡的Sigmoid函數，它通常采用高斯函數作為網絡的激活函數。其層次模型，由輸入層、模式層、求和層、輸出層共4層組成。網絡的基本結構如圖1所示。

輸入層將樣本數據輸入到網絡中，其神經元的個數同樣本數據的維數相等。模式層神經元個數等于樣本數據的總數目。假設樣本數據為X(x1,x2,…,xn)，模式層的第i個神經元與輸入層的權值矩陣為Wi則該神經元的輸出si為

(6)

式中，δ是一個很重要的參數，稱為擴散常數或者散布常數。這個參數需要在實驗中進行調整，過大或者過小都會影響網絡的性能。

求和層單元只和屬于某個類別的神經元相連，并將其概率累加并傳到輸出層。輸出層的每個神經元對應一種類別，它根據求和層傳來的各個類別的概率密度函數，將概率密度函數最大的那個神經元輸出為1，其它神經元輸出為0，輸出為1的神經元對應的類別即為網絡識別出的類。

2.2　粒子群算法

粒子群優(yōu)化算法(PSO)是一種進化計算技術(Evolutionary Computation)，1995 年由Eberhart 博士和Kennedy 博士提出[10]。該算法是一種群智能算法，它通過研究鳥群搜索食物過程中的行為，從中發(fā)現(xiàn)個體與群體之間存在的協(xié)作和信息共享的規(guī)律，并利用這種規(guī)律對問題的解空間進行搜索，以求獲得最優(yōu)解。

粒子群算法是一種并行算法，具有容易實現(xiàn)、精度高、收斂快等優(yōu)點。針對研究問題的解空間，粒子群算法首先在該空間內初始化一些隨機解，這些解就是一些粒子，粒子的狀態(tài)包括粒子的速度和位置兩個方面。然后使用適應度函數評價粒子所處位置是否最優(yōu)，使用兩個全局變量pbest和gbest來記錄粒子個體和群體所尋找過的最優(yōu)位置。對于每個粒子，計算其適應值，若優(yōu)于pbest就將其作為pbest，若優(yōu)于gbest就將其作為gbest, 接著更新粒子的速度和位置。粒子速度和位置的更新規(guī)則如下

Vi=wVi+c1×c1×rand()×(pbesti-xi)+c2×rand()×(gbesti-xi)

(7)

xi=xi+Vi

(8)

式中，Vi是粒子的速度；rand()是介于0和1之間的隨機數；xi是粒子的當前位置。c1和c2是學習因子 。

如果粒子的速度或者位置超出搜索的范圍就將其設定為最大速度或者邊界位置。粒子更新完畢后如果沒有找到滿足要求的最優(yōu)解就繼續(xù)迭代搜索。搜索最優(yōu)解的停止條件一般選為最大迭代次數或者粒子群搜索到的最優(yōu)位置滿足預定最小適應閾值。

圖2　基于PCA的概率神經網絡入侵檢測模型

2.3　基于PCA的概率神經網絡入侵檢測模型

基于以上所做的工作，提出了一種基于PCA的概率神經網絡入侵檢測模型(PCA-PNN)。如圖2所示。

該模型首先利用PCA對訓練數據和測試數據進行降維，在降維的時候先對訓練數據進行降維，然后用降維產生的降維矩陣乘以測試數據就可以對測試數據進行降維，以保證新的訓練數據和測試數據處在同一個基中；接著將數據輸入到PNN網絡中進行訓練，采用粒子群算法對PNN網絡的散布常數Spread進行優(yōu)化，最后測試PNN網絡的性能。

3　實驗及結果分析

采用的實驗工具是Matlab R2010a，為了衡量算法的優(yōu)劣，將未經過粒子群算法優(yōu)化和特征降維的PNN網絡作為對比。為評價上文提出的入侵檢測模型，選用KDD99 數據集。該數據集是由麻省理工學院Lincoln 實驗室仿真美國空軍局域網環(huán)境建立的網絡測試數據集，包含約500 萬條網絡連接記錄，除了正常的數據之外，還有Dos、R2L、U2R和Probe 4個大類的攻擊數據。在研究中通常使用該數據集中的10%訓練數據集和10%測試數據集[11]。定義了幾個檢測指標，分別是：

檢測時間，完成預測所需的時間；

檢測精度，被正確分類的數據占總檢測數據的比例；

檢測率，被正確分類的入侵數據占總入侵數據的比例；

誤報率，正常數據中被錯誤分類的數據占總正常數據的比例。

為了模擬真實的網絡環(huán)境，分別在訓練集和數據集的正常數據和4大類的攻擊數據中隨機取了10 000條數據，其中正常數據占了96%，具體數據的分布見表1所示。

實驗預處理：每個樣本有42個特征，其中有些是字符型的特征，因此必須要對樣本進行預處理，將不同的字符型的數據替換為不同的數字。比如在網絡服務類型這項中令aol=1，auth=2，bgp=3，courier=4，以此類推。然后使用Matlab將樣本數據的排列順序打亂。接著將樣本中表示類別的特征提取出來，作為標簽數據，最后對樣本數據進行L2范數歸一化。

表1　實驗數據

數據降維：使用PCA算法對數據進行降維。在PCA中，原始數據矩陣被轉換到新的矩陣中，這個新的矩陣的維度按照每個特征的貢獻率從左到右排列。新矩陣中每個維度的貢獻率見表2所示。

一般來說達到85%以上就能夠很好地包含所有的信息，本文將累計貢獻率設為98%，取維度為6。在降維的時候，要將訓練集和測試集降到基相同的向量空間內。

表2　PCA分析結果

表3　實驗參數

然后對網絡模型進行測試，并計算出上述的檢測指標。對比實驗的具體結果見表4所示。

表4　實驗結果

在未優(yōu)化的網絡中，散布常數的上述取值是在眾多的逐個嘗試中取得的最好結果。從實驗結果中可以看出，使用粒子群算法對PCA-PNN網絡進行優(yōu)化，能夠找到散布常數的最優(yōu)值，從而提高網絡的性能，而且檢測時間明顯比未經過降維的網絡短，因為降低數據的維度之后網絡的運算負擔就會減小很多，從而提高效率。從精確度、檢測率和誤報率這3個指標來看，雖然PCA方法盡可能地保留了原始數據的完整性，仍然還是有一些信息的損失，因此其性能比優(yōu)化的傳統(tǒng)PNN網絡稍弱一些。

由于入侵數據在總的數據中只占了很小的比例，在未優(yōu)化的PNN中，趨向于將數據分類到正常數據中，因此其檢測入侵數據的檢測率不高，但是誤報率低。優(yōu)化的PCA-PNN比起傳統(tǒng)的PNN網絡來說，無論是性能還是檢測時間都有明顯的優(yōu)勢。

4　結論

針對神經網絡在入侵檢測的應用中存在入侵數據冗余信息多，數據量大，訓練時間長，易陷入局部最優(yōu)等問題，提出了一種基于PCA的概率神經網絡入侵檢測方法。該方法通過PCA消除了數據的冗余，降低了數據的維度，縮短了網絡訓練的時間，使用粒子群算法提高了概率神經網絡的性能。實驗結果表明，將主成分分析的方法和粒子群優(yōu)化算法與概率神經網絡結合是有效的，具有一定的推廣意義。但是本文是在公開數據集上所做的實驗，實際網絡環(huán)境中的數據比數據集更加真實，也更加復雜。因此，下一步的工作是將該方法運用到真實的網絡中，通過在網絡中得到的反饋來改進該方法。

[1]中國互聯(lián)網絡信息中心. 第38次中國互聯(lián)網絡發(fā)展狀況統(tǒng)計報告[EB/OL].[2016-8-3].http://www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201608/t20160803_54392.htm.

[2]卿斯?jié)h, 蔣建春, 馬恒太, 等. 入侵檢測技術研究綜述[J]. 通信學報,2004,7:19-29.

[3]方向, 王麗娜, 賈穎. 智能化入侵檢測算法研究綜述[J]. 通信技術,2015,12:1321-1328.

[4]丁玲, 趙小剛. 改進BP神經網絡用于入侵檢測[J]. 微計算機信息,2012,3:131-132,84.

[5]沈夏炯, 王龍, 韓道軍. 人工蜂群優(yōu)化的BP神經網絡在入侵檢測中的應用[J]. 計算機工程,2016,2:190-194.

[6]尹寶才, 王文通, 王立春. 深度學習研究綜述[J]. 北京工業(yè)大學學報,2015,1:48-59.

[7]李春林, 黃月江, 王宏, 等. 一種基于深度學習的網絡入侵檢測方法[J]. 信息安全與通信保密,2014,10:68-71.

[8]苑津莎, 尚海昆. 基于主成分分析和概率神經網絡的變壓器局部放電模式識別[J]. 電力自動化設備,2013,6:27-31.

[9]蔣蕓,陳娜,明利特, 等. 基于Bagging的概率神經網絡集成分類算法[J]. 計算機科學,2013,5:242-246.

[10] Kennedy J. Small worlds and mega-minds: effects of neighborhood topology on particle swarm performance[M]// Evolutionary Computation, 1999. CEC 99. Proceedings of the 1999 Congress on[C]. Washington USA: IEEE, 1999.1945-1950.

[11]張新有, 曾華燊, 賈磊. 入侵檢測數據集KDD CUP99研究[J]. 計算機工程與設計,2010,22:4809-4812,4816.