白 琳

(西安郵電大學(xué) 計算機學(xué)院，陜西 西安 710121)

0 引 言

入侵檢測作為一種實時主動的網(wǎng)絡(luò)安全防御技術(shù)，能夠為網(wǎng)絡(luò)系統(tǒng)的正常運行保駕護(hù)航。從20世紀(jì)80年代首個通用入侵檢測系統(tǒng)模型提出以來，經(jīng)歷了數(shù)十年的發(fā)展，眾多學(xué)者對其的研究仍方興未艾。伴隨著計算機網(wǎng)絡(luò)技術(shù)及其應(yīng)用的飛速發(fā)展，面對越來越嚴(yán)峻的網(wǎng)絡(luò)安全形勢，對入侵檢測產(chǎn)品的性能也提出了更多、更具體的要求：能夠分析復(fù)雜、異構(gòu)的大數(shù)據(jù)；能夠正確檢測出惡意的、非法的行為；誤報率低；能夠檢測出未知的攻擊。

1 基于聚類的入侵檢測研究現(xiàn)狀

入侵檢測技術(shù)手段包括異常檢測技術(shù)和誤用檢測技術(shù)。異常檢測需要建立代表“正常行為”的模型，再以測量值對其的偏離程度判斷用戶行為是否“異常”。誤用檢測則通過按事先預(yù)定義好的異常模式以及觀測到的入侵發(fā)生的情況進(jìn)行模式匹配來進(jìn)行檢測[1]。因此，異常檢測可以檢測出新的攻擊，所以受到的關(guān)注度更高。

現(xiàn)有的大多異常檢測系統(tǒng)，其正常模型的確立都是通過對完全正常的數(shù)據(jù)集進(jìn)行訓(xùn)練而完成的。使得檢測方法依賴于帶標(biāo)簽的訓(xùn)練數(shù)據(jù)，如果某些標(biāo)簽是錯誤的，“正常模型”的誤差將會很大。尤其在實際網(wǎng)絡(luò)環(huán)境中，收集和整理出帶標(biāo)簽的網(wǎng)絡(luò)數(shù)據(jù)工作量大、難度高，所以采用無標(biāo)簽的網(wǎng)絡(luò)數(shù)據(jù)建立“正常模型”構(gòu)造無監(jiān)督異常檢測系統(tǒng)才更可行。

聚類就是一種行之有效的無監(jiān)督模式分類方法?？梢詫o標(biāo)記的樣本集按照某種聚類準(zhǔn)則劃分成若干個子集，將相似的樣本盡量歸為一類，不相似的樣本歸為不同類。相似度的度量依靠數(shù)據(jù)對象描述屬性的取值來確定[2]。傳統(tǒng)聚類方法，如C-均值、模糊C-均值、BIRCH等，可伸縮性較差，只能處理小規(guī)模數(shù)據(jù)，并且依賴聚類原型，容易陷入局部最優(yōu)，由其構(gòu)造的入侵檢測系統(tǒng)性能不高。一些進(jìn)化計算方法以其良好的優(yōu)化特性用于傳統(tǒng)算法改進(jìn)，包括遺傳聚類算法、免疫進(jìn)化聚類[3]以及基于CSA的聚類[4]等。相應(yīng)構(gòu)建的入侵檢測系統(tǒng)性能有了不同程度改善，如文獻(xiàn)[5-6]。但是遺傳進(jìn)化算法易于后期發(fā)生早熟，免疫算法的疫苗提取非常依賴先驗知識[7]等缺點都對聚類效果影響較大。隨著智能信息處理技術(shù)的不斷發(fā)展，對聚類算法的性能指標(biāo)要求日益增加，除了要保證結(jié)果的有效性和可靠性，還需要具有可拓展性、可伸縮性、有效處理噪聲數(shù)據(jù)或多維、異構(gòu)數(shù)據(jù)的能力[1]，以適應(yīng)復(fù)雜網(wǎng)絡(luò)環(huán)境下數(shù)據(jù)分析和處理的需求。

生物體的三大系統(tǒng)：神經(jīng)系統(tǒng)、內(nèi)分泌系統(tǒng)和免疫系統(tǒng)，彼此之間相互作用、協(xié)調(diào)、促進(jìn)，形成了一個有機整體。特別地，內(nèi)分泌系統(tǒng)中強大的激素調(diào)節(jié)能力可以有效刺激和調(diào)節(jié)另外兩個系統(tǒng)的功能。受該生命機理啟發(fā)，將激素調(diào)節(jié)機制加入抗體克隆進(jìn)化過程，對抗體克隆規(guī)模進(jìn)行動態(tài)調(diào)整，擴增優(yōu)秀個體、抑制退化個體。構(gòu)造基于激素調(diào)節(jié)的克隆聚類算法，改善聚類的精度、速度及穩(wěn)定性。

2 人工內(nèi)分泌系統(tǒng)

2.1 人工內(nèi)分泌系統(tǒng)

生物體的內(nèi)分泌系統(tǒng)是一個分布式的調(diào)控系統(tǒng)，具有良好的自適應(yīng)性、自組織性和自學(xué)習(xí)性，發(fā)揮著調(diào)控機體新陳代謝和生長發(fā)育的重要作用。協(xié)同神經(jīng)系統(tǒng)、免疫系統(tǒng)，維持著生物體的內(nèi)穩(wěn)態(tài)和內(nèi)平衡。內(nèi)分泌系統(tǒng)工作的核心就是激素調(diào)節(jié)，機體內(nèi)的各個生理調(diào)節(jié)功能都要依靠激素進(jìn)行。長期的生命進(jìn)化過程使內(nèi)分泌系統(tǒng)具有十分強大的功能，通過激素的反應(yīng)、擴散過程進(jìn)行調(diào)節(jié)，維持機體的內(nèi)穩(wěn)態(tài)，為生物體的正常生命活動提供保障[8]。

人工內(nèi)分泌系統(tǒng)(artificial endocrine system，AES)，指借鑒生物體內(nèi)分泌系統(tǒng)的信息處理機理，將其應(yīng)用于計算、控制、通信等領(lǐng)域而形成的模型或系統(tǒng)[9]。

在自然界，機體的內(nèi)分泌系統(tǒng)和免疫系統(tǒng)之間保持著密切的雙向調(diào)控聯(lián)結(jié)，內(nèi)分泌激素通過免疫細(xì)胞受體使其免疫功能增強或削弱；免疫系統(tǒng)通過細(xì)胞因子對內(nèi)分泌系統(tǒng)發(fā)生作用[10]。因此，內(nèi)分泌系統(tǒng)可以調(diào)節(jié)免疫功能，而免疫系統(tǒng)可以對其進(jìn)行應(yīng)答和反饋，反作用于內(nèi)分泌系統(tǒng)。借鑒該機理，可以將激素調(diào)節(jié)作用引入人工免疫系統(tǒng)相關(guān)方法，在免疫基因?qū)用鎸贵w工作進(jìn)行調(diào)控，改進(jìn)原有算法的性能。

2.2 激素調(diào)節(jié)機制

2001年，L. S. Farhy提出了激素Hill函數(shù)調(diào)節(jié)規(guī)律[11]，即激素分泌的上升調(diào)節(jié)和下降調(diào)節(jié)函數(shù)。

(1)

(2)

其中，F(xiàn)是Hill調(diào)節(jié)函數(shù)；up表示激素刺激、down表示激素抑制；G是自變量；n(n≥1)是Hill系數(shù)，T(T>0)是閾值參數(shù)，n和T表示曲線上升或下降的斜率，對應(yīng)激素刺激或是激素抑制的改變速度。

且Hill函數(shù)滿足：

(3)

3 人工免疫系統(tǒng)

人工免疫系統(tǒng)(artificial immune system，AIS)，是模擬生物體免疫系統(tǒng)的工作過程而形成的一種信息處理計算模型。其相關(guān)算法主要指克隆選擇算法、人工進(jìn)化免疫網(wǎng)絡(luò)。

3.1 克隆選擇學(xué)說

克隆選擇學(xué)說的核心是：免疫系統(tǒng)中，在抗原的刺激下，免疫細(xì)胞會進(jìn)行克隆、得以增殖，再通過遺傳、變異等進(jìn)化操作分化成記憶細(xì)胞和多樣性效應(yīng)細(xì)胞。與抗原親合度較低的抗體經(jīng)過進(jìn)化學(xué)習(xí)后，親合度會趨于成熟，所以，克隆選擇的過程實際是面向親合度成熟的過程。具體實現(xiàn)時，通過選擇、交叉、變異等遺傳進(jìn)化算子和相應(yīng)群體控制機制來操作。

3.2 克隆選擇算法

克隆選擇算法包含克隆增殖、免疫基因操作以及克隆選擇三步?？寺∵x擇是由親合度函數(shù)指導(dǎo)的抗體群隨機映射，其進(jìn)化過程表示如下：

(4)

克隆的實質(zhì)是在一代進(jìn)化過程中，根據(jù)親合度大小，在候選解的附近產(chǎn)生一個變異解群體，以此擴大搜索范圍、增加抗體群多樣性，防止早熟和搜索陷于局部極小值[12]。

4 基于激素調(diào)節(jié)的克隆選擇聚類

4.1 目標(biāo)函數(shù)

采用下列目標(biāo)函數(shù)作為聚類準(zhǔn)則：

(5)

4.2 抗體編碼

設(shè)一組聚類原型P為一個抗體，將各組原型所包含的不同特征值組織在一起，再通過其各自取值范圍進(jìn)行量化，量化結(jié)果為k，具體將抗體按式5進(jìn)行編碼。

Ai(0)=

(6)

其中的各參數(shù)依據(jù)各原型pi,i∈(1,k)取值。

4.3 親合度函數(shù)

親合度函數(shù)構(gòu)造的依據(jù)：目標(biāo)函數(shù)越小，聚類效果越好，抗體-抗原親合度越大。

(7)

其中，若f的值越大，抗體就越接近于抗原。

4.4 激素調(diào)節(jié)克隆算子

將激素調(diào)節(jié)策略引入克隆選擇算法，利用Hill刺激效應(yīng)使種群中抗體克隆規(guī)模得以擴增，同時利用Hill抑制原理使不良個體較多的種群克隆規(guī)模得以削減。由此，通過內(nèi)分泌激素調(diào)控，個體克隆規(guī)模自適應(yīng)調(diào)整到最優(yōu)狀態(tài)，更利于群體的進(jìn)化學(xué)習(xí)，進(jìn)而有效收斂。

(1)激素調(diào)節(jié)的克隆操作。

(8)

(9)

其中，Ii是元素全為1的qi維行向量。

抗體Ai的qi克隆表示為：

1,…,N

(10)

其中，Int(c)表示大于c的最小整數(shù)；Nc為與克隆規(guī)模相關(guān)的值，且大于N。

因此，對于單個抗體，qi的大小取決于f，即抗體的克隆規(guī)模完全由親合度決定。

②激素調(diào)節(jié)。

對于第t-1代種群，其平均親合度表示為：

(11)

種群的多樣性可表示為函數(shù)：

(12)

下降規(guī)律激素調(diào)節(jié)函數(shù)可表示為：

(13)

可令

(14)

由此，就可以描述出：在當(dāng)代種群中，個體親合度與上一代的平均親合度間的關(guān)系。在此，由函數(shù)D(t)和F(t)共同調(diào)節(jié)個體克隆規(guī)模，第t代個體的克隆規(guī)模q(t)改進(jìn)為：

(15)

參數(shù)η在實際中根據(jù)經(jīng)驗值而定。

克隆之后，種群變?yōu)椋?/p>

(16)

其核心為變異操作，變異僅作用于克隆后的抗體之上，這樣就可以保留原始種群的有效信息。具體為：

(17)

抗體群經(jīng)過激素調(diào)節(jié)的克隆選擇學(xué)習(xí)后，更新為：A(l+1)=[A1(l+1),…,AN(l+1)]，若A(l+1)中存在Ai(l+1)及Aj(l+1)，滿足f(Ai(l+1))=f(Aj(l+1))=maxf(A(l+1)),i≠j，則隨機產(chǎn)生一個新抗體，同時以概率pi刪除Ai(l+1)、Aj(l+1)其中之一。

基于激素調(diào)節(jié)的克隆聚類算法(見圖1)中，抗體編碼后進(jìn)行如上的克隆算子操作，直到聚類原型收斂到最優(yōu)解，完成聚類分析。

圖1 基于激素調(diào)節(jié)的克隆聚類算法流程

5 激素調(diào)節(jié)的克隆聚類入侵檢測方法

5.1 數(shù)據(jù)預(yù)處理

實驗采用KDD CUP99數(shù)據(jù)集，該數(shù)據(jù)集包含了9周網(wǎng)絡(luò)流量連接記錄，其中7周的訓(xùn)練數(shù)據(jù)大約具有500萬條數(shù)據(jù)量，2周的測試數(shù)據(jù)大約200萬條數(shù)據(jù)量。連接記錄具有協(xié)議類型、持續(xù)時間、標(biāo)簽等42個參數(shù)，分為33個連續(xù)屬性、8個離散屬性，第42個參數(shù)屬性為標(biāo)簽，標(biāo)記了該條記錄是“正?！钡模蚓唧w為何種攻擊類型。攻擊類型一共有37種，被分為4大類：拒絕服務(wù)攻擊、對本地超級用戶的非法訪問、未經(jīng)授權(quán)的遠(yuǎn)程訪問以及掃描與探查。

訓(xùn)練數(shù)據(jù)集中共有23個標(biāo)簽：“正常”和22種攻擊類型。測試集中含有38個標(biāo)簽：“正常”和37種攻擊類型。其中，有17種攻擊未在訓(xùn)練集中出現(xiàn)，對其而言，是“未知”攻擊。

對于網(wǎng)絡(luò)連接記錄的字符枚舉屬性，將其轉(zhuǎn)變?yōu)殡x散數(shù)值特征值，實驗中用不同的數(shù)字來代替字符枚舉屬性值。如：“ftp”協(xié)議用“1”代替，“http”協(xié)議用“2”代替。

實驗訓(xùn)練集和測試集構(gòu)造過程見表1。

為了驗證算法對未知攻擊的檢測性能，構(gòu)造未知攻擊，指測試集相對于訓(xùn)練集而言，多出的攻擊種類。

5.2 相異度度量標(biāo)準(zhǔn)

根據(jù)KDD CUP99數(shù)據(jù)具有混合屬性的特點，采用下列相異測度函數(shù)：

(18)

表1 實驗數(shù)據(jù)集

5.3 聚類分析

根據(jù)第四節(jié)中的激素調(diào)節(jié)克隆聚類算法對訓(xùn)練數(shù)據(jù)集進(jìn)行聚類分析，得到聚類原型P。訓(xùn)練集被分為c類，聚類結(jié)果見表2和表3。

5.4 正常模型

上述c類子集需要區(qū)分出“正?！鳖惢颉爱惓！鳖?，即為不同類貼上標(biāo)簽。入侵檢測系統(tǒng)基于兩個合理的假設(shè)[13-14]：

(1)同類數(shù)據(jù)在特定的尺度條件下會在特征空間中互相接近，而不同類數(shù)據(jù)會彼此遠(yuǎn)離；

(2)正常行為的數(shù)據(jù)量要遠(yuǎn)遠(yuǎn)大于異常行為的數(shù)據(jù)量。

因此，根據(jù)不同子集所包含的數(shù)據(jù)量便可區(qū)分出正常類和異常類。具體的，若某個子集的數(shù)據(jù)量與樣本數(shù)據(jù)總量之比不小于ω(0<ω<1)，就將其標(biāo)記為“正?！保駝t為“異?！薄＿@樣，就可以獲得異常檢測中的正常模型，進(jìn)而可以實現(xiàn)入侵檢測。

表2 類內(nèi)距結(jié)果

表3 類間距結(jié)果

5.5 異常檢測

對測試集test1或test2，要想知道其中某個連接記錄xi是否異常，即獲得xi的標(biāo)簽，先計算xi到每個聚類原型Pj(1≤j≤c)的距離，再找出其中的最短距離d(xi,Pmin)(1≤min≤c)。在5.4小節(jié)，每個類都已獲得了標(biāo)簽，那么第min類的標(biāo)簽就是xi的標(biāo)簽。如果d(xi,Pmin)≥μ，xi被判斷為未知攻擊。按照該過程完成對所有測試集數(shù)據(jù)的檢測。最后計算檢測率和誤警率，以此來評判入侵檢測系統(tǒng)的性能。檢測率指被檢測出來的異常數(shù)據(jù)占異常數(shù)據(jù)總數(shù)的百分比；誤警率指正常的數(shù)據(jù)被錯誤的判斷為異常的數(shù)目占正常數(shù)據(jù)總數(shù)的百分比。

5.6 實驗結(jié)果及分析

將傳統(tǒng)的模糊C均值算法(算法1)、沒有利用激素調(diào)節(jié)克隆規(guī)模的聚類算法(算法2)作為對比算法。樣本的種群規(guī)模設(shè)為50，克隆規(guī)模系數(shù)Nc=100，激素調(diào)節(jié)參數(shù)η=2.5，變異概率pm=0.2，死亡概率pi=0.4，選擇最佳個體百分比15%。

三種算法的聚類結(jié)果見表2和表3。對于聚類結(jié)果，類內(nèi)距越小、類間距越大，算法性能就越好[15]。

類內(nèi)距的定義為：

(19)

其中，r為聚類子集個數(shù)。

類間距的定義為：

(20)

其中，n為各類所包含的數(shù)據(jù)個數(shù)。

表4給出了入侵檢測結(jié)果，每種算法都經(jīng)過20次獨立實驗，取其檢測率和誤警率平均值反映在表3中。其中，已知入侵指訓(xùn)練集中存在的22種攻擊；未知入侵詳見表1。

從表2和表3可以看出，基于激素調(diào)節(jié)的克隆聚類算法性能較高，更精確地反映了樣本在狀態(tài)空間的分布情況。在群體克隆操作時，利用內(nèi)分泌激素調(diào)節(jié)特性，自適應(yīng)調(diào)整個體的克隆規(guī)模，不僅可以增加進(jìn)化過程中的種群多樣性，同時能夠更好、更多地發(fā)揮優(yōu)秀個體的性能，抑制不良個體對進(jìn)化學(xué)習(xí)的影響。使克隆選擇的親合度成熟過程在激素的調(diào)控下得到改善，保證聚類算法能夠快速、高效地收斂至全局最優(yōu)。

表4 檢測結(jié)果 %

從表4可以看出，文中算法的檢測效果更加理想，和傳統(tǒng)算法相比，優(yōu)勢十分明顯，引入了進(jìn)化策略和各類進(jìn)化算子，有效激發(fā)了聚類的整體尋優(yōu)性。并且，算法與數(shù)據(jù)分布無關(guān)、對聚類原型無依賴性，可以自適應(yīng)調(diào)整到最佳類別簇。通過構(gòu)造合理的數(shù)據(jù)集，驗證了文中算法對大數(shù)據(jù)集以及未知攻擊的有效檢測性。

6 結(jié)束語

在生物體內(nèi)分泌系統(tǒng)和免疫系統(tǒng)相互作用、協(xié)同工作的生命機理啟發(fā)下，將人工內(nèi)分泌系統(tǒng)中激素的調(diào)節(jié)機制引入由克隆策略指導(dǎo)的聚類準(zhǔn)則中進(jìn)行數(shù)據(jù)分析。根據(jù)抗體親合度成熟程度自適應(yīng)調(diào)節(jié)個體克隆規(guī)模，以此保證在群體的進(jìn)化過程中，擴增優(yōu)秀個體、盡可能發(fā)揮其優(yōu)勢，抑制不良個體、最大程度地減少其對各代進(jìn)化的影響。使得克隆算子增加自適應(yīng)性、提高自學(xué)習(xí)性和穩(wěn)定性，由此得到的新聚類算法具有更高的全局尋優(yōu)特性和更快的收斂速度。構(gòu)造了基于激素調(diào)節(jié)克隆聚類的異常檢測系統(tǒng)，并在KDD CUP99數(shù)據(jù)集上進(jìn)行了對比仿真實驗，實驗效果非常理想，表明檢測系統(tǒng)可行、有效。