池亞平 楊垠坦 李格菲 王志強 許 萍

1(西安電子科技大學通信工程學院 陜西 西安 710071)2(北京電子科技學院通信工程系 北京 100070)

0 引 言

近年來計算機網絡技術發(fā)展迅速，對社會發(fā)展做出了巨大貢獻，人類活動也越來越依賴網絡。云計算技術的出現(xiàn)使網絡規(guī)模迅速增長，網絡面臨的安全威脅也日益嚴峻，這些威脅可能是災難性的，例如，拒絕服務式攻擊(DoS)，會通過引入不必要的流量拒絕或阻止合法用戶訪問網絡資源,從而導致網絡癱瘓[1]。這也吸引了很多研究人員展開相關研究。國內外相關學者指出網絡入侵檢測系統(tǒng)(NIDS)是保障網絡安全的重要一環(huán)，可以主動并及時地檢測到云平臺中系統(tǒng)、應用程序和網絡中存在的異常行為，對于提升云平臺的安全性有很大的幫助[2-3]。

通常來講網絡入侵檢測系統(tǒng)可以分為基于特征檢測和基于異常檢測兩類?；谔卣鞯腘IDS最大的問題就是無法識別未知的攻擊，顯然這并不適用于如今復雜異構網絡環(huán)境[4]?；跈C器學習(ML)或深度學習(DL)的網絡入侵檢測模型通過學習已有正常和異常的網絡行為實現(xiàn)對未知網絡行為的分類和預測。目前國內外相關研究人員已成功將基于ML/DL的方法應用于網絡入侵檢測領域。文獻[5]提出了CANN算法，選取KDD-Cup99數(shù)據(jù)集中的六維數(shù)據(jù)特征進行訓練并測試了Prob、Dos、R2L、U2R四種攻擊，其入侵檢測算法具有較高的準確率。文獻[6]提出了一種基于細菌覓食優(yōu)化算法(BFOA)和K-means算法復合的入侵檢測算法，優(yōu)化了K-means算法聚類不穩(wěn)定的問題，采用KDD-Cup99數(shù)據(jù)集進行驗證，入侵檢測準確率可達98.33%。文獻[7]提出一種二次訓練入侵檢測模型，分別將決策樹、樸素貝葉斯和K最鄰近算法(KNN)算法應用于該模型，在KDD-Cup99數(shù)據(jù)集上取得了較好的效果。文獻[8]提出了基于人工神經網絡(ANN)的入侵檢測算法，并對該模型進行了DDoS/DoS攻擊測試，準確率可達99.4%。文獻[9]提出了一種基于深度信念網絡(DBN)和極限學習機(ELM)結合的深度學習混合模型(DBN-ELM)，采用KDD-Cup99數(shù)據(jù)集作為實驗數(shù)據(jù)集，其入侵檢測模型準確率可達97.5%。文獻[10]提出了基于卷積神經網絡(CNN)的入侵檢測算法，與傳統(tǒng)算法相比具有較高的準確率。

經研究文獻發(fā)現(xiàn)，在基于ML/DL的網絡入侵檢測算法中，為了提高入侵檢測效率，一般采用多種算法結合的方式建立模型?？蓪⑦@種網絡入侵檢測方法分為兩過程，即先通過一種算法篩選數(shù)據(jù)集的數(shù)據(jù)特征，再采用另一種算法對篩選后的特征數(shù)據(jù)進行分類，這種方式在提升準確率的同時有效減少了運算量[11]。文獻[12]指出卷積神經網絡具有強大的分類和泛化能力，但是因為卷積神經網絡在處理高維度數(shù)據(jù)時，存在計算量過大和輸入轉化的問題，因此很少被應用于網絡入侵檢測領域。文獻[10]雖用到了卷積神經網絡但并沒解決計算量較大的問題。鑒于此，本文提出一種基于增益率算法和卷積神經網絡算法(GR-CNN)的入侵檢測模型。通過計算輸入特征的增益率，篩選出對結果影響較大的數(shù)據(jù)特征。CNN通過挖掘數(shù)據(jù)特征間的關聯(lián)特征提取特征向量，再根據(jù)特征向量實現(xiàn)對正常和異常行為識別和分類。最后使用入侵檢測領域常用的KDD-Cup99數(shù)據(jù)集進行對比實驗。

1 相關技術研究

1.1 網絡入侵檢測技術

網絡入侵檢測技術是一種主動防止網絡攻擊的安全手段，通過對計算機網絡中的網絡數(shù)據(jù)進行提取和分類，來判斷網絡中是否存在異常行為[4]。網絡入侵檢測是一種積極主動的安全防護技術，通過搜集網絡關鍵節(jié)點中的原始數(shù)據(jù)包作為數(shù)據(jù)源并對這些數(shù)據(jù)從流量等方面進行分析，檢測網絡中是否含有違反安全策略的行為或系統(tǒng)存在被非法攻擊的跡象。入侵檢測系統(tǒng)具有實時性、主動性和動態(tài)性等優(yōu)點，能有效彌補其他靜態(tài)防御工具的不足。圖1為網絡入侵檢測模型，其原理是通過在網絡節(jié)點上進行偵聽并分析數(shù)據(jù)包來檢測是否發(fā)生入侵行為，其中數(shù)據(jù)分析過程是整個入侵檢測模型的核心。

圖1 網絡入侵檢測模型

根據(jù)入侵檢測所使用的分類技術來區(qū)分，入侵檢測主要可分為特征檢測和異常檢測[12]。特征檢測通過建立特定類型的數(shù)據(jù)庫，把網絡中收集到的相關數(shù)據(jù)與已知類型的網絡入侵的數(shù)據(jù)庫進行匹配操作，如果匹配成功，則認為發(fā)生入侵。特征檢測只能檢測到已知的入侵，無法識別新的入侵方式。異常檢測是根據(jù)用戶的行為或資源的使用情況分析是否發(fā)生入侵事件，是基于行為的檢測?；跈C器學習的入侵檢測通常屬于異常檢測[4]。

1.2 卷積神經網絡技術

卷積神經網絡是一種前饋神經網絡，目前已成為眾多科學領域研究的熱點之一，特別是在模式分類領域。圖2為卷積神經網絡模型圖，通常包括數(shù)據(jù)輸入、特征提取和分類輸出三個過程。卷積神經網絡的核心是經過多次卷積采樣生成特征向量，最終根據(jù)特征向量完成分類。

圖2 卷積神經網絡模型圖

2 基于RG-CNN的入侵檢測模型

2.1 模型設計

入侵檢測模型的關鍵是數(shù)據(jù)分析過程，因此本文在數(shù)據(jù)分析過程中設計入侵檢測算法。圖3為本文設計入侵檢測算法總體架構圖，可分為三個模塊：數(shù)據(jù)預處理模塊、特征選擇模塊、CNN入侵檢測模塊。在數(shù)據(jù)預處理模塊負責對數(shù)據(jù)集進行數(shù)字化、標準化、歸一化處理；在特征選擇模塊，通過計算數(shù)據(jù)集增益率篩選特征數(shù)據(jù)；CNN入侵檢測模塊，要先對輸入的向量數(shù)據(jù)進行類圖像化處理，然后采用訓練數(shù)據(jù)集訓練神經網絡模型，最后通過測試數(shù)據(jù)集檢測入侵檢測結果。

圖3 入侵檢測算法總架構圖

2.2 特征選擇模塊設計

CNN模型訓練過程中，因為要進行大量的卷積運算，因此會產生大量中間數(shù)據(jù)，從而導致模型訓練速度較慢。減少卷積神經網絡模型的中間參數(shù)量是提升CNN模型訓練速度的關鍵，而輸入數(shù)據(jù)的維度直接影響中間參數(shù)量，因此如何選擇出數(shù)據(jù)集中最優(yōu)數(shù)據(jù)特征非常重要。在機器學習中常用純度來選取特征。純度的衡量一般用信息增益和增益率，增益率是信息增益的優(yōu)化，解決了信息增益對取值數(shù)目較多的屬性的偏好性。本文所用數(shù)據(jù)集的不同數(shù)據(jù)特征的屬性數(shù)目差異較大，因此更適合用增益率進行特征選擇。增益率定義為：

(1)

其中:

(2)

式中：IG(D,a)表示“信息增益”，D為樣本集合，假設屬性a有V個可能的取值{a1,a2,…,aV}，采用屬性a對樣本取值，會產生V個不同的種類，假設其中第v個種類包含了D中所有在a上取值為av的樣本記為Dv，IV(a)稱為屬性a的“固有值”，屬性a的種類越多，IV(a)值就會越大[13]。

本文根據(jù)不同特征數(shù)據(jù)的增益率進行特征篩選，測試了不同維度的特征對入侵檢測識別率的影響以及在這種選擇下對卷積神經網絡模型訓練時間的影響。

2.3 基于CNN的入侵檢測模塊設計

入侵檢測模型中的CNN入侵檢測模塊是實現(xiàn)入侵檢測核心。CNN模型的訓練包括正向傳遞和誤差逆向傳播兩個階段，在分類輸出過程和特征提取過程都有所體現(xiàn)。圖4為CNN入侵檢測模塊訓練流程圖，先通過正向傳輸?shù)玫筋A測結果，然后計算誤差，最后經過誤差逆向傳播更新模型參數(shù)，經過迭代得到最終的CNN入侵檢測模型。

圖4 CNN入侵檢測模塊訓練流程圖

(1) 分類輸出過程 分類輸出過程本質上是采用全連接神經網絡將特征提取層輸出的一維特征向量分類學習，它的前向傳導可表示為：

c(l+1)=w(l+1)a(l)+b(l+1)

(3)

a(l+1)=f(c(l+1))

(4)

式中：l=1,2,…,L，L是輸出層神經網絡總層數(shù)，a(l+1)表示l+1層輸出，c(l+1)表示l+1層輸入加權和向量，f(x)是激勵函數(shù)，w(l+1)是l+1層權重，b(l+1)是l+1層偏置。

神經網絡參數(shù)更新的本質是誤差逆向傳播，假設誤差函數(shù)為J(w,b)。在全連接神經網絡中，參數(shù)更新的向量表達式為：

(5)

(6)

式中：α是學習率。由鏈式求導法則可得：

(7)

(8)

式中：

(9)

式中：δ()被稱為能量函數(shù)，根據(jù)式(5)-式(9)經過L次迭代計算最終可得到輸出層所有參數(shù)更新。

(2) 特征提取過程 在特征提取的正向傳遞階段，特征提取過程中輸入數(shù)據(jù)分別與不同的卷積核做卷積運算，得到特征矩陣。因為每層卷積運算，輸入特征圖都會與不同的卷積核做卷積運算，定義?為卷積運算，那么卷積過程可以表示為：

(10)

(11)

式中：subsampling(x)是采樣函數(shù)，通常取窗口區(qū)域的最大值或均值，采樣過程中本文所用乘性偏置量為1，加性偏置量為0。經過多次卷積、采樣操作，最終生成一個一維的特征向量。

在誤差逆向傳播階段，也通過誤差函數(shù)的逆向求導更新神經元參數(shù)。相比于特征提取階段的不同之處在于，因存在采樣層使得矩陣維度減少，因此δ(i+1)需要上采樣為卷積層的矩陣維度，引入上采樣函數(shù)up()：

δ(i)=f′(c(i+1))°up(δ(i+1))

(12)

式中：“°”表示每個元素相乘。類似于分類輸出過程可以求得參數(shù)更新公式如下：

(13)

(14)

式中：(*)st表示遍歷*所有元素；α是學習率。

3 實 驗

3.1 數(shù)據(jù)預處理

本文所采用的數(shù)據(jù)集是KDD-Cup99數(shù)據(jù)集，是美國國防部高級規(guī)劃署通過收集90 000個網絡連接和系統(tǒng)審計數(shù)據(jù)，形成KDD-Cup99數(shù)據(jù)集，是入侵檢測領域經典的數(shù)據(jù)集。由訓練集和測試集兩部分組成。訓練集中的每個向量都是42維，其中前41維是特征,后1維是標記位。訓練集由22種異常(attack)樣本和正常(normal)樣本構成。測試集中每個向量都有41維特征，由39種異常(attack)樣本和正常(normal)樣本構成，其中包括17種未知異常樣本。這39種異常樣本可以分為4大類：DoS(拒絕服務式攻擊)；U2L(來自遠程主機的未授權訪問)，U2R(未授權的本地超級用戶特權訪問)；Probe(掃描攻擊)。本文使用10%的數(shù)據(jù)集訓練模型，其數(shù)據(jù)分布如表1所示。

表1 數(shù)據(jù)集數(shù)據(jù)分布表

在數(shù)據(jù)集的41維特征中有38個數(shù)值型特征和3個符號型特征，因此首先將符號型特征數(shù)字化。考慮到數(shù)據(jù)特征可按離散和連續(xù)劃分，因此需要針對卷積神經網絡的輸入數(shù)據(jù)的預處理，又因為激活函數(shù)輸入數(shù)據(jù)靠近零點時收斂較快，最好讓輸入數(shù)據(jù)是靠近原點的浮點數(shù)據(jù)，因此需要先對連續(xù)型數(shù)據(jù)特征標準化處理再對離散型特征做歸一化處理。

(1) 符號特征數(shù)字化 需要數(shù)字化的特征包括3個符號型特征和標記，3個符號型特征分別是：protocol_type特征、flag特征、service特征。protocol_type特征包括三種符號：TCP、UDP、ICMP，本文分別用數(shù)字1、2、3表示。同理，service特征有70種符號，因此分別用1～70的正整數(shù)表示。flag特征有11種符號，可分別用1～11的正整數(shù)表示。標記位有23種，可分為五類：Normal、DoS、Prob、U2L、U2R，分別用0、1、2、3、4來表示。

(2) 連續(xù)數(shù)據(jù)標準化 數(shù)據(jù)集41維特征中有22個是連續(xù)型的特征，而這22個不同連續(xù)屬性不僅取值范圍不同而且取值方式也不同。同時因卷積神經網絡的激活函數(shù)采用tanh()函數(shù)，tanh()函數(shù)其分布以零點為中心左右皆有分布，因此針對連續(xù)型屬性可采用，使數(shù)據(jù)取值在零點附近，這樣既規(guī)范了數(shù)據(jù)集取值范圍，而且因激活函數(shù)取值在零點附近斜率的絕對值較大，故可加速卷積神經網絡模型收斂速率。標準化公式如下：

(15)

式中：x是原始數(shù)據(jù)；μ是樣本均值；σ是樣本的標準差；x*是標準化后的數(shù)據(jù)，服從均值為0方差為1的正太分布。

(3) 離散數(shù)據(jù)特征歸一化 為了提高算法效率，特征選擇過程中將所有離散數(shù)據(jù)特征歸一化。同樣，為了提升卷積神經網絡收斂速度且消除量綱差異帶來的影響，對其他19個離散特征做歸一化處理。歸一化公式如下：

(16)

式中：x是特征的原始數(shù)據(jù)，xmin是每個特征的最小值；xmax是每個特征的最大值，x*是歸一化輸出，最終每個特征的取值都在[0,1]。

3.2 實驗環(huán)境及評估方法

本文在Linux環(huán)境下采用Tensorflow深度學習框架，Tensorflow是谷歌研發(fā)的人工智能系統(tǒng)，采用基于數(shù)據(jù)流圖的計算，廣泛地應用于機器學習或深度學習領域，Tensorflow支持英偉達圖形顯卡加速，故本文采用Python語言編寫算法。本文所用硬件型號如表2所示。

表2 實驗硬件配置

本文所用入侵檢評估標準為準確率(AC)、誤報率(FP)、召回率(Recall)。

(17)

(18)

(19)

式中：TN表示被正確分類的正常行為樣本數(shù)量；TP表示被正確分類的異常行為樣本數(shù)量；FP表示被錯誤分類的正常行為樣本數(shù)量；FN表示被錯誤分類的異常行為樣本數(shù)量。表3展示了各種分類情況。

表3 實驗結果分類

3.3 實驗結果與分析

本文采用10%的KDD-Cup99數(shù)據(jù)集作為數(shù)據(jù)集，首先通過計算數(shù)據(jù)集中不同特征的增益率篩選特征，截取增益率最高25個特征如表4所示。

表4 不同數(shù)據(jù)特征的增益率

表5所示為本文搭建神經網絡參數(shù)項，其中n表示輸入數(shù)據(jù)類圖像化處理后的寬度。本卷積神經網絡模型中有兩個卷積層一個采樣層，卷積核大小為3×3，步長設置為1，池化層的長和寬都設置為2，步長為2，采樣函數(shù)為Max_pool(),激活函數(shù)為tanh()，采用Adam()算法優(yōu)化誤差逆向傳播，采用softmax算法作為輸出。

表5 神經網絡參數(shù)

本文根據(jù)輸入數(shù)據(jù)不同特征的增益率來選擇輸入數(shù)據(jù)，用訓練數(shù)據(jù)集訓練得到四種不同的攻擊方式對應準確率如表6所示，準確率隨輸入數(shù)據(jù)的維度變化趨勢圖如圖5所示?？梢钥闯?，當輸入數(shù)據(jù)維數(shù)大于等于25維時，四種攻擊的準確率變化不大，其中，DoS攻擊準確率在99.3%～99.8%之間，Probe攻擊準確率在99.1%～99.7%之間，U2R攻擊準確率在98.4%～98.8%之間，R2L攻擊準確率在97.1%～97.9%之間。因此可以選擇輸入向量的維數(shù)為25維。圖6所示是25維輸入數(shù)據(jù)準確率和訓練過程的損失值，準確率和損失值分別震蕩上升和下降，最終都趨近于較穩(wěn)定的值。

表6 四種攻擊在不同維數(shù)下的準確率

圖5 不同維數(shù)輸入數(shù)據(jù)入侵檢測準確率

圖6 25維數(shù)輸入數(shù)據(jù)的準確率和損失值

為了研究本文所提神經網絡訓練加速效果，與文獻[10]所用未處理輸入數(shù)據(jù)的卷積神經網絡入侵檢測方案進行對比。由于文獻[10]中只研究了二分類問題，因此將四種攻擊統(tǒng)一用異常行為代替，將多分類轉換為二分類問題。結果顯示，在輸入數(shù)據(jù)是25維時，準確率為99.2%；輸入數(shù)據(jù)不處理時，準確率為99.7%。表7所示是不同輸入數(shù)據(jù)維度下模型平均訓練時長，相比于文獻[10]中方法，本文所用優(yōu)化方法使訓練時間減少207.03 s，降低了77%。

表7 卷積神經網絡模型訓練時間

本文算法與其他文獻算法的對比結果如表8所示。其中，AC1、FP1、Recall1、AC2、FP2、Recall2分別表示在訓練集和測試集下的準確率、誤報率、召回率。由于在測試集中有17種未知攻擊類型，因此測試集和訓練集下的準確率、誤報率、召回率的差異反映了模型的泛化能力，對應項相差越小說明模型的泛化能力更強。測試平均時長是指處理1萬條測試數(shù)據(jù)的平均時長，測試平均時長越小說明模型處理數(shù)據(jù)的速度越快。文獻[10]中所提方法前文已進行過對比，相比之下，雖然準確率略有下降，但模型訓練時間大幅降低，同時由于模型中間參數(shù)量較少，本文所用方法測試平均時間更少。對比文獻[5]中提出的CANN模型，本文所提模型在處理測試數(shù)據(jù)集時泛化能力更強，且處理U2R和R2L攻擊的效果更好，平均檢測時長明顯優(yōu)于CANN算法。對比文獻[6]提出的基于BFOA和K-means的算法，本文所提模型準確率、誤報率、召回率、更優(yōu)，平均測試時長有明顯優(yōu)勢；對比文獻[7]中效果最好的PCA_DT_C4算法，本文所提算法在處理DoS、Probe、U2L攻擊時效果略優(yōu)，且在處理U2R攻擊時明顯占優(yōu)，PCA_DT_C4算法在處理二分類問題中由于Normal類型識別率較低，導致其準確率只有96.3%；對比文獻[9]中DBN-ELM算法，本文所提模型具有更高的準確率和更低的誤報率，泛化性能更好，測試平均時長較低。

表8 不同模型實驗對比

續(xù)表8

4 結 語

本文將卷積神經網絡算法應用于網絡入侵檢測領域，采用增益率算法與卷積神經網絡算法結合的方式，優(yōu)化了卷積神經網絡入侵檢測模型。該模型可適用于二分類和多分類，有較高的準確率，泛化能力較強，識別速度較快。但由于僅在數(shù)據(jù)集上進行試驗，未在大規(guī)模實際網絡環(huán)境下驗證，因此下一步需要模型應用到實際網絡環(huán)境中。同時在數(shù)據(jù)特征篩選方面仍有優(yōu)化空間，能進一步提升模型學習速度。