方偉 黃澤斌 唐鄭熠 王金水

摘 要：分類(lèi)技術(shù)在應(yīng)用于入侵檢測(cè)時(shí)，會(huì)因?yàn)榇R(shí)別的用戶行為類(lèi)型的增加，造成分類(lèi)性能的下降，從而影響檢測(cè)的準(zhǔn)確率。針對(duì)這一問(wèn)題，本文研究了數(shù)據(jù)記錄類(lèi)型所存在的層次性現(xiàn)象，并據(jù)此提出了一種多層分類(lèi)方法，以減少分類(lèi)算法所需要識(shí)別的記錄類(lèi)型。以決策樹(shù)為分類(lèi)算法，使用該方法對(duì)KDD_Cup_99數(shù)據(jù)集訓(xùn)練多層分類(lèi)模型，取得了良好的分類(lèi)性能，特別是明顯改善了小比例樣本的識(shí)別性能。

關(guān)鍵詞：入侵檢測(cè); 分類(lèi); 決策樹(shù); 類(lèi)型層次; 多層分類(lèi)模型

中圖分類(lèi)號(hào)：TP393

文獻(xiàn)標(biāo)識(shí)碼： A

文章編號(hào)?1000-5269（2020）05-0095-07???DOI：10.15958/j.cnki.gdxbzrb.2020.05.15

入侵檢測(cè)是網(wǎng)絡(luò)安全防護(hù)的重要技術(shù)之一，是指對(duì)入侵行為的檢測(cè)與識(shí)別。它通過(guò)對(duì)網(wǎng)絡(luò)行為、安全日志、審計(jì)數(shù)據(jù)等信息的分析，來(lái)判斷網(wǎng)絡(luò)或系統(tǒng)中是否出現(xiàn)違反安全策略的攻擊行為[1]。作為一種主動(dòng)的安全防護(hù)技術(shù)，入侵檢測(cè)可以在攻擊行為產(chǎn)生危害前進(jìn)行攔截，并且對(duì)內(nèi)部和外部的攻擊或危險(xiǎn)行為都能提供有效的防護(hù)，因此被視為防火墻技術(shù)的必要補(bǔ)充。

入侵檢測(cè)技術(shù)的基本原理是通過(guò)對(duì)相關(guān)數(shù)據(jù)的分析，構(gòu)建正常或異常行為的模型，與用戶行為進(jìn)行比較匹配，以甄別出可能具有危害性的行為[2-3]。因此，從相關(guān)數(shù)據(jù)中分析發(fā)掘出有效的行為特征與模式是入侵檢測(cè)技術(shù)的核心與關(guān)鍵。數(shù)據(jù)挖掘作為一種從海量數(shù)據(jù)中搜索挖掘隱藏信息的有效技術(shù)，十分適用于入侵檢測(cè)，包括分類(lèi)、聚類(lèi)、異常檢測(cè)在內(nèi)的多種數(shù)據(jù)挖掘技術(shù)都在入侵檢測(cè)領(lǐng)域取得了顯著的成效[4]。

分類(lèi)是入侵檢測(cè)中較為常用的技術(shù)，研究人員使用了多種不同的分類(lèi)算法來(lái)區(qū)分用戶的正常行為和攻擊行為：段丹青使用支持向量機(jī)（support?vector machine，SVM）算法對(duì)用戶行為進(jìn)行分類(lèi)[5]，取得了97%的分類(lèi)正確率，但其試驗(yàn)只將用戶行為分為正常和異常兩種類(lèi)型，不能充分說(shuō)明SVM算法的分類(lèi)能力;馬占飛等[6]采用粒子群算法來(lái)調(diào)整SVM算法的參數(shù)，在對(duì)5種用戶行為分類(lèi)的試驗(yàn)中取得了93%的正確率，同時(shí)根據(jù)其對(duì)比試驗(yàn)，傳統(tǒng)的SVM算法在對(duì)同樣的數(shù)據(jù)集進(jìn)行分類(lèi)時(shí)，正確率為85%;夏景明等采用隨機(jī)森林算法對(duì)用戶行為進(jìn)行分類(lèi)[7]，其正確率高達(dá)99%，但其同樣只將用戶行為分為兩類(lèi)，缺乏對(duì)復(fù)雜類(lèi)型分類(lèi)能力的證明;丁紅衛(wèi)等采用深度卷積神經(jīng)網(wǎng)絡(luò)對(duì)5種用戶行為進(jìn)行分類(lèi)[8]，并更為細(xì)化地比較了每種類(lèi)型的分類(lèi)正確率，最高達(dá)99%，但該種方法不能對(duì)所有類(lèi)型都保持理想的分類(lèi)能力，最低的分類(lèi)正確率僅有64%;SHONE等提出了一種多層非對(duì)稱(chēng)深度自編碼器算法[9]，對(duì)5種用戶行為進(jìn)行分類(lèi)，除了小比例樣本，都取得了100%的正確率，但由于深度學(xué)習(xí)技術(shù)的固有缺陷，其所訓(xùn)練的分類(lèi)模型缺乏可解釋性。

本文研究了數(shù)據(jù)集中記錄類(lèi)型的層次性現(xiàn)象，提出了一種多層次的分類(lèi)方法，對(duì)處于相同層次的記錄類(lèi)型訓(xùn)練分類(lèi)模型，從而得到多個(gè)針對(duì)不同層次記錄類(lèi)型的分類(lèi)模型，能夠根據(jù)記錄類(lèi)型的層次性實(shí)現(xiàn)自頂向下的識(shí)別。將該方法應(yīng)用在入侵檢測(cè)中，不僅能夠?qū)崿F(xiàn)高效準(zhǔn)確的行為分類(lèi)，而且能夠靈活地控制分類(lèi)的粗細(xì)程度。以決策樹(shù)作為分類(lèi)算法，在權(quán)威的入侵檢測(cè)數(shù)據(jù)集上進(jìn)行試驗(yàn)，結(jié)果表明該方法具有理想的檢測(cè)性能，并且能夠有效地緩解由于行為類(lèi)型增多造成的檢測(cè)性能下降的問(wèn)題。

1?預(yù)備知識(shí)

1.1?決策樹(shù)分類(lèi)

分類(lèi)是指根據(jù)數(shù)據(jù)記錄的各個(gè)屬性取值，識(shí)別數(shù)據(jù)記錄所屬的類(lèi)型。通過(guò)已有數(shù)據(jù)可以訓(xùn)練得到分類(lèi)模型，其定義如下：

決策樹(shù)是一種樹(shù)形的分類(lèi)模型，其節(jié)點(diǎn)分為測(cè)試節(jié)點(diǎn)（非葉子節(jié)點(diǎn)）和決策節(jié)點(diǎn)（葉子節(jié)點(diǎn)）兩類(lèi)：每個(gè)測(cè)試節(jié)點(diǎn)包含一個(gè)測(cè)試條件，每條出邊是測(cè)試條件的一個(gè)輸出;每個(gè)決策節(jié)點(diǎn)包含一個(gè)記錄類(lèi)型的取值，其定義如下：

在使用決策樹(shù)對(duì)記錄X進(jìn)行分類(lèi)時(shí)，從根節(jié)點(diǎn)開(kāi)始進(jìn)行測(cè)試，即計(jì)算v = nt0（X），根據(jù)v的值決定下一個(gè)測(cè)試節(jié)點(diǎn)，直到遇到?jīng)Q策節(jié)點(diǎn)終止，即得到該記錄的類(lèi)型。

Iterative dichotomiser 3（ID3）是Quinlan于1986年提出的算法，它以貪心策略為基礎(chǔ)，以信息增益作為測(cè)試條件有效性的度量指標(biāo)，是第一個(gè)具有廣泛影響力的決策樹(shù)算法。Classification 4.5（C4.5）算法同樣是由Quinlan于1993年提出的，它是ID3算法的改進(jìn)，既能夠處理離散型的屬性，也能夠處理連續(xù)性的屬性，是目前最常用的決策樹(shù)算法[10]。

1.2?入侵檢測(cè)

入侵檢測(cè)是通過(guò)分析用戶行為或系統(tǒng)的相關(guān)數(shù)據(jù)，提取各種行為模式或特征，進(jìn)而識(shí)別出系統(tǒng)中存在的危險(xiǎn)行為。目前的入侵檢測(cè)技術(shù)大致可以分為兩類(lèi)：

（1）異常檢測(cè)：構(gòu)建安全的行為模型作為用戶行為的評(píng)價(jià)標(biāo)準(zhǔn)，當(dāng)用戶行為明顯有別于安全行為模型時(shí)，則認(rèn)為出現(xiàn)了入侵。

（2）特征檢測(cè)：根據(jù)已知的入侵來(lái)提取并構(gòu)建入侵行為的特征庫(kù)，當(dāng)用戶行為與特征庫(kù)中的某個(gè)特征模式匹配時(shí)，則認(rèn)為出現(xiàn)了入侵。

在設(shè)計(jì)一種新的入侵檢測(cè)方法時(shí)，需要一個(gè)包含正常行為和入侵行為的數(shù)據(jù)集，用于檢測(cè)新方法是否有效。目前最為權(quán)威的入侵檢測(cè)數(shù)據(jù)集是1999年國(guó)際知識(shí)發(fā)現(xiàn)和數(shù)據(jù)挖掘競(jìng)賽所公布的數(shù)據(jù)挖掘與知識(shí)發(fā)現(xiàn)數(shù)據(jù)集（knowledge discovery and data mining，KDD_Cup_9）[11]，它來(lái)源于1998年MIT的Lincoln試驗(yàn)室所承擔(dān)的DARPA入侵檢測(cè)評(píng)估項(xiàng)目。該項(xiàng)目建立了一個(gè)模擬軍事網(wǎng)絡(luò)中各類(lèi)入侵行為的數(shù)據(jù)集，共計(jì)約700萬(wàn)條記錄，包含5大類(lèi)網(wǎng)絡(luò)攻擊?；谠摂?shù)據(jù)集，Columbia University的入侵檢測(cè)系統(tǒng)（intrusion detection systems，IDS）試驗(yàn)室進(jìn)行了精簡(jiǎn)和完善，發(fā)布了KDD_Cup_99數(shù)據(jù)集。該數(shù)據(jù)集包括兩個(gè)版本，完全版本包括約500萬(wàn)條記錄，而10%的抽樣版本包含約50萬(wàn)條記錄。迄今為止，KDD_Cup_99是有關(guān)入侵檢測(cè)的研究中應(yīng)用最為廣泛的驗(yàn)證數(shù)據(jù)集。

2?多層決策樹(shù)分類(lèi)方法

2.1?基本原理

決策樹(shù)是一種簡(jiǎn)單有效的分類(lèi)技術(shù)，易于使用和理解。但是，當(dāng)需要分類(lèi)的數(shù)據(jù)記錄具有較多的類(lèi)型時(shí)，會(huì)使決策樹(shù)的規(guī)模變得龐大，從而降低分類(lèi)的準(zhǔn)確率與效率。因此，減少數(shù)據(jù)記錄的類(lèi)型，是提高決策樹(shù)分類(lèi)技術(shù)性能的可行途徑。但數(shù)據(jù)記錄類(lèi)型的減少，不能以弱化分類(lèi)需求為手段，否則可能導(dǎo)致分類(lèi)技術(shù)的效果大大降低。

在分類(lèi)問(wèn)題中，存在著數(shù)據(jù)記錄的類(lèi)型具有層次性的現(xiàn)象，例如，人類(lèi)是哺乳動(dòng)物的子類(lèi)、轎車(chē)是汽車(chē)的子類(lèi)等。然而決策樹(shù)無(wú)法識(shí)別類(lèi)型之間的包含關(guān)系，其分類(lèi)性能也會(huì)受到一定程度的影響。

針對(duì)這一問(wèn)題，可以對(duì)每一個(gè)層次的類(lèi)型分別訓(xùn)練決策樹(shù)，從而顯著減少每棵決策樹(shù)所要?jiǎng)澐值念?lèi)型數(shù)量。同時(shí)，通過(guò)多棵決策樹(shù)的組合，能夠保證對(duì)所有的類(lèi)型完成分類(lèi)。下面給出形式化定義。

對(duì)于兩個(gè)記錄類(lèi)型x和y，若y是x的子類(lèi)，則記為，子類(lèi)關(guān)系的集合記為R。

記錄類(lèi)型如果具有層次性，則可以表示為一棵樹(shù)。由于樹(shù)的0層只有一個(gè)根節(jié)點(diǎn)，即在該層次上只有一個(gè)類(lèi)型，這在實(shí)際的分類(lèi)問(wèn)題中是不可能出現(xiàn)的。為了解決這個(gè)問(wèn)題，可以在記錄類(lèi)型的最高層次上，額外添加一個(gè)origin類(lèi)型，作為最高層次類(lèi)型的父類(lèi)型，用偽代碼表達(dá)為：

其中：T是一棵決策樹(shù);

（2）p是一個(gè)記錄類(lèi)型;

（3）Pp是p的子類(lèi)型集合。

算法1描述了如何對(duì)訓(xùn)練數(shù)據(jù)集D（記錄類(lèi)型集合為P，子類(lèi)關(guān)系集合為R），訓(xùn)練出一個(gè)分層決策森林F。

算法1對(duì)每個(gè)記錄類(lèi)型p，找出其所有子類(lèi)型集合Q。根據(jù)Q，篩選出D的子集DS，其所含數(shù)據(jù)記錄的類(lèi)型（d.type），或者屬于Q，或者是Q中某個(gè)類(lèi)型的子孫類(lèi)型，并將數(shù)據(jù)記錄的類(lèi)型修改為Q中的對(duì)應(yīng)類(lèi)型。由數(shù)據(jù)子集DS和記錄類(lèi)型子集Q，使用決策樹(shù)算法Train Decision Tree（如C4.5）訓(xùn)練出一棵決策樹(shù)T，從而得到一棵分層決策樹(shù)TH = （T， p， Q）。所有的分層決策樹(shù)構(gòu)成分層決策森林F。

算法2是使用分層決策森林F對(duì)數(shù)據(jù)記錄d進(jìn)行分類(lèi)的過(guò)程。

首先從分層決策森林F中選擇TH·p = origin的分層決策樹(shù)，用其對(duì)記錄d進(jìn)行分類(lèi)，得到d在該分層決策樹(shù)上的類(lèi)型t。若存在另一棵TH·p = t的分層決策樹(shù)，則繼續(xù)使用TH對(duì)d進(jìn)行分類(lèi)，得到新的、更為細(xì)化的類(lèi)型。重復(fù)以上過(guò)程，直到不存在TH·p = t。

基于多層決策樹(shù)的分類(lèi)模型具有以下優(yōu)點(diǎn)：

（1）能有效降低決策樹(shù)的規(guī)模，避免出現(xiàn)具有大量節(jié)點(diǎn)的復(fù)雜決策樹(shù)。

（2）分類(lèi)模型易于解釋和表達(dá)。

（3）能夠根據(jù)分類(lèi)的粒度要求，提前終止對(duì)數(shù)據(jù)記錄的細(xì)化分類(lèi)，從而提高分類(lèi)效率。

2.2?KDD_Cup_99數(shù)據(jù)集的多層決策樹(shù)模型

本節(jié)以KDD_Cup_99數(shù)據(jù)集為例，說(shuō)明多層決策樹(shù)的構(gòu)建與應(yīng)用方法。

KDD_Cup_99數(shù)據(jù)集中的記錄類(lèi)型共計(jì)有23種，除了表示正常訪問(wèn)的normal類(lèi)型，剩下的22種類(lèi)型都表示攻擊訪問(wèn)，分屬于4大類(lèi)網(wǎng)絡(luò)攻擊類(lèi)型[12]，具有明顯的層次性。為了進(jìn)一步減少單層決策樹(shù)所要分類(lèi)的記錄類(lèi)型，為其增加一個(gè)attack類(lèi)，作為所有攻擊類(lèi)型的父類(lèi)。數(shù)據(jù)記錄類(lèi)型的層次結(jié)構(gòu)如圖2所示。

根據(jù)算法1，可以訓(xùn)練出由以下6棵分層決策樹(shù)構(gòu)成的決策樹(shù)森林：

對(duì)于一條數(shù)據(jù)記錄，如果它的實(shí)際類(lèi)型是guess-passwd，則會(huì)先后調(diào)用TH1、TH2和TH5進(jìn)行分類(lèi)。分類(lèi)過(guò)程也可以根據(jù)分類(lèi)需求，終止在某個(gè)中間層次。

3?試驗(yàn)與結(jié)果分析

3.1?數(shù)據(jù)預(yù)處理

KDD_Cup_99數(shù)據(jù)集共含有4 898 430條記錄，但在記錄類(lèi)型上的分布并不均衡，并且部分記錄類(lèi)型的數(shù)據(jù)量過(guò)于稀少，對(duì)于決策樹(shù)的訓(xùn)練沒(méi)有實(shí)際意義，如表1所示。為了保證記錄類(lèi)型的均衡，以達(dá)到更好的訓(xùn)練效果，將所有類(lèi)型的記錄數(shù)量限制在2 000～40 000的范圍內(nèi)，故對(duì)數(shù)據(jù)集進(jìn)行以下抽樣處理：

（1）若某種類(lèi)型的記錄數(shù)量小于2 000，則將該類(lèi)型的記錄全部刪除。

（2）若某種類(lèi)型的記錄數(shù)量大于40 000，則從該類(lèi)型的記錄中隨機(jī)抽取40 000條。

（3）若某種類(lèi)型記錄數(shù)量在2 000～40 000之間，則全部保留。

經(jīng)過(guò)抽樣處理后，用于試驗(yàn)的數(shù)據(jù)集中所包含的記錄類(lèi)型及其數(shù)量如表3所示。

對(duì)于每一種類(lèi)型的記錄，都取50%作為訓(xùn)練集，50%作為測(cè)試集。因此，用于試驗(yàn)的數(shù)據(jù)集記錄總量為1 096 085條，其中訓(xùn)練集數(shù)量為548 041條，測(cè)試集數(shù)量為548 044條。

3.2?試驗(yàn)過(guò)程與結(jié)果

本文的試驗(yàn)環(huán)境如表4所示。

試驗(yàn)過(guò)程：

（1）對(duì)類(lèi)型屬于{normal， attack}的記錄訓(xùn)練分類(lèi)模型T1，其對(duì)記錄類(lèi)型的分類(lèi)準(zhǔn)確率記為Acc（T1， normal）和Acc（T1， attack）。

（2）對(duì)類(lèi)型屬于{dos， probel}的記錄訓(xùn)練分類(lèi)模型T2，其對(duì)記錄類(lèi)型的分類(lèi)準(zhǔn)確率記為Acc（T2， dos）、Acc（T2， probel）。

（3）對(duì)類(lèi)型屬于{back， neptune， smurf}的記錄訓(xùn)練分類(lèi)模型T3，其對(duì)記錄類(lèi)型的分類(lèi)準(zhǔn)確率記為Acc（T3， back）、Acc（T3， neptune）、Acc（T3， smurf）。

（4）對(duì)類(lèi)型屬于{ipsweep， nmap， portsweep， satan}的記錄訓(xùn)練分類(lèi)模型T4，其對(duì)記錄類(lèi)型的分類(lèi)準(zhǔn)確率記為Acc（T4， ipsweep）、Acc（T4， nmap）、Acc（T4， portsweep）、Acc（T4， satan）。

試驗(yàn)結(jié)果如表5所示。

根據(jù)算法2，一條記錄要經(jīng)過(guò)多棵決策樹(shù)的分類(lèi)，直至最底層的類(lèi)型，因此其分類(lèi)準(zhǔn)確率應(yīng)等于上層類(lèi)型分類(lèi)準(zhǔn)確的乘積，即：

將試驗(yàn)數(shù)據(jù)集直接使用C4.5決策樹(shù)算法進(jìn)行分類(lèi)作為對(duì)照試驗(yàn)，結(jié)果如表6所示。

由表6的對(duì)照試驗(yàn)結(jié)果可知，多層決策樹(shù)分類(lèi)方法具有較為優(yōu)異的性能，對(duì)各種類(lèi)型的記錄都保持了很高的分類(lèi)準(zhǔn)確率。對(duì)比普通的決策樹(shù)分類(lèi)方法，由于其每次所需要區(qū)分的記錄類(lèi)型較少，對(duì)記錄特征的識(shí)別更為準(zhǔn)確。普通決策樹(shù)分類(lèi)方法不能有效地區(qū)分neptune和smurf兩種記錄類(lèi)型，而多層決策樹(shù)分類(lèi)方法則能夠進(jìn)行有效的識(shí)別。

4?結(jié)語(yǔ)

分類(lèi)技術(shù)在入侵檢測(cè)中已經(jīng)得到了較為成功的應(yīng)用，攻擊行為的識(shí)別效率和準(zhǔn)確率方面都取了較為理想的結(jié)果。但分類(lèi)技術(shù)在處理多類(lèi)型數(shù)據(jù)集時(shí)，會(huì)產(chǎn)生模型構(gòu)建困難、分類(lèi)準(zhǔn)確率下降的問(wèn)題。本文針對(duì)這一問(wèn)題，結(jié)合入侵行為的類(lèi)型所具有的層次性特點(diǎn)，提出了一種多層分類(lèi)的入侵檢測(cè)方法，并以決策樹(shù)算法進(jìn)行了實(shí)現(xiàn)。試驗(yàn)結(jié)果表明，該方法能夠有效提高入侵檢測(cè)的識(shí)別準(zhǔn)確率，特別是對(duì)小比例的入侵行為的識(shí)別上，具有較大的改進(jìn)。

在本文工作的基礎(chǔ)上，可進(jìn)一步展開(kāi)以下研究工作：

（1）研究和比較多層分類(lèi)模型與單層分類(lèi)模型的復(fù)雜度。

（2）研究不同分類(lèi)算法對(duì)多層分類(lèi)模型的性能影響。

（3）研究新出現(xiàn)的攻擊行為類(lèi)型，并構(gòu)建相關(guān)的數(shù)據(jù)集。

參考文獻(xiàn)：

[1]李威，?楊忠明. 入侵檢測(cè)系統(tǒng)的研究綜述[J].?吉林大學(xué)學(xué)報(bào)（信息科學(xué)版），?2016，?34（5）： 657-662.

[2]ZARPELO B B，?MIANI R S，?KAWAKANI C T，?et al.?A survey of intrusion detection in Internet of things[J].?Journal of Network & Computer Applications，?2017，?84（3）：25-37.

[3]陳俊，?陳孝威.?基于關(guān)聯(lián)規(guī)則挖掘的IPv6入侵檢測(cè)系統(tǒng)研究[J].?貴州大學(xué)學(xué)報(bào)（自然科學(xué)版），?2013，?30（2）： 66-71.

[4]BUCZAK A L.?A survey of data mining and machine learning methods for cyber security intrusion detection[J].?IEEE Communications Surveys & Tutorials，?2017，?18（2）： 1153-1176.

[5]段丹青.?入侵檢測(cè)算法及其關(guān)鍵技術(shù)研究[D].?長(zhǎng)沙： 中南大學(xué)，?2007.

[6]馬占飛，?陳虎年，?楊晉，?等.?一種基于IPSO-SVM算法的網(wǎng)絡(luò)入侵檢測(cè)方法[J].?計(jì)算機(jī)科學(xué)，?2018，?45（2）： 231-235.

[7]夏景明，?李沖，?談玲，?等.?改進(jìn)的隨機(jī)森林分類(lèi)器網(wǎng)絡(luò)入侵檢測(cè)方法[J].?計(jì)算機(jī)工程與設(shè)計(jì)，?2019，?40（8）： 2146-2150.

[8]丁衛(wèi)紅，?萬(wàn)良，?周康，?等.?基于深度卷積神經(jīng)網(wǎng)絡(luò)的入侵檢測(cè)研究[J].?計(jì)算機(jī)科學(xué)，?2019，?46（7）： 50-55.

[9]SHONE N，?NGOC T N，?PHAI V D，?et al.?A deep learning approach to network intrusion detection[J].?IEEE Transactions on Emerging Topics in Computational Intelligence，?2018，?2（1）： 41-49.

[10]FLETCHER S，?ISLAM M Z，?Decision tree classification with differential privacy： a survey[J].?ACM Computing Surveys，?2016，?48（5）： 161-172.

[11]SIDDIQUE K，?AKHTAR Z，?ASLAM K F，?et al.?KDD_Cup_99 data sets： a perspective on the role of data sets in network intrusion detection research[J].?Computer，?2019，?52（2）： 41-51.

[12]WANG Y，?YANG K，?JING X，?et al.?Problems of KDD_Cup_99 dataset existed and data preprocessing[J].?Applied Mechanics and Materials，?2014，?66（7）： 218-225.

（責(zé)任編輯：于慧梅）