周穎

如今人們的生活越來越離不開網(wǎng)絡，網(wǎng)絡安全的重要性日益凸顯，而網(wǎng)絡入侵檢測是網(wǎng)絡安全的重中之重，已經(jīng)成為許多現(xiàn)代網(wǎng)絡應用的重要安全工具。入侵檢測系統(tǒng)入侵檢測系統(tǒng)的任務是識別、分類，并對惡意的、可疑的或偏離公認標準的活動做出反應，入侵檢測系統(tǒng)包含特征選擇和訓練樣本兩個模塊。有效的特征選擇（Feature Selection，F(xiàn)S）可為入侵檢測從海量數(shù)據(jù)中篩除大量的噪聲，選出有效的關鍵特征，在訓練樣本中使用不同的算法對于不同量級的數(shù)據(jù)集會有顯著差異。為了提高入侵檢測系統(tǒng)的性能，采用PCA和KNN算法進行特征選擇，在KDD-CPU99入侵檢測的大量實驗結果表明，KNN算法表現(xiàn)優(yōu)異，可提高入侵檢測系統(tǒng)的準確性、降低誤報率。

網(wǎng)絡級的入侵檢測可以分為數(shù)據(jù)包的捕獲、預處理以及對數(shù)據(jù)包進行攻擊檢測的過程。系統(tǒng)通過分析網(wǎng)絡流量或系統(tǒng)審計紀錄等，來發(fā)現(xiàn)網(wǎng)絡或系統(tǒng)中是否有違反安全策略的攻擊行為，以便系統(tǒng)管理員采取有效的措施。因系統(tǒng)要對網(wǎng)絡中的海量數(shù)據(jù)進行分析，必然會影響系統(tǒng)處理的實時性，降低了系統(tǒng)的檢測速度，影響系統(tǒng)的檢測效果，因此在保證檢測準確率的前提下，如何提高入侵檢測速度成為當前研究熱點。

特征選擇是有效檢測的重要技術之一，F(xiàn)S的重要性可以從兩方面來看：第一個方面是濾除噪聲，消除無關和冗余特征，由于數(shù)據(jù)集中有大量嘈雜、不相關或誤導性的特征，F(xiàn)S是強制性的；另一方面，F(xiàn)S可以被認為是一個優(yōu)化問題，其特征的最優(yōu)子集可更好地滿足期望?？梢允褂媚承┰u估標準來衡量FS優(yōu)化的質(zhì)量，由于FS是一個難題，所以目前沒有完全適用的方法來找到它的最佳特征子集。

針對入侵檢測的特征選擇，研究人員已經(jīng)做了大量的研究工作，有人提出了基于粒子群優(yōu)化（Partical Swarm Optimization， PSO）算法的入侵檢測特征選擇方法；有人對網(wǎng)絡數(shù)據(jù)的特征選擇采用基于距離準則的適應度函數(shù)指導PSO的方法，此方法提高了分類算法質(zhì)量；有人將PSO算法與免疫思想相結合應用于特征選擇，在一定程度上提高了PSO算法的收斂速度；有人提出基于量子粒子群優(yōu)化（Quantum Partical Swarm Optimization， QPSO）的入侵特征選擇方法，實現(xiàn)網(wǎng)絡入侵特征子集的優(yōu)化選擇，主要依靠QPSO算法有較好的全局尋優(yōu)能力；有人提出基于KNN算法及禁忌搜索算法的特征選擇方法在入侵檢測中的應用研究；有人分別將入侵檢測中的特征選擇問題看作多目標優(yōu)化問題來處理，該方法在顯著提高檢測算法效率的同時，檢測精度也得到提高；有人提出的入侵檢測特征選擇算法是基于遺傳算法的，算法在保證特征分類精度和確保入侵檢測漏檢率、誤檢率盡量小的前提下明顯提高了入侵檢測的效率。但以上特征選擇算法均存在容易陷入局部最優(yōu)、迭代后期收斂速度慢的缺陷。

KDD-CPU99入侵檢測方法采用蟻群優(yōu)化算法和分類器來選擇識別新入侵的重要特征，解決了入侵檢測問題領域的降維問題。實驗是在NSL-KDD數(shù)據(jù)集上進行和確定的，該方法從41個特征中選擇了24個，準確率為98.9 %，誤報率為2.59 %。結果表明該模型對入侵檢測系統(tǒng)是有效的。

參考以上可以得出結論，一些特征在入侵檢測中非常重要，此外證明，沒有單一的通用分類器能夠對所有攻擊類型進行分類。相反，在某些情況下，特定的分類器比其他分類器性能更好。因此，這些工作促進了入侵檢測模型采用多分類器集成和融合，所以KDD-CPU99數(shù)據(jù)集作為入侵檢測模型的樣本數(shù)據(jù)，并選擇BP神經(jīng)網(wǎng)絡等常用入侵檢測方法進行性能對比分析，是兩種特征選擇與分類器融合選擇中的較優(yōu)模型。

KDD-CPU99數(shù)據(jù)集是在入侵檢測領域中廣泛使用的數(shù)據(jù)集，主要分為訓練數(shù)據(jù)集和測試數(shù)據(jù)集兩部分。該數(shù)據(jù)集提供了從一個模擬美國空軍局域網(wǎng)上采集的9個星期的網(wǎng)絡連接數(shù)據(jù)，其中訓練數(shù)據(jù)集包含了7個星期的大約500萬條連接記錄，測試數(shù)據(jù)集包含了2個星期的大約200萬條連接記錄，其中每個記錄包含41個特征。

由于KDD-CPU99數(shù)據(jù)集規(guī)模比較大，在普通的筆記本電腦上運行計算耗時過長，為此，選擇KDD官方網(wǎng)站提供的抽取10%的數(shù)據(jù)集（kddcup.testdata.unlabeled_10_percent.csv）和測試子集（corrected）進行仿真實驗。實驗運行的機器環(huán)境如下：Intel酷睿i5-10210U處理器，1.6 GHz基礎頻率，睿頻4.2 GHz，運算性能為4核8線程。

神經(jīng)網(wǎng)絡訓練結果為Instructions for updating：this property should not be used in TensorFlow 2.0， as updates are applied automatically.0.0008896411208646513 0.99004745。其中Epoch代表迭代次數(shù)，在第9層神經(jīng)網(wǎng)絡中已經(jīng)達到丟失數(shù)據(jù)率為0.21 %，準確率達到97.56 %。

KNN訓練后準確率達到了100 %，宏平均是對每個類別的精準、召回和F1加和求平均，達到了70 %。

從以上實驗可以發(fā)現(xiàn)，使用PCA進行特征選擇和BP神經(jīng)網(wǎng)絡訓練樣本進行預測，與使用KNN進行特征選擇與樣本預測均在KDD官方網(wǎng)站提供的抽取10 %的數(shù)據(jù)集上有良好的表現(xiàn)。KNN的表現(xiàn)較為優(yōu)秀，可能由于實驗采用的數(shù)據(jù)集僅抽取了KDDcup99數(shù)據(jù)集中的一小部分，而通過以往的文獻可知，KNN在數(shù)據(jù)集較小時表現(xiàn)更為優(yōu)異，神經(jīng)網(wǎng)絡在大數(shù)據(jù)集下表現(xiàn)更為突出。

在網(wǎng)絡入侵檢測建模過程中，特征和訓練樣本的選擇對于網(wǎng)絡檢測效果具有重要的影響。為此，在小數(shù)據(jù)集的情況下，對比基于TensorFflow平臺的BP神經(jīng)網(wǎng)絡和PCA特征選取與KNN分類器組合的網(wǎng)絡入侵檢測模型，實驗結果表明，PCA-KNN提高了入侵檢測的正確率，宏平均達到了70%，證明了該方法的有效性和可行性。