田桂豐,單志龍,廖祝華,王煜林

(1.廣州理工學(xué)院 計(jì)算機(jī)科學(xué)與工程學(xué)院,廣東 廣州 510540;2.華南師范大學(xué) 計(jì)算機(jī)學(xué)院,廣東 廣州 510631;3.湖南科技大學(xué) 計(jì)算機(jī)學(xué)院,湖南 湘潭 411103)

伴隨著互聯(lián)網(wǎng)用戶數(shù)量快速增長,多樣化及個(gè)性化互聯(lián)網(wǎng)服務(wù)應(yīng)運(yùn)而生,在用戶享受便利的互聯(lián)網(wǎng)服務(wù)時(shí),互聯(lián)網(wǎng)安全問題也逐漸引起廣泛關(guān)注[1]。特別是在金融、社交和電商類軟件或網(wǎng)站的使用中,網(wǎng)絡(luò)攻擊及數(shù)據(jù)侵入竊取問題層出不窮,網(wǎng)絡(luò)安全問題成為網(wǎng)絡(luò)服務(wù)大力發(fā)展亟需解決的關(guān)鍵問題。網(wǎng)絡(luò)入侵檢測能夠有效發(fā)現(xiàn)網(wǎng)絡(luò)中的隱藏攻擊,并分辨出攻擊類型,從而為網(wǎng)絡(luò)安全決策提供有力保障。在網(wǎng)絡(luò)安全防御中一般是將主動(dòng)防御和被動(dòng)防御相結(jié)合,網(wǎng)絡(luò)入侵檢測技術(shù)作為一種主動(dòng)防御,可以有效檢測出各種網(wǎng)絡(luò)攻擊,從而為網(wǎng)絡(luò)安全防御提供準(zhǔn)確對(duì)象,特別是結(jié)合深度學(xué)習(xí)算法后,極大地提高了入侵檢測算法的準(zhǔn)確性。

近年來,關(guān)于網(wǎng)絡(luò)入侵檢測技術(shù)的研究較多,費(fèi)宏慧等[2]采用分布式計(jì)算用于大數(shù)據(jù)量的網(wǎng)絡(luò)入侵檢測,改善了大規(guī)模數(shù)據(jù)網(wǎng)絡(luò)入侵檢測的效率,提高了大規(guī)模數(shù)據(jù)的網(wǎng)絡(luò)入侵檢測實(shí)時(shí)性能,但檢出率并不高。姜濱提出[3]采用特征選擇法用于網(wǎng)絡(luò)入侵檢測,通過深度挖掘網(wǎng)絡(luò)各種攻擊特征,以提高網(wǎng)絡(luò)入侵檢出率和降低虛報(bào)警率,但檢測時(shí)間也耗費(fèi)較多。陳紅松等[4]采用循環(huán)神經(jīng)網(wǎng)絡(luò)方法用于無線網(wǎng)絡(luò)的網(wǎng)絡(luò)入侵檢測,通過多次訓(xùn)練有效提高了網(wǎng)絡(luò)共攻擊檢出準(zhǔn)確度,但也帶來了較大的虛警報(bào)率。因此要獲得更優(yōu)的網(wǎng)絡(luò)入侵檢測性能,還需要不斷優(yōu)化入侵檢測算法,本文將快速區(qū)域卷積神經(jīng)網(wǎng)絡(luò)(Faster region-convolutional neural network,Faster R-CNN)算法應(yīng)用于網(wǎng)絡(luò)入侵檢測,以便能夠獲得較好的網(wǎng)絡(luò)入侵檢出率,并且提高檢測效率。

1 Faster R-CNN結(jié)構(gòu)與CNN算法

Faster R-CNN最早用于圖像數(shù)據(jù)的分類與回歸,后來廣泛用于復(fù)雜數(shù)據(jù)的分類與識(shí)別[5],其工作主要流程如圖1所示。

在特征提取和候選區(qū)域生成中,分別采用了卷積神經(jīng)網(wǎng)絡(luò)(Convolutional neural network,CNN)和區(qū)域候選網(wǎng)絡(luò)(Region proposal network,RPN)。通過CNN的卷積運(yùn)算,提取圖像特征并生成若干個(gè)以矩形框?yàn)閯澐挚虻亩鄠€(gè)候選區(qū)域[6]。

在基本神經(jīng)網(wǎng)絡(luò)的基礎(chǔ)上進(jìn)行卷積和池化操作,將圖像樣本進(jìn)行處理后獲得特征圖,通過特征圖訓(xùn)練,減少了原始圖像樣本訓(xùn)練規(guī)模,提高了訓(xùn)練效率,在輸出多類別情況下,需要經(jīng)過分類器處理。深度卷積神經(jīng)網(wǎng)絡(luò)流程如圖2所示。

設(shè)樣本集X=(x1,x2,…,xn),Mj個(gè)樣本特征圖通過第l層的卷積運(yùn)算

(1)

式中:klj和bl,j分別表示l層特征圖j賦予的權(quán)重及偏置,*為卷積運(yùn)算,其中f(·)的表達(dá)式為

(2)

卷積操作對(duì)象為n個(gè)樣本的m個(gè)特征。設(shè)卷積核尺寸為h×w,池化方法有2種,分別是

(3)

(4)

可以看出,式(3)為均值池化,式(4)為最大值池化,本文選擇式(3)進(jìn)行池化操作。

令M=n/(h×w),樣本X=(x1,x2,…,xn)卷積池化后重新得到的樣本[7]為

X=(x1,x2,…,xM)

(5)

然后根據(jù)卷積池化后的樣本按照式(6)進(jìn)行轉(zhuǎn)換運(yùn)算

(6)

構(gòu)建卷積神經(jīng)網(wǎng)絡(luò)的全連接層后選擇分類器預(yù)測樣本類別。設(shè)第k個(gè)節(jié)點(diǎn)的訓(xùn)練輸出和實(shí)際標(biāo)簽分別為yk和dk,則誤差項(xiàng)δk為

δk=(dk-yk)yk(1-yk)

(7)

假設(shè)第l和l+1層分別有L和M個(gè)節(jié)點(diǎn),則第l層節(jié)點(diǎn)j的誤差為

(8)

式中:hj為輸出,Wjk為神經(jīng)元j到l+1層神經(jīng)元k的權(quán)重。權(quán)重更新為

(9)

式中:η為學(xué)習(xí)率。

偏置Δbk(n)的更新方式[8]為

(10)

式中:α為偏置更新步長,一般α=1。

調(diào)整后的權(quán)重為

wjk(n+1)=wjk(n)+Δwjk(n)

(11)

調(diào)整后的閾值為

bk(n+1)=bk(n)+Δbk(n)

(12)

所有節(jié)點(diǎn)的誤差E為

(13)

當(dāng)E滿足設(shè)定的閾值,迭代停止,獲得穩(wěn)定的深度卷積神經(jīng)網(wǎng)絡(luò)模型。

2 基于Faster R-CNN的網(wǎng)絡(luò)入侵檢測方法

2.1 基于CNN的網(wǎng)絡(luò)數(shù)據(jù)的特征提取

在對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行分類之前,需要了解網(wǎng)絡(luò)數(shù)據(jù)的常見攻擊類型及攻擊數(shù)學(xué)特征,以便能夠準(zhǔn)確檢測網(wǎng)絡(luò)數(shù)據(jù)。網(wǎng)絡(luò)攻擊類型主要構(gòu)成見圖3所示。

圖3 網(wǎng)絡(luò)常見攻擊分類

根據(jù)網(wǎng)絡(luò)常見攻擊分類,結(jié)合每一種攻擊分類包含的攻擊類型,一般攻擊類型有22種,結(jié)合攻擊類型特點(diǎn),對(duì)每一種類型進(jìn)行屬性定義,通過時(shí)間、流量及內(nèi)容屬性生成每一種攻擊類型的特征。

通過網(wǎng)絡(luò)監(jiān)測軟件抓取數(shù)據(jù)包之后,通過數(shù)值化歸一化處理,獲得待檢測數(shù)據(jù)特征,根據(jù)網(wǎng)絡(luò)入侵檢測要求,對(duì)數(shù)據(jù)特征進(jìn)行維度劃分,根據(jù)D1*D1=D,將總維度D劃分為D1*D1的二維特征,這是為了更接近平面圖像的二維坐標(biāo)定義[9]。在CNN運(yùn)算,更多的是用于平面二維圖像的特征提取,為了使網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)更加適用于R-CNN特征提取,將其仿照成二維圖像分布,生成數(shù)字矩陣模式。設(shè)定卷積核為2*2,再采用sigmoid函數(shù)作為轉(zhuǎn)換函數(shù)進(jìn)行CNN運(yùn)算。

2.2 基于R-CNN的RPN層數(shù)學(xué)描述

典型的RPN網(wǎng)絡(luò)分析如圖4所示。

圖4 RPN網(wǎng)絡(luò)分析

在RPN層主要是生成候選區(qū)域,通過多個(gè)基準(zhǔn)矩形框來組成候選區(qū)域,其中候選區(qū)域和矩形框a的屬性如表1所示。

表1 候選區(qū)域和矩形框?qū)傩?/p>

根據(jù)候選區(qū)域與矩形框的坐標(biāo)對(duì)比,對(duì)每一個(gè)多尺寸矩形框設(shè)置4個(gè)參數(shù)tx、ty、tw和th,根據(jù)參數(shù),可以獲得候選區(qū)域與矩形框的關(guān)系表達(dá)式[10]

x=watx+xa

(14)

y=haty+ya

(15)

w=waexp(tw)

(16)

h=haexp(th)

(17)

2.3 分類回歸網(wǎng)絡(luò)

根據(jù)圖1的Faster R-CNN模型結(jié)構(gòu),分類回歸網(wǎng)絡(luò)(Classification regression network,CRN)的輸入分別來自于網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)的特征提取結(jié)果和RPN的候選區(qū)域。在對(duì)候選區(qū)域生成的尺寸多樣化,但是在分類回歸時(shí),二維維度需要對(duì)稱,因此需要對(duì)多樣化的矩形框尺寸進(jìn)行處理[11],一般采用空間金字塔池化方法來解決該問題。

輸入特征圖和經(jīng)過空間金字塔池化后的數(shù)據(jù)樣本,在CRN中經(jīng)過訓(xùn)練獲得網(wǎng)絡(luò)入侵攻擊類型各類別的分?jǐn)?shù)以及tx、ty、tw和th4個(gè)參數(shù),最后采用Softmax分類器對(duì)分?jǐn)?shù)進(jìn)行處理得到候選區(qū)域相對(duì)于各種攻擊類型的置信度[12],對(duì)置信度降序排序,從而獲得該網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)的檢測結(jié)果。

2.4 基于Faster R-CNN的網(wǎng)絡(luò)入侵檢測流程

采用卷積神經(jīng)網(wǎng)絡(luò)對(duì)抓取的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行特征提取,然后在RPN層采用不同的矩形基準(zhǔn)框生成候選區(qū)域,最后采用CRN對(duì)特征提取數(shù)據(jù)和候選區(qū)域數(shù)據(jù)采用空間金字塔池化和Softmax分類,其主要流程如圖5所示。

圖5 Faster R-CNN網(wǎng)絡(luò)入侵檢測

3 實(shí)例仿真

為了驗(yàn)證Faster R-CNN網(wǎng)絡(luò)入侵檢測效果,進(jìn)行實(shí)例仿真。為了驗(yàn)證本文算法對(duì)不同數(shù)據(jù)樣本的適用度,直接用了現(xiàn)有的數(shù)據(jù)集。選擇了國內(nèi)外常用的網(wǎng)絡(luò)安全檢測數(shù)據(jù)集[13],具體的仿真數(shù)據(jù)如表2所示。

表2 仿真數(shù)據(jù)集

差異化設(shè)置CNN特征提取的卷積核尺寸,RPN層的矩形框數(shù)目,充分驗(yàn)證基于Faster R-CNN對(duì)網(wǎng)絡(luò)入侵檢測性能的影響,最后比較本文算法和常用的網(wǎng)絡(luò)入侵檢測算法在4種數(shù)據(jù)集的性能差異。

3.1 不同卷積核尺寸CNN的網(wǎng)絡(luò)入侵檢測性能

為了充分驗(yàn)證不同卷積核尺寸下CNN特征提取對(duì)網(wǎng)絡(luò)入侵檢測的性能,采用Matlab仿真得到的結(jié)果如表3和4。

從表3可以看出,隨著卷積核尺寸的增加,4種不同的網(wǎng)絡(luò)樣本的網(wǎng)絡(luò)攻擊檢出率均在下降,當(dāng)卷積核為4*4時(shí),數(shù)據(jù)集3的檢出率最低僅為0.833 7,這是因?yàn)榫矸e核尺寸過大,在進(jìn)行特征提取時(shí)粒度過大,過濾了網(wǎng)絡(luò)流量數(shù)據(jù)的部分有效特征,在網(wǎng)絡(luò)流量數(shù)據(jù)特征不完整的情況下,造成在CRN分類時(shí)誤差過大。而且隨著卷積核增大,網(wǎng)絡(luò)檢測誤報(bào)率也增加大,所以為了保持較高的網(wǎng)絡(luò)攻擊檢出率和降低誤報(bào)率,卷積核最好選擇2*2。綜合而言,在本文的CNN和RPN卷積運(yùn)算中,采用2*2尺寸。

表3 不同卷積核尺寸的檢測性能

表4 不同卷積核尺寸的收斂時(shí)間

從表4可知,暫不考慮卷積核差異,4種不同數(shù)據(jù)集的檢測時(shí)間性能差異較大,耗時(shí)最久的數(shù)據(jù)集1最長檢測時(shí)間需要46.233 s,而檢測速度最快的數(shù)據(jù)集4僅需2.074 s。這是因?yàn)?種數(shù)據(jù)集的樣本量差異較大的緣故。在同一種數(shù)據(jù)集中,對(duì)比不同卷積核尺寸,檢測時(shí)間相差并不大,這是因?yàn)樵贔ast R-CNN中采用了RPN,即使CNN特征提取較多,但采用了RPN候選區(qū)域后,弱化了因?yàn)樘卣鞫喽斐傻臋z測慢問題,所以卷積核尺寸變化對(duì)檢測時(shí)間的影響并不大。

3.2 不同矩形框數(shù)目的檢測性能

為了驗(yàn)證RPN中不同矩形框數(shù)對(duì)網(wǎng)絡(luò)入侵檢測性能的影響,差異化設(shè)置基準(zhǔn)矩形框數(shù)目,驗(yàn)證4種不同數(shù)據(jù)集的檢測性能。

如圖6所示,4種網(wǎng)絡(luò)數(shù)據(jù)樣本均收斂到了穩(wěn)定的網(wǎng)絡(luò)攻擊檢出率,但不同數(shù)據(jù)樣本收斂時(shí)需要的基準(zhǔn)矩形框數(shù)不同,且檢出率性能不會(huì)隨著矩形框數(shù)的增加而不斷提升。達(dá)到穩(wěn)定檢出率時(shí),數(shù)據(jù)集1需要16個(gè)矩形框,而數(shù)據(jù)集4僅需要12個(gè)完成收斂。

圖6 不同矩形框數(shù)目的網(wǎng)絡(luò)入侵檢出率

在圖7中,在數(shù)據(jù)集達(dá)到穩(wěn)定檢出率之前,檢測時(shí)間隨著矩形框數(shù)目增加而逐漸攀升,但是當(dāng)檢出率達(dá)到穩(wěn)定值后繼續(xù)增加矩形框數(shù)目,除了數(shù)據(jù)集4之外,其他3種數(shù)據(jù)集的檢出時(shí)間快速增加,這是因?yàn)榫匦慰驍?shù)目增加,所需要計(jì)算的修正參數(shù)增多。因此,RPN訓(xùn)練時(shí)選擇合適的矩形框數(shù)目對(duì)檢測時(shí)間性能很重要。

圖7 不同矩形框數(shù)目的網(wǎng)絡(luò)入侵檢測時(shí)間

3.3 不同算法的檢測性能

為了驗(yàn)證常用網(wǎng)絡(luò)入侵檢測算法的網(wǎng)絡(luò)攻擊檢出性能,分別采用多核SVM[14]、BP神經(jīng)網(wǎng)絡(luò)[15]、卷積神經(jīng)網(wǎng)絡(luò)[16]和Faster R-CNN算法對(duì)數(shù)據(jù)集1分別進(jìn)行性能仿真。本文采用CNN卷積核2*2,RPN矩形框數(shù)目為16,結(jié)果如圖8所示。

圖8 4種算法的檢測性能

如圖8所示,卷積神經(jīng)網(wǎng)絡(luò)和本文算法的檢出性能最優(yōu),兩者訓(xùn)練穩(wěn)定時(shí)的網(wǎng)絡(luò)攻擊檢出率均達(dá)到了95%以上,但本文算法的檢測時(shí)間性能遠(yuǎn)優(yōu)于卷積神經(jīng)網(wǎng)絡(luò),本文算法在46 s左右達(dá)到收斂,而卷積神經(jīng)網(wǎng)絡(luò)的檢測時(shí)間在60 s以上。

4 結(jié)語

采用Faster R-CNN算法用于網(wǎng)絡(luò)入侵檢測,在CNN和RPN訓(xùn)練時(shí)選擇合適的卷積核尺寸,RPN中選擇合適數(shù)目的基準(zhǔn)矩形框,可以獲得較好的網(wǎng)絡(luò)攻擊檢出性能。后續(xù)研究將進(jìn)一步優(yōu)化網(wǎng)絡(luò)樣本特征提取方法,提高網(wǎng)絡(luò)攻擊檢測效率。