（1.空軍工程大學(xué)研究生院，西安 710051；2.空軍工程大學(xué)防空反導(dǎo)學(xué)院，西安 710051）

0 引言

隨著大數(shù)據(jù)時代的到來，網(wǎng)絡(luò)給人們帶來了極大的便利，但同時由于安全意識的缺乏，網(wǎng)絡(luò)也帶來了不可估量的安全問題。原始的網(wǎng)絡(luò)安全預(yù)防主要通過防火墻、殺毒軟件等技術(shù)被動防御外來的網(wǎng)絡(luò)入侵，無法預(yù)測未來的走向。網(wǎng)絡(luò)安全態(tài)勢預(yù)測能夠?qū)W(wǎng)絡(luò)狀態(tài)進行分析，預(yù)測將來發(fā)生的狀況，可在網(wǎng)絡(luò)受到危險之前制定安全防范措施。因此，設(shè)計出有效、準(zhǔn)確的網(wǎng)絡(luò)安全態(tài)勢預(yù)測模型是由被動防御轉(zhuǎn)為主動防御的關(guān)鍵一步。

目前對網(wǎng)絡(luò)安全態(tài)勢預(yù)測模型的研究方法各種各樣［1］，傳統(tǒng)的預(yù)測模型基本分為三種：統(tǒng)計分析模型、數(shù)據(jù)驅(qū)動模型和定性知識模型。統(tǒng)計分析模型如灰色預(yù)測需要建立精準(zhǔn)的數(shù)學(xué)表達(dá)式，計算量大，且只能預(yù)測態(tài)勢的大致趨勢，不能預(yù)測精準(zhǔn)的態(tài)勢值；數(shù)據(jù)驅(qū)動模型如反向傳播（Back Propagation，BP）神經(jīng)網(wǎng)絡(luò)需要利用大量的定量數(shù)據(jù)對模型進行優(yōu)化訓(xùn)練，學(xué)習(xí)速度低，易出現(xiàn)過擬合、收斂慢等不足；定性知識模型只憑借專家經(jīng)驗及定性描述的數(shù)據(jù)無法有效利用定量信息，會出現(xiàn)組合爆炸及預(yù)測結(jié)果不準(zhǔn)確等問題。文獻(xiàn)［2］提出利用改進灰色關(guān)聯(lián)理論對收集到的異常流量進行關(guān)聯(lián)分析，實現(xiàn)校園網(wǎng)的態(tài)勢感知，數(shù)據(jù)量運算大。文獻(xiàn)［3］用BP 神經(jīng)網(wǎng)絡(luò)作為預(yù)測模型，通過人群搜索算法優(yōu)化其參數(shù)，實現(xiàn)了更好的穩(wěn)定性，但增加了訓(xùn)練時間成本。文獻(xiàn)［4］采用模擬退火與高斯擾動的粒子群與支持向量機結(jié)合的預(yù)測模型，提高了預(yù)測精度，但收斂慢。文獻(xiàn)［5］提出隱置信規(guī)則庫模型，綜合了專家經(jīng)驗和實驗數(shù)據(jù)，成為復(fù)雜系統(tǒng)隱行為預(yù)測的一種有效方法。綜合上述所提方法的優(yōu)缺點，需要進一步尋求更優(yōu)算法建立網(wǎng)絡(luò)安全態(tài)勢預(yù)測模型。極限學(xué)習(xí)機（Extreme Learning Machine，ELM）［6］是一種基于單隱含層前饋神經(jīng)網(wǎng)絡(luò)的最新研究成果，彌補了傳統(tǒng)神經(jīng)網(wǎng)絡(luò)過擬合、收斂慢等缺陷。同時隨著啟發(fā)式算法的快速發(fā)展，眾多學(xué)者對大量傳統(tǒng)的啟發(fā)式算法本身進行改進，進而優(yōu)化神經(jīng)網(wǎng)絡(luò)，使其產(chǎn)生更好的訓(xùn)練效果。文獻(xiàn)［7］提出一種改進遺傳算法（Genetic Algorithm，GA），對遺傳算法的種群、適應(yīng)度函數(shù)、交叉概率及變異概率進行了改進，保持了種群的多樣性的同時，避免了早熟收斂。文獻(xiàn)［8］提出一種針對粒子群優(yōu)化（Particle Swarm Optimization，PSO）算法收斂慢的改進，綜合了指數(shù)衰減慣性權(quán)重和增強控制的學(xué)習(xí)因子，可以在較少的迭代次數(shù)獲得更好的優(yōu)化效果。文獻(xiàn)［9］將粒子群算法與支持向量機結(jié)合進行網(wǎng)絡(luò)安全態(tài)勢預(yù)測，表明了該方法的可行性，實現(xiàn)對網(wǎng)絡(luò)安全威脅的有效防御，但支持向量機本身并不能進行大規(guī)模樣本訓(xùn)練。文獻(xiàn)［10］將GA 與ELM 結(jié)合建立GA-ELM 預(yù)測模型，具有更高的預(yù)測精度和更好的泛化能力，但遺傳算法的收斂始終較慢。文獻(xiàn)［11］提出PSO 與ELM 組合算法，避免了ELM網(wǎng)絡(luò)不穩(wěn)定問題。

綜上，基于ELM 的快速收斂能力及PSO 的穩(wěn)定尋優(yōu)性能，本文提出了一種改進粒子群優(yōu)化極限學(xué)習(xí)機（Improved Particle Swarm Optimization Extreme Learning Machine，IPSOELM）算法的網(wǎng)絡(luò)態(tài)勢預(yù)測方法，通過改進PSO自適應(yīng)調(diào)整全局和局部尋優(yōu)能力優(yōu)化ELM，使預(yù)測結(jié)果更加準(zhǔn)確，并在保持快速收斂的同時，提高算法的穩(wěn)定性。實驗結(jié)果表明，所提方法比傳統(tǒng)ELM、文獻(xiàn)［10］中GA-ELM 算法和文獻(xiàn)［11］中PSOELM 算法能獲得更高精度的預(yù)測結(jié)果，同時建模效率也得到明顯的提高。

1 極限學(xué)習(xí)機

極限學(xué)習(xí)機最早在2004 年被Huang 等［6］提出，通過隨機選取輸入層權(quán)重和隱含層偏置，以單隱層前饋神經(jīng)網(wǎng)絡(luò)為基礎(chǔ)，依據(jù)Moore-Penrose 廣義逆矩陣?yán)碚撚嬎憬馕龅贸鲚敵鰧訖?quán)重，具有訓(xùn)練參數(shù)少、學(xué)習(xí)速度高、泛化能力強的優(yōu)點。假設(shè)ELM 輸入層、隱含層和輸出層節(jié)點個數(shù)為分別n、l、m，其網(wǎng)絡(luò)結(jié)構(gòu)如圖1所示。

對于給定的N個任意不同樣本(xi，ti)，其中xi=(xi1，xi2，…，xin)T，ti=(ti1，ti2，…，tim)T，則ELM的輸出為：

其中：wi=(wi1，wi2，…，win)T為輸入層神經(jīng)元與隱含層神經(jīng)元之間的輸入權(quán)值；βi=(βi1，βi2，…，βim)T為隱含層神經(jīng)元與輸出層神經(jīng)元之間的輸出權(quán)值；bi為隱含層神經(jīng)元的偏置；g(?)為隱含層神經(jīng)元的激活函數(shù)。ELM系統(tǒng)的矩陣表達(dá)式為：

其中：

其中：H為ELM 網(wǎng)絡(luò)的隱含層輸出矩陣；T為網(wǎng)絡(luò)的樣本期望輸出矩陣。最終通過求解得到輸出權(quán)值為：

其中H?為輸出矩陣的Moore-Penrose廣義逆矩陣。

由此得出，ELM在訓(xùn)練樣本時無需借助梯度下降法，與傳統(tǒng)的借助梯度下降法的反向傳播神經(jīng)網(wǎng)絡(luò)相比，極大地減少了訓(xùn)練時間，同時保留了較為精確的預(yù)測能力。

圖1 ELM網(wǎng)絡(luò)結(jié)構(gòu)Fig.1 Network structure of ELM

2 改進粒子群優(yōu)化極限學(xué)習(xí)機

2.1 粒子群優(yōu)化算法

粒子群優(yōu)化算法最早是由Kennedy 等［12］于1995 年提出：在一個D維目標(biāo)搜索空間中，存在某個包含a個粒子的群體，該群體中每個粒子都有一個初始速度vk、初始位置sk及適應(yīng)值gk。在每一次迭代中，每個粒子不斷更新著自己的位置和速度，同時通過適應(yīng)值判斷更新個體的最優(yōu)位置pk和種群的最優(yōu)位置pg。假設(shè)第一次迭代時最優(yōu)位置即為粒子的初始位置，因此，種群中粒子的速度和位置的更新公式為：

其中：k代表粒子群中的第k個粒子；u代表目前的迭代步數(shù)；z稱為慣性因子，其值為非負(fù)，當(dāng)z較大時，全局尋優(yōu)能力強，z較小時，全局尋優(yōu)能力變?nèi)酢Ｍㄟ^對z的大小進行調(diào)整可以控制粒子全局尋優(yōu)和局部尋優(yōu)的能力；c1、c2分別是粒子的個體學(xué)習(xí)因子和社會學(xué)習(xí)因子，其值為非負(fù)常數(shù)；r1、r2為在［0，1］范圍內(nèi)互相獨立的隨機數(shù)。

2.2 粒子群優(yōu)化極限學(xué)習(xí)機模型

由于隨機給定ELM 的輸入權(quán)值矩陣和隱含層偏差，可能部分?jǐn)?shù)值為0，使一些隱含層節(jié)點失效，從而導(dǎo)致預(yù)測效果不佳、穩(wěn)定性不足等問題。為達(dá)到預(yù)測精度只有提高隱含層節(jié)點的數(shù)目，但隱含層節(jié)點數(shù)目的提高會出現(xiàn)訓(xùn)練樣本適應(yīng)能力差、泛化能力降低的問題。因此，為了保證ELM 在最優(yōu)隱含層節(jié)點的條件下同時具有較高的預(yù)測精度，采用PSO 算法對其優(yōu)化，借助PSO 的全局搜索能力將ELM 的輸入權(quán)值和隱含層偏差進行最優(yōu)搜索，既增強了ELM 的穩(wěn)定性，又不會降低ELM 的收斂速度，在ELM 訓(xùn)練輸入樣本的過程中更加深入地學(xué)習(xí)樣本之間的各種關(guān)系，其算法流程為：

步驟1 將樣本數(shù)據(jù)分為訓(xùn)練樣本和測試樣本。

步驟2 通過樣本數(shù)據(jù)確定ELM網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。

步驟3 初始化PSO 參數(shù)，種群的每個粒子代表連接權(quán)值和隱含層偏差，ELM 訓(xùn)練樣本的均方根誤差作為適應(yīng)度函數(shù)。

步驟4 構(gòu)建的訓(xùn)練樣本輸入ELM，根據(jù)ELM 得到的預(yù)測值評價每個粒子的適應(yīng)度。

步驟5 令粒子k(k=1，2，…，a)，當(dāng)前的最優(yōu)位置為pk=sk，對應(yīng)的適應(yīng)度為gbestk=gk；從粒子群中找出全局最優(yōu)粒子，令其位置為pg，對應(yīng)的適應(yīng)度為gbest。

步驟6 對所有粒子執(zhí)行如下操作：

1）按式（5）、（6）重新計算每個粒子的速度、位置，同時計算其適應(yīng)度gk。

2）若gk＞gbestk，則pk=sk，gbestk=gk；若gk＞gbest，則pg=sk，gbest=gk。

步驟7 判斷是否達(dá)到最大迭代次數(shù)，或適應(yīng)度值是否達(dá)到給定的閾值，若否，轉(zhuǎn)至步驟6；否則轉(zhuǎn)至步驟8。

步驟8 將最終獲得的權(quán)值和閾值作為ELM 的連接權(quán)值和偏差。

步驟9 將獲得的最優(yōu)權(quán)值和偏差應(yīng)用到ELM 中預(yù)測得到結(jié)果。

2.3 IPSO-ELM的網(wǎng)絡(luò)安全態(tài)勢預(yù)測模型

雖然PSO-ELM 的預(yù)測能力有了較大提高，但PSO 在進行全局搜索時容易陷入局部最優(yōu)點，這導(dǎo)致PSO-ELM算法穩(wěn)定性較差。目前已有的方法包括對慣性權(quán)重的線性遞減策略仍然不能權(quán)衡粒子的全局與局部搜索能力。為了解決這個問題，文獻(xiàn)［13］中提出將目前迭代次數(shù)與最大迭代次數(shù)的比值作為慣性權(quán)重的變化，有效平衡了全局與局部的搜索能力，但不同的最大迭代次數(shù)之間相互比較發(fā)現(xiàn)，慣性權(quán)重變化量的突變使PSO-ELM算法的穩(wěn)定性降低。同時，文獻(xiàn)［14］研究指出慣性權(quán)重因子落在［0.3，0.7］為最佳區(qū)間，在此區(qū)間可更好地平衡算法的局部和全局搜索能力。因此，本文從PSO的慣性權(quán)重及學(xué)習(xí)因子入手，將靜態(tài)參數(shù)改為可以隨著迭代次數(shù)增加而自適應(yīng)調(diào)整的動態(tài)參數(shù)，使z在迭代過程中更多地處于最佳位置，并且不同的最大迭代次數(shù)對慣性權(quán)重變化趨勢的影響不大，同時提出了一種基于粒子個體隨機擾動處理的策略，使陷入局部極值點的個體重新進行全局搜索。慣性權(quán)重調(diào)整公式如下：

其中h(umax)代表最大迭代次數(shù)的函數(shù)。如圖2 所示，多個不同的最大迭代次數(shù)產(chǎn)生的慣性權(quán)重變化趨勢相差不大，對算法的穩(wěn)定性有所增強。

圖2 慣性權(quán)重與迭代次數(shù)關(guān)系Fig.2 Relationship between inertia weight and iteration times

學(xué)習(xí)因子的調(diào)整方法為：算法在搜索前期，使c1值大于c2值，粒子主要進行全局搜索，避免陷入局部極值點；算法在搜索后期，使c1值小于c2值，粒子最終聚攏到全局最優(yōu)區(qū)域。文獻(xiàn)［15］指出c1的最佳取值范圍為［2.5，0.5］，c2的最佳取值范圍為［0.5，2.5］。因此學(xué)習(xí)因子的調(diào)整公式為：

圖3 學(xué)習(xí)因子與迭代次數(shù)關(guān)系Fig.3 Relationship between learning factor and iteration times

為解決種群粒子在搜索空間飛行尋找最優(yōu)解時易陷入局部最優(yōu)的問題提出粒子擾動處理策略，當(dāng)判定粒子個體發(fā)生停滯狀態(tài)時，通過停滯擾動處理，使個體粒子跳出局部最優(yōu)，其判定處理公式為：

其中：ep為當(dāng)前個體與局部最優(yōu)個體之間的偏差；eop為當(dāng)前個體與局部最優(yōu)個體之間的閾值。

綜上，經(jīng)過改進的種群中粒子的速度和位置更新公式為：

最終，得到IPSO-ELM 的網(wǎng)絡(luò)安全態(tài)勢預(yù)測流程如圖4所示。

圖4 IPSO-ELM預(yù)測流程Fig.4 Flowchart of IPSO-ELM prediction

3 預(yù)測結(jié)果與分析

3.1 實驗數(shù)據(jù)及其預(yù)處理

本文的實驗數(shù)據(jù)來自文獻(xiàn)［16］中搭建的網(wǎng)絡(luò)環(huán)境所得出的網(wǎng)絡(luò)安全態(tài)勢值。該網(wǎng)絡(luò)環(huán)境如圖5 所示，首先模擬真實的黑客攻擊行為，主要進行各種漏洞攻擊；其次，通過對攻擊的次數(shù)、種類進行統(tǒng)計，并判斷主機遭受攻擊后的受損程度建立網(wǎng)絡(luò)安全評估系統(tǒng)來綜合得出當(dāng)前階段的網(wǎng)絡(luò)安全態(tài)勢。實驗中每隔30 min 進行一次統(tǒng)計并評估計算網(wǎng)絡(luò)安全態(tài)勢值，最終選取100 個態(tài)勢值組成樣本數(shù)據(jù)，并通過歸一化處理排除誤差偏大的可能，使網(wǎng)絡(luò)安全態(tài)勢值處于［0，1］區(qū)間，如圖6所示。

圖5 網(wǎng)絡(luò)實驗環(huán)境Fig.5 Network experiment environment

圖6 網(wǎng)絡(luò)安全態(tài)勢值Fig.6 Network security situation value

3.2 結(jié)果分析

實驗過程中需要確定ELM 神經(jīng)網(wǎng)絡(luò)的各項參數(shù)，由于ELM 的輸入層神經(jīng)元個數(shù)代表樣本數(shù)據(jù)的維數(shù)特征，而本文所對應(yīng)的是某一段時間的網(wǎng)絡(luò)安全態(tài)勢值，所以采用滑動窗口法實現(xiàn)ELM 的輸入數(shù)據(jù)。經(jīng)過對網(wǎng)絡(luò)安全態(tài)勢的分析得出，一般網(wǎng)絡(luò)當(dāng)前的態(tài)勢與之前3～5 個時間點存在著某種聯(lián)系，因此將滑動窗口o的大小分別設(shè)置為3 和5 進行預(yù)測實驗。隱含層神經(jīng)元的個數(shù)對最終實驗結(jié)果有一定影響，采用試錯法確定隱含層神經(jīng)元的個數(shù)，由于隱含層神經(jīng)元個數(shù)通常不超過輸入層神經(jīng)元個數(shù)，所以隱含層神經(jīng)元個數(shù)從1 開始依次增加到5，最終選取隱含層神經(jīng)元個數(shù)為4。本文的目的是對未來的網(wǎng)絡(luò)態(tài)勢進行預(yù)測，因此輸出層神經(jīng)元個數(shù)為1，代表下一個時間段的網(wǎng)絡(luò)安全態(tài)勢值。

為了評價網(wǎng)絡(luò)態(tài)勢預(yù)測結(jié)果的優(yōu)劣，選擇平均相對誤差（Mean Relative Error，MRE）、均方誤差（Mean Square Error，MSE）、平均絕對誤差（Mean Absolute Error，MAE）和擬合優(yōu)度決定系數(shù)（the coefficient of determination，R2）作為預(yù)測結(jié)果的評價指標(biāo)，其中MRE 的大小反映測量的可信度；MSE 的大小評價數(shù)據(jù)變化程度，其值越小，表明模型有更好的預(yù)測精度；MAE更好地反映預(yù)測值誤差的實際情況。各評價公式為：

其中：yi為某一樣本的實際值為某一樣本的預(yù)測值；N為樣本數(shù)為實際值的平均值為預(yù)測值平均值。

當(dāng)滑動窗口的窗口值為3 時，采用前三個時間段的態(tài)勢值預(yù)測下一個時間段的態(tài)勢，其中部分樣本已給出，見表1。經(jīng)過IPSO-ELM 的預(yù)測，與傳統(tǒng)的ELM、GA-ELM 及PSO-ELM對比，得出實驗結(jié)果如圖7 所示，各算法的收斂速度及評價指標(biāo)對比如表2所示。

表1 部分樣本輸入輸出（o=3）Tab.1 Inputs and outputs of some samples（o=3）

通過預(yù)測仿真得到如圖7及表2對比結(jié)果。

當(dāng)滑動窗口值為5 時，部分樣本見表3，實驗結(jié)果對比見圖8，評價指標(biāo)對比如表4所示。

圖7 窗口值為3時的實驗結(jié)果Fig.7 Experimental results with window value of 3

表2 迭代次數(shù)和評價指標(biāo)對比（o=3）Tab.2 Comparison of iteration times and evaluation indexes（o=3）

表3 部分樣本輸入輸出（o=5）Tab.3 Inputs and outputs of some samples（o=5）

表4 迭代次數(shù)和評價指標(biāo)對比（o=5）Tab.4 Comparison of iteration times and evaluation indexes（o=5）

通過實驗結(jié)果對比分析可以看出，當(dāng)滑動窗口值固定時，本文提出的IPSO-ELM 算法相較PSO-ELM 和GA-ELM 算法在網(wǎng)絡(luò)安全態(tài)勢訓(xùn)練數(shù)據(jù)的擬合度更高，對預(yù)測數(shù)據(jù)的準(zhǔn)確性也有較大提高。雖然相較于ELM 收斂變慢，但當(dāng)滑動窗口值為3 時，IPSO-ELM 比PSO-ELM 及GA-ELM 的收斂速度分別提高了29.2%和52.66%；當(dāng)滑動窗口值為5 時，收斂速度分別提高了47.43%和66.94%。

對本文實驗而言，當(dāng)滑動窗口值不固定時，窗口值越大，訓(xùn)練輸入數(shù)據(jù)時更能深度學(xué)習(xí)到數(shù)據(jù)之間存在的關(guān)系，從而對下一時間段的預(yù)測有一個更好的效果。

圖8 窗口值為5時的實驗結(jié)果Fig.8 Experimental results with window value of 5

4 結(jié)語

針對網(wǎng)絡(luò)安全態(tài)勢預(yù)測精度問題，本文提出了IPSO-ELM模型。ELM 神經(jīng)網(wǎng)絡(luò)可以快速地訓(xùn)練樣本，加上IPSO 對其初始權(quán)值進行優(yōu)化，可以精確地預(yù)測下一步的網(wǎng)絡(luò)安全態(tài)勢。經(jīng)過實驗對比表明，IPSO-ELM 模型在真實的網(wǎng)絡(luò)環(huán)境中相較于GA-ELM 及PSO-ELM 有一定的優(yōu)越性，收斂速度高，預(yù)測精度更高。但I(xiàn)PSO-ELM 也存在不足，在隱含層節(jié)點選取過程中偶然性較大，同時對于滑動窗口法窗口值的過大出現(xiàn)過擬合現(xiàn)象也未曾考慮，接下來將進一步研究自適應(yīng)隱含層節(jié)點個數(shù)，從而更進一步提高收斂速度及預(yù)測精度。