高朝營(yíng)

（棗莊科技職業(yè)學(xué)院 信息處，山東 棗莊 277599）

隨著WSN（無(wú)線傳感網(wǎng)絡(luò)）應(yīng)用范圍的拓展和應(yīng)用場(chǎng)景的增多［1-2］，網(wǎng)絡(luò)中的數(shù)據(jù)傳輸類型呈現(xiàn)出多樣化的發(fā)展趨勢(shì)。在WSN 組網(wǎng)過(guò)程中，由于傳感器節(jié)點(diǎn)等物理元器件的結(jié)構(gòu)差異，以及網(wǎng)絡(luò)工作環(huán)境、節(jié)點(diǎn)負(fù)荷要求的不同，導(dǎo)致網(wǎng)絡(luò)節(jié)點(diǎn)及網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的異構(gòu)化［3-4］。在實(shí)際應(yīng)用中，HWSN（異構(gòu)無(wú)線傳感網(wǎng)絡(luò)）的運(yùn)用更為普遍［5］。HWSN的異構(gòu)性主要表現(xiàn)在網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)異構(gòu)性、節(jié)點(diǎn)類型異構(gòu)性和節(jié)點(diǎn)功能的異構(gòu)性。

HWSN 的多層次復(fù)雜結(jié)構(gòu)在給使用者帶來(lái)諸多便利的同時(shí)，也給網(wǎng)絡(luò)帶來(lái)了更大的安全隱患，即HWSN 網(wǎng)絡(luò)更容易成為被攻擊的對(duì)象［6-7］。對(duì)HWSN 實(shí)施動(dòng)態(tài)化入侵檢測(cè)，是確保網(wǎng)絡(luò)安全的最有效措施之一。通過(guò)研究現(xiàn)有無(wú)線傳感領(lǐng)域內(nèi)的研究成果可知，針對(duì)HWSN 網(wǎng)絡(luò)異常識(shí)別與入侵檢測(cè)的方法主要是以人工智能和機(jī)器學(xué)習(xí)算法為主，如決策樹(shù)、樸素貝葉斯、BP 神經(jīng)網(wǎng)絡(luò)等［8-11］，但上述方法主要針對(duì)靜態(tài)化的數(shù)據(jù)檢測(cè)，在網(wǎng)絡(luò)結(jié)構(gòu)更為復(fù)雜及網(wǎng)絡(luò)攻擊類別更多樣的HWSN 網(wǎng)絡(luò)中，檢測(cè)率、誤檢率等基礎(chǔ)指標(biāo)難以滿足要求。因此，本文在機(jī)器學(xué)習(xí)算法的基礎(chǔ)上提出一種經(jīng)過(guò)改進(jìn)和優(yōu)化的主動(dòng)學(xué)習(xí)算法，在異構(gòu)網(wǎng)絡(luò)環(huán)境下達(dá)到精確檢測(cè)的目的。

1 主動(dòng)學(xué)習(xí)模型的建立及性能改進(jìn)

HWSN 入侵檢測(cè)的過(guò)程，主要通過(guò)實(shí)時(shí)監(jiān)控HWSN 中傳輸數(shù)據(jù)狀態(tài)來(lái)實(shí)現(xiàn)。主動(dòng)學(xué)習(xí)算法的優(yōu)勢(shì)在于從主動(dòng)安全預(yù)警和主動(dòng)防護(hù)的角度跟蹤和監(jiān)控網(wǎng)絡(luò)中的異常數(shù)據(jù)，并保護(hù)每臺(tái)系統(tǒng)主機(jī)不遭受來(lái)自網(wǎng)絡(luò)的惡意攻擊。一般情況下，基于分類器的樣本訓(xùn)練包含一部分冗余集合，只有通過(guò)對(duì)樣本數(shù)據(jù)的合理引導(dǎo)和篩選，才能更好地發(fā)揮出分類器的最優(yōu)分類性能。基于主動(dòng)學(xué)習(xí)器模型的入侵?jǐn)?shù)據(jù)檢測(cè)與分類過(guò)程描述如圖1所示。

圖1 基于主動(dòng)學(xué)習(xí)模式的HWSN入侵檢測(cè)流程

異構(gòu)網(wǎng)絡(luò)環(huán)境下的數(shù)據(jù)格式包括文本、音頻文件、視頻文件、網(wǎng)頁(yè)等。在傳統(tǒng)靜態(tài)網(wǎng)絡(luò)檢測(cè)模式下，算法的泛化能力較弱，無(wú)法應(yīng)對(duì)復(fù)雜數(shù)據(jù)集的分析與檢測(cè)，而在主動(dòng)模型的監(jiān)控下可以通過(guò)對(duì)整個(gè)學(xué)習(xí)過(guò)程的監(jiān)督與反饋，有目的地采集到學(xué)習(xí)過(guò)程中最有用的樣本資源，改善樣本分類器的性能。本文在經(jīng)典主動(dòng)學(xué)習(xí)算法的基礎(chǔ)上，基于SVM（支持向量機(jī)）工具，改進(jìn)主動(dòng)學(xué)習(xí)算法的泛化能力，進(jìn)一步提高樣本的分類性能。HWSN 網(wǎng)絡(luò)主動(dòng)學(xué)習(xí)算法模型η可以用一個(gè)五元組模型來(lái)表示：

式中，?表示模型的主動(dòng)分類器；F為查詢功能函數(shù)；τ為分類中沒(méi)有被標(biāo)注的用戶；s為已經(jīng)被標(biāo)注的樣本集合；sx為未被標(biāo)注的樣本集合。

在初始化的學(xué)習(xí)階段，從集合sx中選取少量樣本，利用分類在被標(biāo)注的樣本集合s上訓(xùn)練，再利用查詢函數(shù)確定未被標(biāo)注的樣本集合中是否存在異常的樣本。在初始分類階段，主動(dòng)分類屬于一種弱分類器，這就導(dǎo)致得到的樣本規(guī)模較大。在循環(huán)學(xué)習(xí)階段，當(dāng)分類在樣本集合s中更新后，分類器在更新后的樣本中重復(fù)訓(xùn)練，直到迭代條件滿足預(yù)設(shè)結(jié)果。隨著樣本規(guī)模的不斷增加，分類器的性能需要隨之提高。在經(jīng)典的主動(dòng)學(xué)習(xí)模式條件下，本文選用縮減泛化誤差的方式確定有效樣本的選擇基準(zhǔn)。如果用函數(shù)f(s)代表樣本的真實(shí)標(biāo)注結(jié)果，那么經(jīng)過(guò)主動(dòng)分類器?判斷后，可以獲得更好的定位與分類效果?；谥鲃?dòng)學(xué)習(xí)方法的檢測(cè)過(guò)程可以描述為

其中，ρ(s)為樣本檢測(cè)的概率密度函數(shù)，通過(guò)對(duì)真實(shí)樣本數(shù)據(jù)的分析，主動(dòng)分類器能夠帶來(lái)更低的分類誤差和更準(zhǔn)確的數(shù)據(jù)分類結(jié)果。SVM 是一種高效的數(shù)據(jù)分類器，可以從平面空間拓展到三維立體空間。本文針對(duì)傳統(tǒng)主動(dòng)學(xué)習(xí)模型在異構(gòu)網(wǎng)絡(luò)條件下泛化能力不強(qiáng)的弊端，將SVM 分類算法引入到主動(dòng)學(xué)習(xí)模型中以提高模型應(yīng)對(duì)復(fù)雜數(shù)據(jù)集的泛化性能。SVM 分類器的優(yōu)勢(shì)在于改變了輸入數(shù)據(jù)和輸出數(shù)據(jù)之間單純的線性關(guān)系。核函數(shù)的選擇是SVM 分類算法的核心，對(duì)于非線性的映射關(guān)系問(wèn)題，利用核函數(shù)將低維特征數(shù)據(jù)映射到高維空間，進(jìn)而做模型的內(nèi)積運(yùn)算。由泛函數(shù)特征可知，如果某一種核函數(shù)ξ(xi,xj)滿足三維空間的對(duì)應(yīng)關(guān)系，則有：

在內(nèi)積定理約束下，核函數(shù)ξ(xi,xj)具有空間對(duì)稱性，即

式中，κ為取值為正的系數(shù)。

當(dāng)待檢測(cè)樣本的維數(shù)增加時(shí)，計(jì)算的復(fù)雜度也隨之增加，最終的主動(dòng)學(xué)習(xí)分類器函數(shù)可表示為

SVM 分類器運(yùn)算中應(yīng)確定出模型核函數(shù)的矩陣，在對(duì)主動(dòng)學(xué)習(xí)模式的改進(jìn)和優(yōu)化中也需要大量的矩陣迭代運(yùn)算，使得經(jīng)過(guò)SVM 算法改進(jìn)后的主動(dòng)學(xué)習(xí)模型在泛化能力和處理高維數(shù)據(jù)的能力方面得到改善。

2 入侵檢測(cè)數(shù)據(jù)集的預(yù)處理

HWSN 網(wǎng)絡(luò)中的數(shù)據(jù)集具有復(fù)雜性、多源異構(gòu)性和交叉融合性等特征，KDD 數(shù)據(jù)集、NSLKDD 數(shù)據(jù)集和NB15 數(shù)據(jù)集都是HWSN 系統(tǒng)中常用的數(shù)據(jù)集，異構(gòu)無(wú)線網(wǎng)絡(luò)中的待檢測(cè)數(shù)據(jù)集通常包括如表1所示的特征。

表1 HWSN網(wǎng)絡(luò)中異構(gòu)數(shù)據(jù)集的特征

異構(gòu)數(shù)據(jù)集中包括圖片、音頻、視頻等大量的字符型數(shù)據(jù)，無(wú)法直接用于改進(jìn)主動(dòng)學(xué)習(xí)模型的訓(xùn)練和測(cè)試。因此，在針對(duì)目標(biāo)數(shù)據(jù)集的入侵檢測(cè)前，先對(duì)原始數(shù)據(jù)做無(wú)量綱化處理和歸一化處理，步驟如下：

Step1：將特征數(shù)據(jù)集中的二進(jìn)制記錄、十六進(jìn)制記錄全部轉(zhuǎn)換為十進(jìn)制的數(shù)據(jù)，再將字符型數(shù)據(jù)轉(zhuǎn)為數(shù)值型數(shù)據(jù)。

Step2：原始數(shù)據(jù)集記錄中包括大約80%以上的冗余特征，會(huì)對(duì)后續(xù)的主動(dòng)標(biāo)簽制定、特征分類等構(gòu)成不利影響，增加了運(yùn)算量，故應(yīng)選擇合適的屬性特征基數(shù)作為階梯自編碼的特征輸入標(biāo)準(zhǔn)，剔除冗余數(shù)據(jù)的干擾。

Step3：數(shù)據(jù)的歸一化處理過(guò)程先將HWSN 中的剔除冗余的全部異構(gòu)數(shù)據(jù)屬性特征映射到固定的高維區(qū)間，以加快數(shù)據(jù)特征提取和模型運(yùn)算的時(shí)間。

歸一化的主要目的是消除異構(gòu)數(shù)據(jù)屬性特征值之間的過(guò)大差距，便于改進(jìn)主動(dòng)學(xué)習(xí)模型的分類檢測(cè)。歸一化處理后樣本的量值特征分布區(qū)間為(0,1)：

式中，f(x)的值表示數(shù)據(jù)集屬性特征值x在分布區(qū)間的均值標(biāo)注結(jié)果；min(x)和max(x)分別為屬性特征值的最小值和最大值。

屬性特征值識(shí)別是基于改進(jìn)主動(dòng)學(xué)習(xí)的異構(gòu)網(wǎng)絡(luò)入侵檢測(cè)的關(guān)鍵環(huán)節(jié)，只有保持系統(tǒng)模型的低冗余度特征，才能更進(jìn)一步地提高系統(tǒng)分類器的基礎(chǔ)性能。完備度高的數(shù)據(jù)屬性特征能夠揭示出更多任務(wù)統(tǒng)計(jì)量之間的內(nèi)在關(guān)系，數(shù)據(jù)的分類檢測(cè)在低冗余度的條件下能夠獲得更精確的檢測(cè)效果。

3 基于改進(jìn)主動(dòng)學(xué)習(xí)模型的入侵檢測(cè)的特征識(shí)別

HWSN 網(wǎng)絡(luò)中的多維度、多結(jié)構(gòu)的特征數(shù)據(jù)存在密切的相關(guān)性，如果數(shù)據(jù)的冗余度過(guò)高，會(huì)過(guò)多地占用系統(tǒng)的內(nèi)存資源，影響改進(jìn)主動(dòng)學(xué)習(xí)模型的數(shù)據(jù)處理時(shí)間與分類學(xué)習(xí)效率。因此，數(shù)據(jù)集經(jīng)過(guò)預(yù)處理后還要將高維做降維處理以改善模型的學(xué)習(xí)性能。將待檢測(cè)的數(shù)據(jù)集分為平衡測(cè)試數(shù)據(jù)集和訓(xùn)練集，基于改進(jìn)的主動(dòng)學(xué)習(xí)算法提取測(cè)試數(shù)據(jù)集的特征并標(biāo)注，重新進(jìn)行特征篩選。檢測(cè)開(kāi)始后先對(duì)數(shù)據(jù)集整體做預(yù)處理，并劃分為訓(xùn)練集D1和測(cè)試集D2，在異構(gòu)數(shù)據(jù)訓(xùn)練中保持?jǐn)?shù)據(jù)全部被轉(zhuǎn)換為數(shù)值型數(shù)據(jù)。重置特征權(quán)重至零，從D1中隨機(jī)選取樣本R，并在相同的訓(xùn)練集中選取k個(gè)臨近的樣本Hj，對(duì)重置后的樣本特征屬性重新賦權(quán)，對(duì)比數(shù)據(jù)集特征的特征序列號(hào)及特征函數(shù)，用于對(duì)待檢測(cè)數(shù)據(jù)集的入侵特征進(jìn)行檢測(cè)，總體的檢測(cè)過(guò)程如圖2所示。

圖2 基于主動(dòng)學(xué)習(xí)算法的入侵檢測(cè)流程

選擇合適的特征值采樣方法能夠從一定程度上改善測(cè)試數(shù)據(jù)集中的不平衡現(xiàn)象，有助于數(shù)據(jù)分類效果的改善。在入侵?jǐn)?shù)據(jù)特征提取中，利用主成分分析法構(gòu)建網(wǎng)絡(luò)模型，模型的神經(jīng)元結(jié)構(gòu)數(shù)量逐層減少，因此能利用改進(jìn)主動(dòng)編解碼的特性，達(dá)到對(duì)原始數(shù)據(jù)結(jié)構(gòu)非線性降維的目的。主成分分析法是一種主動(dòng)式、無(wú)監(jiān)督的復(fù)雜數(shù)據(jù)特征提取方法。主成分分析通過(guò)對(duì)入侵?jǐn)?shù)據(jù)的正交變換檢測(cè)，將復(fù)雜的非線性數(shù)據(jù)轉(zhuǎn)換為線性無(wú)關(guān)向量，轉(zhuǎn)換后的數(shù)據(jù)不僅維度降低，還保留了原有的數(shù)據(jù)特征，促使不同類別數(shù)據(jù)之間的差異更加明顯。將待檢測(cè)的數(shù)據(jù)集用矩陣X表示，集合中數(shù)據(jù)總數(shù)量為n，維度為d，變換向量為β，則數(shù)據(jù)最大區(qū)分度條件下最優(yōu)的變換向量表示為

其中，為數(shù)據(jù)集矩陣X行向量的均值，用主成分分析法描述各數(shù)據(jù)特征的均值和方差，通過(guò)特征分析得到首個(gè)主成分，通過(guò)對(duì)ζ的特征分解，以此類推得到d空間的主成分向量{β1,β2,…,βd}，將向量縱向排列構(gòu)成變換后的轉(zhuǎn)置矩陣，即可得到降維后的數(shù)據(jù)樣本，正常數(shù)據(jù)與異常入侵?jǐn)?shù)據(jù)差異特征更明顯。

4 實(shí)驗(yàn)結(jié)果與分析

4.1 數(shù)據(jù)集的選取與實(shí)驗(yàn)環(huán)境設(shè)置

本文設(shè)計(jì)的仿真實(shí)驗(yàn)中選用了更權(quán)威、可信度更高的NSL-KDD 數(shù)據(jù)集。首先，NSL-KDD 數(shù)據(jù)集的數(shù)據(jù)總量更大，能夠保證獲得較好的數(shù)據(jù)訓(xùn)練效果；其次，鑒于仿真環(huán)境下實(shí)驗(yàn)條件的限制，使用的數(shù)據(jù)來(lái)源于更權(quán)威的數(shù)據(jù)集，能保證檢測(cè)結(jié)果的多樣性；另外，NSL-KDD 數(shù)據(jù)集包括復(fù)雜的多元異構(gòu)數(shù)據(jù)，有助于區(qū)分不同檢測(cè)算法的檢測(cè)性能。訓(xùn)練集和測(cè)試集入侵?jǐn)?shù)據(jù)的類別及數(shù)量，分別如表2和表3所示。

表2 訓(xùn)練集的數(shù)據(jù)類別和數(shù)量

表3 測(cè)試集的數(shù)據(jù)類別和數(shù)量

獲取數(shù)據(jù)集后，按照上面的步驟使用Python庫(kù)工具讀取文件格式，并對(duì)數(shù)據(jù)集做預(yù)處理和數(shù)據(jù)特征值的數(shù)值型轉(zhuǎn)化。最后對(duì)訓(xùn)練集和測(cè)試集做特征的歸一化處理，消除量綱的影響。仿真實(shí)驗(yàn)中使用到的Python庫(kù)工具類型如表4所示。

表4 仿真實(shí)驗(yàn)中Python庫(kù)的類型

HWSN 網(wǎng)絡(luò)入侵檢測(cè)仿真實(shí)驗(yàn)的軟、硬件環(huán)境設(shè)置如表5所示。

表5 仿真實(shí)驗(yàn)的軟硬件環(huán)境設(shè)置

4.2 入侵檢測(cè)率與召回率

評(píng)價(jià)HWSN 網(wǎng)絡(luò)入侵檢測(cè)數(shù)據(jù)識(shí)別效果的主要指標(biāo)包括檢測(cè)率、召回率、分類正確率、誤報(bào)率、漏報(bào)率等?？紤]到HWSN 的多源異構(gòu)特性，本文主要選擇的衡量指標(biāo)為檢測(cè)率和召回率，指標(biāo)評(píng)價(jià)的矩陣標(biāo)簽的定義如表6所示。

表6 矩陣標(biāo)簽的定義

按照矩陣標(biāo)簽的定義規(guī)則，檢測(cè)率和召回率指標(biāo)的定義規(guī)則如下：

在測(cè)試集環(huán)境下，驗(yàn)證本文提出的基于改進(jìn)主動(dòng)學(xué)習(xí)方法的檢測(cè)率指標(biāo)變化水平和召回率指標(biāo)變化水平，同時(shí)引入3 種傳統(tǒng)異構(gòu)網(wǎng)絡(luò)入侵檢測(cè)方法參與對(duì)比，統(tǒng)計(jì)結(jié)果如圖3和圖4所示。

圖3 多攻擊類型下入侵檢測(cè)數(shù)據(jù)集檢測(cè)率水平對(duì)比

圖4 多攻擊類型下入侵檢測(cè)數(shù)據(jù)集召回率水平對(duì)比

統(tǒng)計(jì)指標(biāo)結(jié)果顯示，無(wú)論是檢測(cè)準(zhǔn)確率還是召回率，主動(dòng)學(xué)習(xí)入侵檢測(cè)的效果都要顯著優(yōu)于傳統(tǒng)方法。其中，4 種攻擊類型的檢測(cè)率指標(biāo)達(dá)到98.82%，召回率指標(biāo)達(dá)到99.13%，遠(yuǎn)高于傳統(tǒng)的3種入侵檢測(cè)方法。檢測(cè)結(jié)果證明，在HWSN 的網(wǎng)絡(luò)環(huán)境下，多元異構(gòu)數(shù)據(jù)、復(fù)雜的節(jié)點(diǎn)拓?fù)浣Y(jié)構(gòu)等因素都會(huì)導(dǎo)致檢測(cè)算法的性能下降。但是，基于動(dòng)態(tài)標(biāo)簽的定位和檢測(cè)方法的分類效果更好，尤其是將SVM 算法與主動(dòng)標(biāo)簽定位的結(jié)果，將分類性能拓展到三維空間，避免了由于待檢測(cè)數(shù)據(jù)維度升高而帶來(lái)計(jì)算復(fù)雜度的提高的情況出現(xiàn)。

4.3 算法的訓(xùn)練時(shí)間與測(cè)試時(shí)間對(duì)比

入侵檢測(cè)的訓(xùn)練時(shí)間也是衡量檢測(cè)算法性能的重要指標(biāo)之一，如果HWSN 網(wǎng)絡(luò)的規(guī)模較大，或數(shù)據(jù)復(fù)雜程度較高，算法的訓(xùn)練效率也會(huì)影響到最終的入侵檢測(cè)結(jié)果。分別以表2和表3中的入侵檢測(cè)訓(xùn)練集和測(cè)試集為研究樣本，分析不同訓(xùn)練數(shù)據(jù)量完成比例條件下各算法的訓(xùn)練耗時(shí)和檢測(cè)耗時(shí)，測(cè)試結(jié)果如圖5和圖6所示。

圖5 訓(xùn)練集入侵檢測(cè)訓(xùn)練時(shí)間對(duì)比

圖6 測(cè)試集入侵檢測(cè)測(cè)試時(shí)間對(duì)比

從訓(xùn)練集的訓(xùn)練時(shí)間來(lái)看，當(dāng)訓(xùn)練數(shù)據(jù)規(guī)模從20%增加到100%時(shí)，文中提出的改進(jìn)主動(dòng)學(xué)習(xí)入侵檢測(cè)算法的訓(xùn)練時(shí)間增長(zhǎng)最慢，這主要是由于主動(dòng)分類器的標(biāo)簽定位效率更高，且引入SVM 算法后強(qiáng)化了主動(dòng)學(xué)習(xí)算法數(shù)據(jù)分類性能，獲得了更高的分類效率；而3 種傳統(tǒng)算法的訓(xùn)練耗時(shí)在相同的完成比例條件下，都要高于改進(jìn)主動(dòng)學(xué)習(xí)算法，其中神經(jīng)網(wǎng)絡(luò)算法的性能表現(xiàn)最差。從HWSN 網(wǎng)絡(luò)入侵檢測(cè)集的檢測(cè)時(shí)間變化趨勢(shì)來(lái)看，由于測(cè)試集的規(guī)模較小，各算法的總體耗時(shí)都有所減少，但改進(jìn)主動(dòng)學(xué)習(xí)算法在測(cè)試時(shí)間控制上仍具有一定的優(yōu)勢(shì)。

5 結(jié)論

HWSN 在網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、數(shù)據(jù)類型和數(shù)據(jù)結(jié)構(gòu)復(fù)雜程度等方面都要高于傳統(tǒng)無(wú)線傳感網(wǎng)絡(luò)。為了改善傳統(tǒng)檢測(cè)方法動(dòng)態(tài)檢測(cè)性能弱，檢測(cè)耗時(shí)和訓(xùn)練耗時(shí)過(guò)長(zhǎng)的問(wèn)題，本文提出一種改進(jìn)的主動(dòng)學(xué)習(xí)檢測(cè)算法。經(jīng)過(guò)SVM 算法的優(yōu)化，入侵檢測(cè)性能會(huì)得到進(jìn)一步的改善，仿真實(shí)驗(yàn)結(jié)果也驗(yàn)證了該改進(jìn)算法的有效性和適用性。