余少鋒，鐘建栩，朱 磊，馬一寧

(南方電網(wǎng)調(diào)峰調(diào)頻發(fā)電有限公司信息通信分公司，廣東 廣州 510000)

0 引言

信息通信技術(shù)的發(fā)展提高了電力系統(tǒng)智能化、無(wú)人化、精細(xì)化控制能力，然而也為電力系統(tǒng)網(wǎng)絡(luò)安全帶來(lái)了嚴(yán)重威脅[1-3]。因此，利用及時(shí)、準(zhǔn)確的檢測(cè)和識(shí)別方法[4-5]，以控制和防范威脅電力系統(tǒng)網(wǎng)絡(luò)的入侵行為至關(guān)重要。

入侵檢測(cè)[6]是一種典型的主動(dòng)防御技術(shù)，是計(jì)算機(jī)網(wǎng)絡(luò)安全領(lǐng)域的重要研究課題之一，已廣泛應(yīng)用于信息物理系統(tǒng)[7]、智能電網(wǎng)[8]、智能汽車(chē)[9]等。入侵檢測(cè)從本質(zhì)上可以看作是一種模式分類問(wèn)題。目前，主流的入侵檢測(cè)算法主要有基于規(guī)則[10]、模式[6]、智能算法[4,8-9]和基因表達(dá)式編程(gene expression programming，GEP)[11-12]。這些算法只考慮網(wǎng)絡(luò)日志的集中處理，屬于集中入侵檢測(cè)算法的范疇。傳統(tǒng)的集中式入侵檢測(cè)算法增加了傳輸帶寬、網(wǎng)絡(luò)時(shí)延和數(shù)據(jù)包丟失概率。此外，對(duì)于高維網(wǎng)絡(luò)日志，如果直接用GEP挖掘模型，算法的時(shí)間和空間復(fù)雜度會(huì)大幅增加，網(wǎng)絡(luò)攻擊檢測(cè)的實(shí)時(shí)性和準(zhǔn)確性也會(huì)大幅降低。

隨著分布式能源的不斷接入、電力系統(tǒng)環(huán)境日益復(fù)雜，配電網(wǎng)中動(dòng)態(tài)分布的海量數(shù)據(jù)給電力系統(tǒng)網(wǎng)絡(luò)的入侵檢測(cè)帶來(lái)了新的挑戰(zhàn)。此外，隨著存儲(chǔ)重要數(shù)據(jù)的需求與日俱增，云計(jì)算成為電力系統(tǒng)主要信息來(lái)源。云以公共、私有和混合的形式提供。云計(jì)算中的安全性通常因其計(jì)算服務(wù)的不同而不同。為此，有學(xué)者對(duì)云計(jì)算中的入侵檢測(cè)算法[12]進(jìn)行研究。分布式方法效率高、網(wǎng)絡(luò)安全性強(qiáng)，然而系統(tǒng)計(jì)算復(fù)雜性成倍數(shù)增加。此外，系統(tǒng)面臨干擾數(shù)據(jù)對(duì)系統(tǒng)魯棒性、穩(wěn)定性的重大挑戰(zhàn)。

為有效處理電力系統(tǒng)網(wǎng)絡(luò)中海量、高維的入侵?jǐn)?shù)據(jù)，本文提出了一種基于粗糙集的含噪數(shù)據(jù)約簡(jiǎn)算法，從而減少?gòu)?fù)雜入侵?jǐn)?shù)據(jù)的時(shí)間消耗集、提高數(shù)據(jù)處理效率。同時(shí)，本文提出了一種基于混合基因表達(dá)式編程和云計(jì)算的分布式入侵檢測(cè)方法，提高了電力系統(tǒng)網(wǎng)絡(luò)入侵檢測(cè)的準(zhǔn)確性和效率。

1 相關(guān)概念

1.1 基于粗糙集的數(shù)據(jù)約簡(jiǎn)算法

為了便于理解基于粗糙集的屬性約簡(jiǎn)，本文首先簡(jiǎn)要介紹了網(wǎng)絡(luò)日志粗糙集的相關(guān)概念。

定義1 網(wǎng)絡(luò)日志決策表L描述為：

L=〈U,C∪A,V,f〉,C∪A=R

(1)

式中：U為網(wǎng)絡(luò)日志數(shù)據(jù)集；C為網(wǎng)絡(luò)日志特征集；A為攻擊類型集；V=Uvr,r為日志特征，r∈R；f:U×R→V為攻擊類型信息函數(shù)。

定義2 令網(wǎng)絡(luò)日志決策表為L(zhǎng)=〈U,C∪A,V,f〉。如果相同的網(wǎng)絡(luò)日志特征屬性值具有相同的對(duì)應(yīng)攻擊類型屬性值，則表示網(wǎng)絡(luò)日志決策表L是一致的。

定義3 令網(wǎng)絡(luò)日志決策表為L(zhǎng)=〈U,C∪A,V,f〉，?P?R，r∈R，R=C∪A和x,y∈U，當(dāng)且僅當(dāng)f(x,r)=f(y,r)，x和y是不可分辨的。用符號(hào)描述為U/P或IND(P)={(x,y)∈U|r∈P,f(x,r)=f(y,r)}。

定義4 令網(wǎng)絡(luò)日志決策表為L(zhǎng)=〈U,C∪A,V,f〉,C∪A=R。對(duì)于所有X?U，X的R下近似值表示為R_(X)，有R_(X)=∪{Yi?U/IND(R):Yi?X}。

定義6 令網(wǎng)絡(luò)日志決策表L=〈U,C∪A,V,f〉保持一致。網(wǎng)絡(luò)日志特征屬性C與攻擊類型屬性A之間的依賴度用rC(A)表示。如果式(2)成立，則?c?C。

(2)

網(wǎng)絡(luò)日志特征屬性是可歸約的,card(U)為集合U的個(gè)數(shù)。

定義7 令：

Np×(q+1)=(nij)p×(q+1)

式中：nij為使用K-均值聚類算法發(fā)現(xiàn)的第i個(gè)噪聲數(shù)據(jù)的第j個(gè)屬性值；N為噪聲對(duì)數(shù)矩陣。

定義8 令：

C=(cij)p×(q+1)

如果矩陣N中的nij為噪聲數(shù)據(jù)，則cij=1；否則，cij=0。矩陣C為相關(guān)矩陣。

基于粗糙集的含噪數(shù)據(jù)屬性約簡(jiǎn)算法如圖1所示。

圖1 基于粗糙集的含噪數(shù)據(jù)屬性約簡(jiǎn)算法

在電力系統(tǒng)網(wǎng)絡(luò)的數(shù)據(jù)采集過(guò)程中，由于人、網(wǎng)絡(luò)或測(cè)量裝置的作用，產(chǎn)生了大量的噪聲數(shù)據(jù)。對(duì)含有噪聲的日志數(shù)據(jù)進(jìn)行屬性約簡(jiǎn)，勢(shì)必影響約簡(jiǎn)的準(zhǔn)確性，最終影響入侵檢測(cè)模型的精度。因此，在屬性約簡(jiǎn)過(guò)程中，有必要對(duì)噪聲數(shù)據(jù)進(jìn)行查找、剔除或校正，以減少噪聲對(duì)屬性約簡(jiǎn)的影響。為此，本文提出了一種改進(jìn)的屬性約簡(jiǎn)方法。在約簡(jiǎn)之前，首先通過(guò)K-均值聚類算法找到噪聲數(shù)據(jù)。該算法可以在屬性層次上發(fā)現(xiàn)噪聲數(shù)據(jù)，并根據(jù)剩余的干凈數(shù)據(jù)對(duì)噪聲進(jìn)行校正，而無(wú)需事先了解噪聲數(shù)據(jù)的結(jié)構(gòu)。

1.2 入侵檢測(cè)算法

為了提高基于基因表達(dá)式編程的入侵檢測(cè)的準(zhǔn)確性和效率，在考慮噪聲數(shù)據(jù)的基礎(chǔ)上，提出了一種改進(jìn)的基因表達(dá)式編程入侵檢測(cè)算法。令網(wǎng)絡(luò)日志數(shù)據(jù)為L(zhǎng)=〈U,X∪Y,V,f〉，其中X={x1,…,xn}。入侵檢測(cè)的實(shí)質(zhì)是挖掘網(wǎng)絡(luò)日志特征與攻擊類型Y=f(X)之間的入侵函數(shù)模型。在介紹該算法之前，首先給出了函數(shù)挖掘成功率的定義，用于評(píng)價(jià)挖掘的性能。

定義9 設(shè)Y=f(X)為最優(yōu)入侵函數(shù)模型、Opf為最優(yōu)適應(yīng)值、Maf為最大適應(yīng)值，則入侵檢測(cè)準(zhǔn)確率Acc定義如下。

(3)

定義10 假設(shè)算法獨(dú)立運(yùn)行N次，有：

(4)

式中：FR-max[i]為第i個(gè)模型的最大適應(yīng)值。

為簡(jiǎn)化計(jì)算，假設(shè)算法運(yùn)行第i次是收斂的。因此，令算法收斂的個(gè)數(shù)為K(K≤N)，則K為算法的收斂次數(shù)。本文令δ=0.01。

基于云計(jì)算的電力系統(tǒng)算法流程如圖2所示。

圖2 基于云計(jì)算的電力系統(tǒng)算法流程

改進(jìn)的基因表達(dá)式編程入侵檢測(cè)算法結(jié)合了基本的GEP算法和基于噪聲發(fā)現(xiàn)的粗糙集算法的優(yōu)點(diǎn)?；綠EP算法的基本原理，首先，對(duì)算法種群進(jìn)行初始化，并評(píng)價(jià)種群中所有個(gè)體的適應(yīng)度。在此基礎(chǔ)上，按照一定的概率進(jìn)行選擇、變異、交叉等遺傳操作，以再生新的種群、增加種群中個(gè)體的多樣性、提高算法的全局收斂性。然后，對(duì)新的種群重新評(píng)估所有個(gè)體的適應(yīng)值。最后，進(jìn)行遺傳操作，直到算法達(dá)到預(yù)定的終止條件。

2 分布式入侵檢測(cè)

首先，通過(guò)構(gòu)造非線性最小二乘法，建立基于局部入侵檢測(cè)函數(shù)模型的電力系統(tǒng)網(wǎng)絡(luò)全局入侵檢測(cè)函數(shù)模型。全局入侵檢測(cè)函數(shù)模型表示如下：

(5)

式中：f(x1,x2,…,xm)為全局入侵檢測(cè)模型；X=(x1,x2,…,xm)為網(wǎng)絡(luò)日志特征屬性；fi(X)為第i個(gè)節(jié)點(diǎn)的本地入侵檢測(cè)模型；ai為第i個(gè)常數(shù),i∈[1,n]。

全局入侵檢測(cè)函數(shù)模型的目標(biāo)函數(shù)是計(jì)算出一組常數(shù)ai≠0,i∈[1,n]，使得G(a1,a2,…,an)的值為最小值。則有：

(6)

式中：yi為第i個(gè)網(wǎng)絡(luò)日志的攻擊類型值。

本文采用非線性最小二乘優(yōu)化模型求解G(a1,a2,…,an)的最小值。

命題1G(a1,a2,…,an)存在唯一解。

證明：算法中每個(gè)計(jì)算節(jié)點(diǎn)的局部入侵檢測(cè)函數(shù)模型fi(X)由4個(gè)算子(加法、減法、乘法、除法)組成。因此，全局入侵檢測(cè)模型f(X)可以轉(zhuǎn)化為1個(gè)多元線性函數(shù)模型。則有：

anfn(Xi)-yi]2

(7)

為找到常數(shù)集ai≠0,i∈[1,n]，使得式(7)的值最小，則根據(jù)最小二乘法的原理，有：

j=1,2,…,n

(8)

簡(jiǎn)化式(8)，有：

(9)

因此，a1,a2,…,an的線性方程描述為：

(10)

式(10)中，線性方程組的系數(shù)矩陣為實(shí)對(duì)稱矩陣。根據(jù)矩陣的性質(zhì)可知，實(shí)對(duì)稱矩陣是正定矩陣，因而線性方程組中存在唯一解。綜上分析，基于混合基因表達(dá)式編程和云的分布式入侵檢測(cè)算法結(jié)構(gòu)如圖3所示。首先，將網(wǎng)絡(luò)日志劃分為一組鍵/值對(duì)，其中值包含算法的所有參數(shù)。然后，這些鍵/值對(duì)由多個(gè)映射任務(wù)并行執(zhí)行。通過(guò)對(duì)結(jié)果進(jìn)行分類和輸入，進(jìn)行并行處理，生成多個(gè)局部入侵檢測(cè)模型，并合并到全局入侵檢測(cè)模型。

圖3 基于混合基因表達(dá)式編程和云的分布式入侵檢測(cè)算法結(jié)構(gòu)圖

3 仿真與分析

3.1 仿真環(huán)境及數(shù)據(jù)集

為了測(cè)試所提算法的性能和有效性，在實(shí)驗(yàn)室搭建了1個(gè)由12個(gè)節(jié)點(diǎn)組成的云計(jì)算平臺(tái)。表1所示為云計(jì)算平臺(tái)仿真環(huán)境。

表1 云計(jì)算平臺(tái)仿真環(huán)境

仿真時(shí)數(shù)據(jù)集有 KddCup99標(biāo)準(zhǔn)數(shù)據(jù)集、實(shí)測(cè)數(shù)據(jù)集和KddCup99噪聲數(shù)據(jù)集、NSL-KDD數(shù)據(jù)集這4類。云計(jì)算平臺(tái)仿真參數(shù)如表2所示。其中，實(shí)測(cè)數(shù)據(jù)主要來(lái)自國(guó)家電網(wǎng)公司外部監(jiān)控系統(tǒng)采集的網(wǎng)絡(luò)安全日志。仿真時(shí)，將虛警率(false alarm rate，F(xiàn)AR)、檢測(cè)準(zhǔn)確率(detection accuracy rate，DAR)和平均耗時(shí)(average time-consumption，ATC)作為算法評(píng)價(jià)指標(biāo)。

表2 云計(jì)算平臺(tái)仿真參數(shù)

3.2 數(shù)據(jù)分析

對(duì)4個(gè)數(shù)據(jù)集分別采用GEP、本文方法、遺傳算法(genetic algorithm,GA)和遺傳規(guī)劃(genetic programming,GP)4種算法各運(yùn)行10次。不同算法的FAR對(duì)比如表3所示。

表3 不同算法FAR對(duì)比結(jié)果

由表3可知，與GEP、GA和GP相比，本文方法的FAR最低，均值僅為0.042。對(duì)于相同的復(fù)雜數(shù)據(jù)集，本文方法引入基于粗糙集的含噪數(shù)據(jù)屬性約簡(jiǎn)算法，可以大大降低入侵?jǐn)?shù)據(jù)集的復(fù)雜度，從而提高算法的全局搜索能力。

表4所示為不同算法的DAR對(duì)比結(jié)果。

表4 不同算法DAR對(duì)比結(jié)果

對(duì)于KddCup 99、實(shí)測(cè)數(shù)據(jù)集、KddCup噪聲數(shù)據(jù)集和NSL-KDD數(shù)據(jù)集，本文方法的DAR為93.5%、91.9%、93.5%和89.9%。與GEP、GA和GP相比，本文方法的平均DAR分別提高了1.28倍、1.27倍和1.45倍。

不同算法的ATC對(duì)比如表5所示。

表5 不同算法的ATC對(duì)比結(jié)果Tab.5 Comparison results ATC of different algorithms /s

4 結(jié)論

本文以電力系統(tǒng)網(wǎng)絡(luò)入侵檢測(cè)為研究對(duì)象，構(gòu)建了基于云計(jì)算和混合基因表達(dá)式編程的入侵檢測(cè)方法，并對(duì)算法框架、運(yùn)行模式和工作流程進(jìn)行了設(shè)計(jì)。

未來(lái)可對(duì)小樣本數(shù)據(jù)進(jìn)行研究，如采樣算法或人工注入樣本，使各類數(shù)據(jù)趨于平衡，降低算法對(duì)小樣本數(shù)據(jù)的敏感性。