彭興維，袁凌云，2

(1.云南師范大學 信息學院，云南 昆明 650500；2.云南師范大學 民族教育信息化教育部重點實驗室，云南 昆明 650500)

0 引言

物聯(lián)網(wǎng)是由眾多智能設(shè)備與網(wǎng)絡(luò)連接組成的綜合網(wǎng)絡(luò)體系，旨在實現(xiàn)設(shè)備間的智能互聯(lián)和數(shù)據(jù)共享。隨著物聯(lián)網(wǎng)設(shè)備的普及，安全威脅亦在增加[1]。相對于傳統(tǒng)的安全措施，網(wǎng)絡(luò)安全態(tài)勢感知作為一種新方法，為網(wǎng)絡(luò)行為的宏觀理解和意圖辨識提供了創(chuàng)新視角，進而為網(wǎng)絡(luò)安全決策提供了有力支撐[2]。

近年來，深度學習算法在多個領(lǐng)域均展現(xiàn)出了卓越的應(yīng)用潛力[3]。許多研究者對深度學習算法進行優(yōu)化，提升其預(yù)測精準度。Wang等人[4]提出了一種基于長短期記憶網(wǎng)絡(luò)(Long Short-Term Memory network，LSTM)和門控循環(huán)單元(Gated Recurrent Unit，GRU)的雙層模型預(yù)測算法。為了利用長期數(shù)據(jù)提升預(yù)測準確度，Zeng等人[5]在此基礎(chǔ)上提出了一種結(jié)合擴展平穩(wěn)小波變換和嵌套LSTM的預(yù)測模型。為增強物聯(lián)網(wǎng)安全性，Tan等人[6]提出了一種基于HoneyNet的方法，通過該方法成功監(jiān)控對手攻擊行為。Chen[7]通過結(jié)合模擬退火算法和混合層次遺傳算法優(yōu)化徑向基函數(shù)(Radial Basis Function，RBF)神經(jīng)網(wǎng)絡(luò)，為網(wǎng)絡(luò)安全態(tài)勢預(yù)測提供了一種新的解決思路。曹波等人[8]引入了一種融合時域卷積神經(jīng)網(wǎng)絡(luò)(Temporal Convolutional Network，TCN)和GRU的預(yù)測策略進一步提高預(yù)測精確度。

面對復(fù)雜數(shù)據(jù)處理中傳統(tǒng)深度學習方法的局限性，特別是在參數(shù)優(yōu)化和避免局部最優(yōu)解方面的挑戰(zhàn)，研究者們逐漸轉(zhuǎn)向采用元啟發(fā)式優(yōu)化算法。這類算法以其卓越的全局搜索能力和高度的適應(yīng)性，為解決深度學習模型的優(yōu)化問題提供了新的視角。趙冬梅等人[9]提出了一種面向復(fù)雜網(wǎng)絡(luò)安全態(tài)勢的預(yù)測模型，該模型結(jié)合了改進的粒子群優(yōu)化技術(shù)與雙向長短期記憶網(wǎng)絡(luò)(Bidirectional Long Short-Term Memory，BiLSTM)，取得了較好的預(yù)測效果。張一凡等人[10]應(yīng)用了自適應(yīng)進化算法來優(yōu)化預(yù)測模型，通過結(jié)合不同的基學習器和元學習器，顯著提升了預(yù)測準確性。羅翠云等人[11]采用了一種結(jié)合隨機黑洞模型的差分進化算法，有效地解決了調(diào)度中的復(fù)雜優(yōu)化問題。這些研究進一步證明了元啟發(fā)式算法在處理高維度和復(fù)雜數(shù)據(jù)集時的有效性。

然而，現(xiàn)有研究在捕捉時間序列數(shù)據(jù)中的復(fù)雜依賴性方面仍有不足，無法適應(yīng)物聯(lián)網(wǎng)的高動態(tài)、復(fù)雜性和大規(guī)模數(shù)據(jù)環(huán)境。因此，本文引入了雙向門控循環(huán)單元(Bidirectional Gated Recurrent Unit，BiGRU)和多頭注意力機制，與自適應(yīng)差分進化算法(Adaptive Differential Evolution，ADE)相結(jié)合，以更準確地捕獲物聯(lián)網(wǎng)安全態(tài)勢中的復(fù)雜數(shù)據(jù)模式和關(guān)系，提出了ADE-ABiGRU物聯(lián)網(wǎng)安全態(tài)勢預(yù)測模型。本文主要貢獻如下：

(1)優(yōu)化BiGRU以更有效地處理物聯(lián)網(wǎng)環(huán)境下的時間序列數(shù)據(jù)。通過引入殘差結(jié)構(gòu)，解決循環(huán)神經(jīng)網(wǎng)絡(luò)(Recurrent Neural Network，RNN)中常見的梯度消失和梯度爆炸問題。

(2)采用多頭注意力機制，有效增強模型在處理物聯(lián)網(wǎng)環(huán)境中復(fù)雜數(shù)據(jù)的分析能力，使模型能從多角度捕捉時間序列數(shù)據(jù)間的依賴關(guān)系，提高預(yù)測的精度和深度。

(3)對傳統(tǒng)差分進化(Differential Evolution，DE)算法進行了自適應(yīng)改進，通過自適應(yīng)地調(diào)整關(guān)鍵參數(shù)，使模型在物聯(lián)網(wǎng)安全態(tài)勢預(yù)測中達到更高的性能。

1 基于ADE-ABiGRU的物聯(lián)網(wǎng)安全態(tài)勢預(yù)測方法

本文結(jié)合ADE和BiGRU，提出了一種基于ADE-ABiGRU的物聯(lián)網(wǎng)安全態(tài)勢預(yù)測模型。模型結(jié)構(gòu)包括BiGRU用于捕獲時間序列數(shù)據(jù)的依賴關(guān)系，多頭注意力機制用于分析復(fù)雜的數(shù)據(jù)依賴，殘差結(jié)構(gòu)用于解決深度網(wǎng)絡(luò)中的梯度消失問題。改進的ADE算法引入非線性慣性權(quán)重，通過自適應(yīng)調(diào)整模型關(guān)鍵參數(shù)，進一步提高模型在物聯(lián)網(wǎng)安全態(tài)勢預(yù)測中的性能。

1.1 模型構(gòu)建

網(wǎng)絡(luò)模型主要包括BiGRU、多頭注意力機制和殘差結(jié)構(gòu)。具體模型結(jié)構(gòu)如圖1所示。

圖1 基于ADE-ABiGRU的網(wǎng)絡(luò)模型

1.1.1 BiGRU結(jié)構(gòu)

預(yù)測物聯(lián)網(wǎng)安全態(tài)勢值是一個時序任務(wù)，選擇使用BiGRU結(jié)構(gòu)[12]可以有效地捕獲時間序列中的依賴關(guān)系。BiGRU由兩個獨立的GRU組成，一個處理從左到右的序列，另一個處理從右到左的序列。這兩個GRU的輸出會在每個時間步被合并，以形成最終的輸出，在處理序列數(shù)據(jù)時可以同時考慮過去的信息和未來的信息。GRU其主要優(yōu)勢是可以更有效地捕捉長期依賴，而避免了RNN中的梯度消失和梯度爆炸問題。通過引入“重置門”和“更新門”兩種機制來實現(xiàn)這一點。

重置門rt用于確定在計算當前的候選隱藏狀態(tài)時應(yīng)該丟棄多少以前的信息，計算方法如式(1)所示：

rt=σ(Wr·[ht-1，xt])

(1)

其中，rt是重置門的激活值，σ是sigmoid激活函數(shù)，Wr是重置門的權(quán)重矩陣，ht-1是上一個時間步的隱藏狀態(tài)，而xt是當前時間步的輸入。

更新門zt用于確定應(yīng)該保留多少以前的隱藏狀態(tài)和新的候選隱藏狀態(tài)，如式(2)所示：

zt=σ(Wz·[ht-1，xt])

(2)

其中，zt是更新門的激活值，Wz是更新門的權(quán)重矩陣。

(3)

其中，tanh是雙曲正切激活函數(shù)，⊙表示逐元素乘法，W是權(quán)重矩陣。

當前時間步的隱藏狀態(tài)ht基于更新門的加權(quán)平均值來更新，如式(4)所示：

(4)

其中，ht是當前時間步的隱藏狀態(tài)。

在此基礎(chǔ)上，BiGRU在每個時間步將從左到右的GRU和從右到左的GRU的隱藏狀態(tài)進行合并，從而形成最終的輸出。當輸入序列中的模式可能受到過去和未來數(shù)據(jù)點的影響時，BiGRU的這種雙向結(jié)構(gòu)使其能夠在時間序列預(yù)測任務(wù)中捕獲更豐富的上下文信息。

1.1.2 多頭注意力機制

多頭注意力機制(Multi-Head Attention Mechanism)[13]是自注意力機制的擴展，被廣泛應(yīng)用于Transformer結(jié)構(gòu)中以捕獲輸入序列中多種不同的依賴關(guān)系。在物聯(lián)網(wǎng)安全態(tài)勢預(yù)測中，這種機制可以幫助模型從多個角度對輸入數(shù)據(jù)進行分析，捕獲更復(fù)雜的依賴模式。自注意力機制的基本思想是對輸入序列中的每一個元素計算其與其他所有元素的相關(guān)性。而多頭注意力則是并行運行多次這樣的自注意力操作，每次都使用不同的權(quán)重集，這樣可以捕獲輸入數(shù)據(jù)中多種不同的信息和模式。多頭注意力的計算可以描述如下：

對于輸入的每一個元素，都會計算其對應(yīng)的鍵(Key)、值(Value)和查詢(Query)表示，如式(5)～(7)所示：

Keys=X·WK

(5)

Values=X·WV

(6)

Queries=X·WQ

(7)

其中，X是輸入數(shù)據(jù)，而WK、WV、WQ分別是鍵、值和查詢的權(quán)重矩陣。

接下來，計算查詢與所有鍵之間的點積，然后應(yīng)用softmax函數(shù)，得到注意力權(quán)重：

(8)

其中，A代表注意力權(quán)重，dk是鍵的維度。

對于第i個頭，用上述方法計算出的注意力權(quán)重對值進行加權(quán)求和，得到輸出：

Oi=Ai·Vi

(9)

其中Oi表示第i個頭的輸出，Ai是第i個頭的注意力權(quán)重，而Vi是第i個頭的值。

多頭注意力則是重復(fù)上述過程多次，每次使用不同的權(quán)重集，然后將所有頭的輸出拼接起來：

Omulti=Concat(Head1，Head2，…，HeadH)·WO

(10)

其中，H是頭的數(shù)量，WO是一個輸出權(quán)重矩陣，用于將各個頭的輸出合并為一個統(tǒng)一的輸出。

1.1.3 殘差結(jié)構(gòu)

殘差結(jié)構(gòu)(Residual Networks，ResNets)[14]主要用于解決深度學習模型中的梯度消失問題。其核心是通過直接連接來“跳過”一些層，從而更有效地傳播梯度。

對于網(wǎng)絡(luò)中某個層的輸入為x，該層的操作為F(x，W)，其中W是權(quán)重。殘差連接的形式為：

y=F(x，W)+x

(11)

其中，y是該層的輸出。這種形式保證了即使F只輸出小的值，輸出y也會包含大部分的輸入信息。

考慮梯度的反向傳播，直接連接保證了梯度的直接流動：

(12)

與普通層相比，殘差連接有一個額外的單位梯度，這確保了深度模型中的梯度不會輕易消失。殘差連接優(yōu)化了網(wǎng)絡(luò)的學習過程，增強了梯度的流動性，確保深度網(wǎng)絡(luò)在訓(xùn)練過程中保持有效性和穩(wěn)定性。

1.2 改進DE算法

為了更好地與BiGRU模型的特性和需求相適應(yīng)，ADE算法對標準DE算法[15]的參數(shù)進行了優(yōu)化調(diào)整。通過自適應(yīng)調(diào)整關(guān)鍵參數(shù)，如變異因子和交叉概率，并考慮種群大小，提高尋找物聯(lián)網(wǎng)安全態(tài)勢預(yù)測問題中全局最優(yōu)解的效率。ADE算法引入了自適應(yīng)機制，基于BiGRU模型的性能反饋，以動態(tài)調(diào)整算法參數(shù)，從而優(yōu)化模型的預(yù)測能力。

1.2.1 自適應(yīng)交叉因子和變異因子

在DE算法中，交叉因子CR和變異因子F是關(guān)鍵因子。通過引入基于sigmoid函數(shù)的自適應(yīng)機制，在迭代過程中更新變異因子和交叉概率，使得算法在搜索初期能夠廣泛地探索解空間，尋找多個可能的優(yōu)良解區(qū)域。隨著迭代的進行，算法逐漸從廣泛探索轉(zhuǎn)向精細化搜索，在找到的潛在優(yōu)良區(qū)域內(nèi)進行更加集中和深入的搜索，以期找到更精確的最優(yōu)解。這種從廣泛探索到精細化搜索的轉(zhuǎn)變，有助于算法在迭代的不同階段保持有效的平衡，避免早熟收斂，同時增加找到全局最優(yōu)解的可能性。在改進策略中，這些因子會隨著迭代次數(shù)動態(tài)地調(diào)整。交叉因子CR的更新策略與F相似，替換了相應(yīng)的參數(shù)上下限值，以變異因子F為例，其自適應(yīng)策略如下：

(13)

其中，t是當前迭代次數(shù)，M是最大迭代次數(shù)，F(xiàn)max和Fmin分別是F的最大值和最小值，k是控制sigmoid函數(shù)斜率的參數(shù)。

1.2.2 非線性慣性權(quán)重

為了提高DE算法在搜索空間中的探索和利用能力，引入了一個非線性的慣性權(quán)重因子ω，使DE算法增添了一個額外的調(diào)整維度，使得算法在不同的迭代階段可以有不同的搜索強度。非線性慣性權(quán)重的主要作用是在試驗向量的計算中調(diào)整隨機選擇的種群成員的貢獻。通過引入該權(quán)重，可以在算法的早期階段加強全局搜索，而在后期階段更加關(guān)注局部搜索，從而實現(xiàn)更好的平衡。試驗向量的計算公式如式(14)所示：

(14)

(15)

在此策略中，ω的值會根據(jù)當前的迭代次數(shù)t和最大迭代次數(shù)M動態(tài)調(diào)整，從而實現(xiàn)算法在不同迭代階段的自適應(yīng)性。

2 實驗與分析

2.1 數(shù)據(jù)來源與預(yù)處理

ToN_IoT數(shù)據(jù)集[16]匯集了物聯(lián)網(wǎng)(IoT)和工業(yè)物聯(lián)網(wǎng)(IIoT)的傳感器數(shù)據(jù)、Windows 7和10、Ubuntu 14和18的TLS操作系統(tǒng)日志，以及網(wǎng)絡(luò)流量記錄等多樣化的異構(gòu)數(shù)據(jù)源。選擇該數(shù)據(jù)集的原因在于其豐富的數(shù)據(jù)類型和廣泛的攻擊場景覆蓋，這些特點使其成為模擬現(xiàn)實世界復(fù)雜網(wǎng)絡(luò)環(huán)境的理想選擇。數(shù)據(jù)集中包括9種主要攻擊類型(如掃描、DoS、DDoS等)和正常流量，能夠全面模擬物聯(lián)網(wǎng)環(huán)境下各類安全威脅，為深入分析網(wǎng)絡(luò)安全態(tài)勢提供了實驗基礎(chǔ)。

在數(shù)據(jù)預(yù)處理方面，首先對分類特征實施標簽編碼，將非數(shù)值數(shù)據(jù)轉(zhuǎn)化為數(shù)值形式，以適應(yīng)深度學習模型的輸入需求。分類特征根據(jù)其唯一值的數(shù)量被分為兩類：唯一值較少的特征采用獨熱編碼(One-Hot Encoding)，而唯一值較多的特征則采用計數(shù)編碼(Count Encoding)。完成編碼后，原始分類列被替換為相應(yīng)的編碼列。本研究重點分析了數(shù)據(jù)集中“Train_Test_Network.csv”文件中的45個特征，包括時間戳、源/目的IP地址、源/目的端口號、協(xié)議類型等，及其數(shù)據(jù)標簽(正?；蚬?和攻擊類型。這些特征被劃分為8個服務(wù)配置文件，如連接活動、統(tǒng)計活動、DNS活動、SSL活動、HTTP活動和違規(guī)活動等，為后續(xù)的模型訓(xùn)練與驗證提供了詳細的數(shù)據(jù)基礎(chǔ)。

2.2 態(tài)勢值生成

ToN_IoT數(shù)據(jù)集并沒有提供直接可用的態(tài)勢值字段。為了生成態(tài)勢值，本文參考文獻[9]的方法，并進行了適當?shù)恼{(diào)整和優(yōu)化，主要優(yōu)化在于結(jié)合了攻擊類型所帶來的威脅因子和攻擊的頻次兩個核心因素以構(gòu)建態(tài)勢值；并定義了各種攻擊類型與其相應(yīng)的威脅因子值，具體的攻擊類別與威脅因子的關(guān)系如表1所示。

表1 威脅因子

考慮到網(wǎng)絡(luò)環(huán)境的動態(tài)性和變化性，選定708個樣本的時間段作為分析的基礎(chǔ)單位，約對應(yīng)1 h的網(wǎng)絡(luò)活動。在這個時間框架內(nèi)，如果遭遇頻繁的網(wǎng)絡(luò)攻擊，其安全態(tài)勢評分將相應(yīng)提高，反映出更高的威脅級別；相反，如果攻擊較少，則態(tài)勢評分降低，從而更準確地描繪出網(wǎng)絡(luò)的安全狀況。每一個時間段中的具體態(tài)勢值SA(t)計算方式如式(16)所示：

(16)

其中，Ti和Fi分別代表第i個樣本的威脅因子值和該樣本在一個時間段內(nèi)的攻擊威脅，N是該時間段內(nèi)的樣本總數(shù)。

根據(jù)式(16)為每一個時間段生成真實態(tài)勢值，如圖2所示。

圖2 真實態(tài)勢值

2.3 實驗環(huán)境

本文的實驗環(huán)境如表2所示，實驗環(huán)境的配置提供了基礎(chǔ)設(shè)施和軟件工具，以支持本文的實驗設(shè)計和數(shù)據(jù)處理。

2.4 評價指標

為了準確評估物聯(lián)網(wǎng)安全態(tài)勢預(yù)測算法的性能，本文選用了三個主要的評價指標：平均絕對百分比誤差(Mean Absolute Percentage Error，MAPE)、決定系數(shù)(Coefficient of Determination，R2)和均方誤差 (Mean Squared Error，MSE)。

MAPE常用于衡量預(yù)測算法準確性。它計算實際值與預(yù)測值之間的平均百分比誤差。計算公式如下：

(17)

其中，Ai和Fi分別是第i個觀測點的實際值和預(yù)測值。MAPE 的值越小，預(yù)測準確性越高。

R2是用于衡量模型預(yù)測能力的一個統(tǒng)計指標。它描述了模型預(yù)測的方差占數(shù)據(jù)總方差的比例，用于評價模型對數(shù)據(jù)的解釋能力。計算公式如下：

(18)

MSE是用于衡量預(yù)測值與實際觀測值之間差異的一種度量，表示預(yù)測誤差的平方的平均值，其值越小表示預(yù)測模型的精度越高。計算公式如下：

(19)

2.5 實驗結(jié)果與分析

2.5.1 網(wǎng)絡(luò)安全態(tài)勢預(yù)測對比

本節(jié)對不同物聯(lián)網(wǎng)安全態(tài)勢預(yù)測算法進行預(yù)測值比較，主要對比了ADE-ABiGRU、BiGRU、CNN和RandomForest等算法的性能。從圖3的實驗結(jié)果可以看出，ADE-ABiGRU算法的預(yù)測趨勢與實際值高度一致，對比原始BiGRU也有所提升，BiGRU在劇烈波動的時間段與真實值有不符。這表明ADE-ABiGRU在物聯(lián)網(wǎng)安全態(tài)勢預(yù)測上具有非常高的準確性和穩(wěn)定性，其成功地捕捉了網(wǎng)絡(luò)安全態(tài)勢的主要變化趨勢，與真實值的擬合度明顯優(yōu)于其他算法。

圖3 對比結(jié)果

2.5.2 性能評估指標分析

為了評估物聯(lián)網(wǎng)安全態(tài)勢預(yù)測算法的性能，本節(jié)測試了MAPE、R2和MSE三個指標。MAPE用于量化預(yù)測值與實際值之間的平均百分比誤差，其值越小，預(yù)測準確性越高。R2描述的是模型預(yù)測的方差與數(shù)據(jù)總方差之間的關(guān)系，R2值越接近1，模型擬合度越好。MSE表示預(yù)測誤差的平方的平均值，其值越小表示預(yù)測模型的精度越高。從表3的數(shù)據(jù)可以看出，ADE-ABiGRU在所有三個指標上均優(yōu)于其他算法，表明ADE-ABiGRU模型在預(yù)測物聯(lián)網(wǎng)安全態(tài)勢時，不僅準確性高，而且預(yù)測誤差小，擬合度好。這主要得益于其結(jié)合了差分進化算法的全局搜索能力和BiGRU捕捉時間依賴性的優(yōu)勢，從而提升了預(yù)測的精確度和穩(wěn)定性。

表3 不同算法的MAPE、R2和MSE比較

3 結(jié)論

本文針對現(xiàn)有預(yù)測模型在動態(tài)捕捉物聯(lián)網(wǎng)安全態(tài)勢方面存在的局限性，提出融合ADE與ABiGRU的預(yù)測模型。該模型通過多頭注意力機制精細地捕獲時序數(shù)據(jù)中的關(guān)鍵特征，利用殘差結(jié)構(gòu)減少梯度消失問題，提高模型訓(xùn)練的穩(wěn)定性。自適應(yīng)差分進化算法在此模型中負責參數(shù)優(yōu)化，在動態(tài)環(huán)境下能更有效地捕捉安全態(tài)勢的變化，進一步提升了模型的預(yù)測準確性。實驗結(jié)果表明該模型在準確性和穩(wěn)定性上均顯示出優(yōu)越性。未來研究將優(yōu)化模型效率并探索先進機器學習技術(shù)以提升預(yù)測性能。