摘" 要： 以提升網(wǎng)絡(luò)入侵檢測技術(shù)水平為目的，設(shè)計(jì)基于人工智能技術(shù)的輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)。該系統(tǒng)數(shù)據(jù)采集層利用若干個(gè)用戶探針連接IDS檢測服務(wù)器后，使用網(wǎng)絡(luò)數(shù)據(jù)包捕獲模塊捕獲用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)，再通過傳輸層內(nèi)防火墻、核心交換機(jī)和MQTT/CoAP通信協(xié)議將用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)發(fā)送到邏輯運(yùn)算層內(nèi)，該層利用數(shù)據(jù)預(yù)處理模塊對用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)進(jìn)行去噪預(yù)處理后，將其輸入到基于人工智能的網(wǎng)絡(luò)入侵檢測模塊內(nèi)，通過該模塊輸出輕量級網(wǎng)絡(luò)入侵檢測結(jié)果，然后將檢測結(jié)果發(fā)送到展示層，通過入侵告警信息、數(shù)據(jù)可視化展示等模塊實(shí)現(xiàn)人機(jī)交互。實(shí)驗(yàn)表明：該系統(tǒng)運(yùn)行較為穩(wěn)定，可有效檢測不同類型網(wǎng)絡(luò)入侵的同時(shí)，其檢測及時(shí)性和入侵告警能力較好，應(yīng)用效果良好。

關(guān)鍵詞： 人工智能； 輕量級； 網(wǎng)絡(luò)入侵； 檢測系統(tǒng)； 數(shù)據(jù)采集； 硬件結(jié)構(gòu)； 無監(jiān)督； 免疫優(yōu)化

中圖分類號： TN711?34； TP391" " " " " " " " " " " 文獻(xiàn)標(biāo)識碼： A" " " " " " " " " "文章編號： 1004?373X（2024）05?0108?04

Design of lightweight network intrusion detection system

based on artificial intelligence technology

DONG Weiwei1， WANG Xi2， ZHONG Xinhui3， FENG Shijie4， WANG Meihong5

（1. School of Information Science and Technology， Hainan University， Haikou 570100， China;

2. School of Information and Communication Engineering， Communication University of China， Beijing 100024， China;

3. School of Microelectronics and Communication Engineering， Chongqing University， Chongqing 400044， China;

4. School of Computer Science and Technology， North China Electric Power University， Beijing 100000， China;

5. School of Cyberspace Security （School of Cryptography）， Hainan University， Haikou 570100， China）

Abstract： A lightweight network intrusion detection system based on artificial intelligence technology is designed to improve the level of network intrusion detection. In the data collection layer of the system， several user probes are used to be connected with the IDS detection server， and then a network packet capture module is used to capture user network operation data. Then， the user network operation data is sent to the logical operation layer by the firewall， core switch， and MQTT/CoAP communication protocol in the transport layer. In the logical operation layer， a data preprocessing module is used to denoise and preprocess the user network operation data. And then， the data after denoising is input into the network intrusion detection module based on artificial intelligence. By this module， the lightweight network intrusion detection results are output. The detection results are sent to the display layer， and the human?computer interaction is realized by intrusion alarm information module and data visualization display module. The experiment shows that the system runs relatively smoothly and can detect different types of network intrusions effectively. At the same time， its detection timeliness and intrusion alarm ability are good， which achieves satisfied application effect.

Keywords： artificial intelligence; lightweight; network intrusion; detection system; data collection; hardware structure; non?supervision; immune optimization

0" 引" 言

在網(wǎng)絡(luò)日益發(fā)達(dá)的現(xiàn)在，網(wǎng)絡(luò)入侵現(xiàn)象時(shí)有發(fā)生，給網(wǎng)絡(luò)用戶信息安全帶來嚴(yán)重威脅。網(wǎng)絡(luò)入侵檢測則是通過采集和分析網(wǎng)絡(luò)信息，發(fā)現(xiàn)網(wǎng)絡(luò)入侵的一種網(wǎng)絡(luò)保護(hù)技術(shù)[1?2]，其主要功能是對網(wǎng)絡(luò)和用戶計(jì)算機(jī)系統(tǒng)進(jìn)行實(shí)時(shí)監(jiān)控，檢測網(wǎng)絡(luò)和用戶計(jì)算機(jī)系統(tǒng)遭受的入侵行為并向用戶發(fā)出告警。但在網(wǎng)絡(luò)日益發(fā)達(dá)，網(wǎng)絡(luò)用戶和設(shè)備激增的情況下，針對網(wǎng)絡(luò)入侵檢測過程中會出現(xiàn)漏警、延遲告警等現(xiàn)象，面對該情況[3]，研究輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)是該領(lǐng)域研究關(guān)注的重點(diǎn)?，F(xiàn)在也有很多學(xué)者研究輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)，如文獻(xiàn)[3]設(shè)計(jì)網(wǎng)絡(luò)入侵檢測系統(tǒng)，該系統(tǒng)通過采集網(wǎng)絡(luò)連接特征值后，針對不同網(wǎng)絡(luò)流量形式設(shè)置評分機(jī)制，再通過深度學(xué)習(xí)模型輸出網(wǎng)絡(luò)入侵檢測結(jié)果。文獻(xiàn)[4]提出多模型判別的網(wǎng)絡(luò)入侵檢測系統(tǒng)，該系統(tǒng)運(yùn)用Bagging算法將支持向量機(jī)、時(shí)序卷積神經(jīng)網(wǎng)絡(luò)、殘差神經(jīng)網(wǎng)絡(luò)集成于一體，將網(wǎng)絡(luò)數(shù)據(jù)輸入到以上模型內(nèi)獲得網(wǎng)絡(luò)入侵檢測結(jié)果。以上系統(tǒng)雖然均可實(shí)現(xiàn)輕量級網(wǎng)絡(luò)入侵檢測，但檢測結(jié)果精度不足，導(dǎo)致該兩種系統(tǒng)應(yīng)用效果不佳。人工智能技術(shù)是指利用計(jì)算機(jī)程序?qū)崿F(xiàn)人類智能的技術(shù)，其包括推理、學(xué)習(xí)、感知的多種機(jī)器學(xué)習(xí)算法[5]，在各個(gè)領(lǐng)域應(yīng)用極為廣泛，本文在此以人工智能技術(shù)為基礎(chǔ)，設(shè)計(jì)基于人工智能技術(shù)的輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)，提升網(wǎng)絡(luò)入侵檢測技術(shù)水平。

1" 輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)

1.1" 系統(tǒng)總體結(jié)構(gòu)

設(shè)計(jì)輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)總體結(jié)構(gòu)，如圖1所示。輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)由采集層、傳輸層、邏輯運(yùn)算層和展示層組成，在采集層內(nèi)利用若干個(gè)用戶探針獲得用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)，經(jīng)過IDS檢測服務(wù)器傳輸后使用網(wǎng)絡(luò)數(shù)據(jù)包捕獲模塊獲得當(dāng)前用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)，然后將其傳輸?shù)絺鬏攲觾?nèi)，該層通過防火墻、核心交換機(jī)和通信協(xié)議將當(dāng)前網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)傳輸?shù)竭壿嬤\(yùn)算層內(nèi)，該層使用數(shù)據(jù)預(yù)處理模塊對網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)進(jìn)行去噪預(yù)處理后，將其輸入到基于人工智能的網(wǎng)絡(luò)入侵檢測模塊內(nèi)，通過該模塊獲得當(dāng)前輕量級網(wǎng)絡(luò)入侵檢測結(jié)果后，通過展示層內(nèi)的歷史記錄查詢、入侵檢測結(jié)果展示等模塊為用戶提供交互功能。

1.2" IDS檢測服務(wù)器硬件設(shè)計(jì)

IDS檢測服務(wù)器由若干個(gè)Agent組成Agent庫，并以其為基礎(chǔ)建立控制中心，每個(gè)Agent之間通信借助消息傳遞方式運(yùn)行[6]。IDS檢測服務(wù)器硬件結(jié)構(gòu)如圖2所示。

IDS檢測服務(wù)器硬件由被檢測主機(jī)、主控制中心和分區(qū)控制中心組成。被檢測網(wǎng)絡(luò)主機(jī)由通信組件、巡視Agent、響應(yīng)模塊和數(shù)據(jù)采集模塊組成，負(fù)責(zé)獲取被檢測主機(jī)運(yùn)行數(shù)據(jù)并將其發(fā)送到分區(qū)控制中心內(nèi)。分區(qū)控制中心對接收被檢測主機(jī)運(yùn)行數(shù)據(jù)[7]，巡視并分析Agent后，通過通信組件將被檢測主機(jī)運(yùn)行數(shù)據(jù)發(fā)送到主控制中心內(nèi)。主控制中心由Agent庫、管理模塊、響應(yīng)模塊和綜合分析模塊組成，其負(fù)責(zé)對被檢測主機(jī)運(yùn)行數(shù)據(jù)進(jìn)行綜合分析后將其傳輸?shù)较到y(tǒng)采集層網(wǎng)絡(luò)數(shù)據(jù)包捕獲模塊內(nèi)，獲得最終的用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)。

1.3" 系統(tǒng)軟件設(shè)計(jì)

1.3.1" 數(shù)據(jù)包捕獲程序設(shè)計(jì)

系統(tǒng)采集層網(wǎng)絡(luò)數(shù)據(jù)包捕獲模塊是系統(tǒng)的關(guān)鍵部分，其負(fù)責(zé)采集用戶在網(wǎng)絡(luò)上的運(yùn)行數(shù)據(jù)，是實(shí)現(xiàn)輕量級網(wǎng)絡(luò)入侵檢測的基礎(chǔ)，設(shè)計(jì)數(shù)據(jù)包捕獲軟件運(yùn)行流程如圖3所示。

系統(tǒng)采集層網(wǎng)絡(luò)數(shù)據(jù)包捕獲模塊開始運(yùn)行時(shí)，先開啟網(wǎng)卡混雜模式，然后對IDS檢測服務(wù)器進(jìn)行監(jiān)聽，尋找當(dāng)前傳輸用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)設(shè)備，判斷是否尋找到設(shè)備，若沒有則繼續(xù)對IDS檢測服務(wù)器進(jìn)行監(jiān)聽，若尋找到設(shè)備，則開啟網(wǎng)絡(luò)設(shè)備或文件后，獲取當(dāng)前網(wǎng)絡(luò)號和掩碼[8]，捕獲當(dāng)前網(wǎng)絡(luò)數(shù)據(jù)包并傳輸后結(jié)束數(shù)據(jù)包捕獲程序，經(jīng)過上述過程完成數(shù)據(jù)包捕獲過程。

1.3.2" 基于人工智能技術(shù)的網(wǎng)絡(luò)入侵檢測算法

系統(tǒng)獲取到用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)后，系統(tǒng)邏輯運(yùn)算層對數(shù)據(jù)進(jìn)行去噪預(yù)處理，避免影響輕量級入侵檢測的精度，然后將去噪預(yù)處理后的用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)輸入到基于人工智能技術(shù)的網(wǎng)絡(luò)入侵檢測模塊內(nèi)，該模塊利用人工智能技術(shù)中的無監(jiān)督免疫優(yōu)化分層對用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)進(jìn)行輕量級入侵檢測[9?10]，其詳細(xì)過程如下：

用戶網(wǎng)絡(luò)入侵可分為內(nèi)部入侵和外部入侵，建立輕量級網(wǎng)絡(luò)入侵檢測模型[f（x）]，該模型表達(dá)式如下：

[f（x）=synR-K（x，x）-2jλjK（xj，x）+i，jλiλjK（xj，xi）] （1）

式中：syn（·）表示合成數(shù)據(jù)，通過使用合成數(shù)據(jù)來建立入侵檢測模型，以增加模型的訓(xùn)練樣本數(shù)量；[R]表示用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)識別特征；[K（xj，xi）]表示用戶網(wǎng)絡(luò)訪問數(shù)據(jù)；[λ]表示訪問數(shù)據(jù)類別標(biāo)記。

由于用戶遭受網(wǎng)絡(luò)入侵是無監(jiān)督的[11]，對于無監(jiān)督訪問數(shù)據(jù)沒有類別的標(biāo)識[12?13]，導(dǎo)致其入侵特征不夠明顯，在此使用免疫網(wǎng)絡(luò)優(yōu)化方法對網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)進(jìn)行學(xué)習(xí)壓縮。令[G]表示由用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)建立的免疫網(wǎng)絡(luò)矩陣，然后通過計(jì)算免疫網(wǎng)絡(luò)內(nèi)節(jié)點(diǎn)[Gi]和[Gj]的相似性判斷矩陣行向量的距離，依據(jù)該距離對用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)進(jìn)行學(xué)習(xí)壓縮。以學(xué)習(xí)壓縮處理后的用戶網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)為基礎(chǔ)，將該數(shù)據(jù)對偶成一個(gè)優(yōu)化分類函數(shù)[Q（G）]，表達(dá)公式如下：

[Q（G）=i=1NQi-i，j=1nQiQj（xi，xj）2] （2）

依據(jù)公式（1），則輕量級網(wǎng)絡(luò)入侵檢測模型可改寫為：

[f（x）=synR-G（x，x）-2jλjG（xj，x）] （3）

利用優(yōu)化分類函數(shù)[Q（G）]對公式（3）進(jìn)行優(yōu)化求解后，即可得到輕量級網(wǎng)絡(luò)入侵檢測結(jié)果，將該結(jié)果發(fā)送至系統(tǒng)展示層內(nèi)，通過入侵告警信息模塊向用戶發(fā)出入侵告警，通過入侵檢測結(jié)果模塊為用戶呈現(xiàn)入侵檢測結(jié)果。

2" 實(shí)驗(yàn)分析

以某學(xué)校內(nèi)網(wǎng)作為實(shí)驗(yàn)對象，該學(xué)校內(nèi)網(wǎng)由于應(yīng)用特殊性，經(jīng)常遭受網(wǎng)絡(luò)入侵，對網(wǎng)絡(luò)信息安全造成了嚴(yán)重影響，運(yùn)用本文系統(tǒng)對該學(xué)校網(wǎng)絡(luò)進(jìn)行輕量級入侵檢測，驗(yàn)證本文系統(tǒng)的實(shí)際應(yīng)用效果。

用戶網(wǎng)絡(luò)數(shù)據(jù)包捕獲是輕量級網(wǎng)絡(luò)入侵的基礎(chǔ)，以該高校網(wǎng)絡(luò)內(nèi)10臺主機(jī)作為實(shí)驗(yàn)對象，測試該10臺主機(jī)運(yùn)行時(shí)本文系統(tǒng)捕獲其數(shù)據(jù)包的能力，結(jié)果如表1所示。

分析表1可知，運(yùn)用本文系統(tǒng)捕獲10臺主機(jī)運(yùn)行時(shí)的網(wǎng)絡(luò)數(shù)據(jù)，捕獲的數(shù)據(jù)包個(gè)數(shù)與實(shí)際數(shù)據(jù)包個(gè)數(shù)最大差值僅為1，該差值較小，其說明本文系統(tǒng)可有效捕獲網(wǎng)絡(luò)數(shù)據(jù)包，為后續(xù)輕量級網(wǎng)絡(luò)入侵檢測提供數(shù)據(jù)基礎(chǔ)。

以不同線程數(shù)情況下系統(tǒng)性能損失值作為衡量系統(tǒng)穩(wěn)定性的指標(biāo)，測試在不同運(yùn)行線程情況下本文系統(tǒng)的性能損失值變化情況，同時(shí)設(shè)置性能損失值閾值為10%，測試結(jié)果如圖4所示。

分析圖4可知，本文系統(tǒng)在運(yùn)行時(shí)，其性能損失值隨著運(yùn)行線程數(shù)量的增加而增加，但在運(yùn)行線程數(shù)量為80個(gè)之前，本文系統(tǒng)性能損失率數(shù)值較低，當(dāng)運(yùn)行線程數(shù)量超過80個(gè)后，系統(tǒng)的性能損失率呈現(xiàn)稍大幅度的上升趨勢，但性能損失值均低于預(yù)設(shè)閾值。上述結(jié)果表明：本文系統(tǒng)在運(yùn)行過程中受運(yùn)行線程數(shù)量影響較小，系統(tǒng)運(yùn)行穩(wěn)定性能較好。

運(yùn)用本文系統(tǒng)對某時(shí)段內(nèi)的校園網(wǎng)絡(luò)入侵進(jìn)行檢測，檢測結(jié)果如圖5所示。

分析圖5可知，運(yùn)用本文系統(tǒng)可有效從若干網(wǎng)絡(luò)運(yùn)行正常數(shù)據(jù)內(nèi)檢測到入侵?jǐn)?shù)據(jù)，檢測到的入侵?jǐn)?shù)據(jù)個(gè)數(shù)與實(shí)際入侵?jǐn)?shù)據(jù)個(gè)數(shù)完全吻合，說明本文系統(tǒng)具備較好的輕量級網(wǎng)絡(luò)入侵檢測能力。

以不同網(wǎng)絡(luò)入侵類型作為實(shí)驗(yàn)對象，使用本文系統(tǒng)對不同網(wǎng)絡(luò)入侵類型進(jìn)行輕量級檢測并告警，以告警時(shí)延作為衡量本文系統(tǒng)輕量級檢測性能的指標(biāo)，驗(yàn)證本文系統(tǒng)應(yīng)用效果，測試結(jié)果如表2所示。

分析表2可知，對于不同類型的網(wǎng)絡(luò)入侵，本文系統(tǒng)均可有效檢測并告警，其中告警延遲最大數(shù)值僅為0.05 ms，該數(shù)值較小，說明本文系統(tǒng)可及時(shí)對網(wǎng)絡(luò)入侵進(jìn)行告警，告警延遲時(shí)間較小也說明本文系統(tǒng)輕量級檢測能力較好，應(yīng)用效果較好。

3" 結(jié)" 論

本文設(shè)計(jì)基于人工智能技術(shù)的輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)，并以某高校內(nèi)網(wǎng)作為實(shí)驗(yàn)對象，對本文系統(tǒng)進(jìn)行了多角度驗(yàn)證，從驗(yàn)證結(jié)果得知，本文系統(tǒng)捕獲網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)包能力較強(qiáng)，可有效檢測數(shù)據(jù)內(nèi)的入侵?jǐn)?shù)據(jù)，并及時(shí)向用戶發(fā)出入侵告警，具備較好的應(yīng)用效果，未來可在網(wǎng)絡(luò)入侵檢測領(lǐng)域廣泛應(yīng)用。

參考文獻(xiàn)

[1] 黃學(xué)臻，翟翟，周琳，等.基于輕量級密集神經(jīng)網(wǎng)絡(luò)的車載自組網(wǎng)入侵檢測方法[J].電子技術(shù)應(yīng)用，2022，48（7）：67?73.

[2] 楊彥榮，宋榮杰，周兆永.基于GAN?PSO?ELM的網(wǎng)絡(luò)入侵檢測方法[J].計(jì)算機(jī)工程與應(yīng)用，2020，56（12）：66?72.

[3] 何俊鵬，羅蕾，肖堃，等.基于特征值分布和人工智能的網(wǎng)絡(luò)入侵檢測系統(tǒng)的研究與實(shí)現(xiàn)[J].計(jì)算機(jī)應(yīng)用研究，2021，38（9）：2746?2751.

[4] 馬琳，王云霄，趙麗娜，等.基于多模型判別的網(wǎng)絡(luò)入侵檢測系統(tǒng)[J].計(jì)算機(jī)科學(xué)，2021，48（z2）：592?596.

[5] 劉景美，高源伯.自適應(yīng)分箱特征選擇的快速網(wǎng)絡(luò)入侵檢測系統(tǒng)[J].西安電子科技大學(xué)學(xué)報(bào)（自然科學(xué)版），2021，48（1）：176?182.

[6] 李貝貝，宋佳芮，杜卿蕓，等.DRL?IDS：基于深度強(qiáng)化學(xué)習(xí)的工業(yè)物聯(lián)網(wǎng)入侵檢測系統(tǒng)[J].計(jì)算機(jī)科學(xué)，2021，48（7）：47?54.

[7] 王璐，文武松.基于人工智能的分布式入侵檢測研究[J].計(jì)算機(jī)科學(xué)，2022，49（10）：353?357.

[8] 沈綱祥.基于人工智能技術(shù)的光通信網(wǎng)絡(luò)應(yīng)用研究[J].通信學(xué)報(bào)，2020，41（1）：162?168.

[9] 南靜，寧傳峰，建中華，等.基于隨機(jī)配置網(wǎng)絡(luò)的輕量級人體行為識別模型[J].控制與決策，2023，38（6）：1541?1550.

[10] 卞葉童，孫涵.多信息輔助的U型輕量級顯著性目標(biāo)檢測模型[J].小型微型計(jì)算機(jī)系統(tǒng)，2023，44（9）：2023?2029.

[11] 柴亞闖，楊文忠，張志豪，等.基于EKM?AE模型的無監(jiān)督主機(jī)入侵檢測方法[J].小型微型計(jì)算機(jī)系統(tǒng)，2021，42（4）：868?874.

[12] 蔡美玲，汪家喜，劉金平，等.基于Transformer GAN架構(gòu)的多變量時(shí)間序列異常檢測[J].中國科學(xué)：信息科學(xué)，2023，53（5）：972?992.

[13] 王進(jìn)，李琪，黃家瑋.路徑差異敏感的包散射策略機(jī)制[J].計(jì)算機(jī)工程與應(yīng)用，2019，55（5）：72?75.