大数据环境下的网络主动入侵检测方法研究

第３１卷第８期　２０１５年８月　科技通报　ＢＵＬＬＥＴＩＮ　ＯＦ　ＳＣＩＥＮＣＥ　ＡＮＤ　ＴＥＣＨＮ０Ｌ０ＧＹ　Ｖｏ１．３１　Ｎｏ．８　Ａｕｇ．２０１５　大数据环境下的网络主动入侵检测方法研究　王曙霞　（湖北工程学院计算机与信息科学学院，湖北孝感４３２０００）　摘要：由于传统网络入侵检测方法检测率低及不能进行在线检测，无法有效实现网络主动入侵检测，　提出一种基于马氏距离Ｋ均值的大数据环境下网络主动入侵检测方法，分析了马氏距离的评价准则，　依据新样本与原样本之间的马氏距离确定是否需开展新的聚类，输出与全部数据样本相应的攻击类　别。通过一个由一定数量的支持向量决定的超平对数据进行分类，当ＳＶＭ分离方法受到约束时，利用　核函数将输人数据映射至高维特征空间，采用高斯径向基函数对最小二乘支持向量机分类模型进行建　立。通过粒子群优化算法对最小二乘支持向量机参数进行选择。利用种群中个体之间的协作以及信　息交换获取最佳方案。仿真实验结果表明，所提方法有很高的的检测效率及精度。　关键词：大数据；网络入侵；检测；　中国分类号：ＴＰ３９３　文献标识码：Ａ　文章编号：１００１—７１１９（２０１５）０８—０２２５—０３　Ｎｅｔｗｏｒｋ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｍｅｔｈｏｄ　Ｒｅｓｅａｒｃｈ　Ｕｎｄｅｒ　Ｂｉｇ　Ｄａｔａ　Ｅｎｖｉｒｏｎｍｅｎｔ　Ｗａｎｇ　Ｓｈｕｘｉａ　（Ｓｃｈｏｏｌ　ｏｆ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｃｉｅｎｃｅ；Ｈｕｂｅｉ　Ｅｎｇｉｎｅｅｒｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ，Ｘｉａｏｇａｎ　Ｈｕｂｅｉ　４３２０００；Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｄｕｅ　ｔｏ　ｌｏｗ　ｄｅｔｅｃｔｉｏｎ　ｒａｔｅ　ａｎｄ　ｔｈｅ　ｔｒａｄｉｔｉｏｎａｌ　ｎｅｔｗｏｒｋ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｍｅｔｈｏｄ　ｃａｎｎｏｔ　ｂｅ　ｏｎ—ｌｉｎｅ　ｄｅｔｅｃｔｉｏｎ．ｕｎ—　ａｂｌｅ　ｔｏ　ｅｆｆｅｃｔｉｖｅｌｙ　ｉｍｐｌｅｍｅｎｔ　ｎｅｔｗｏｒｋ　ｉｎｔｕｓｉｒｏｎ　ｄｅｔｅｃｔｉｏｎ，ｐｒｏｐｏｓｅｓ　ａ　ｋ－ｍｅａｎｓ　ｂａｓｅｄ　ｏｎ　ｍａｒｋｏｖ　ｄｉｓｔａｎｃｅ　ｕｎｄｅｒ　ｔｈｅ　ｅｎｖｉｒｏｎ—　ｍｅｒｉｔ　ｏｆ　ｂｉｇ　ｄａｔａ　ｎｅｔｗｏｒｋ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｍｅｔｈｏｄ．ａｎａｌｙｚｅｄ　ｔｈｅ　ｅｖａｌｕａｔｉｏｎ　ｃｒｉｔｅｒｉｏｎ　ｏｆ　ｍａｒｋｏｖ　ｄｉｓｔａｎｃｅ．ｏｎ　ｔｈｅ　ｂａｓｉｓ　ｏｆ　ｍａｒｋｏｖ　ｄｉｓｔａｎｃｅ　ｂｅｔｗｅｅｎ　ｔｈｅ　ｎｅｗ　ｓａｍｐｌｅ　ｗｉｔｈ　ｔｈｅ　ｏｒｉｇｉｎａｌ　ｓａｍｐｌｅ　ｔｏ　ｄｅｔｅｒｍｉｎｅ　ｗｈｅｔｈｅｒ　ｎｅｅｄ　ｔｏ　ｌａｕｎｃｈ　ａ　ｎｅｗ　ｃｌｕｓｔｅｒｉｎｇ，　ｏｕｔｐｕｔ　ａｎｄ　ａｌｌ　ｄａｔａ　ｓａｍｐｌｅｓ　ｃｏｒｒｅｓｐｏｎｄｉｎｇ　ａｔｔａｃｋ　ｃａｔｅｇｏｒｙ．Ｔｈｒｏｕｇｈ　ａ　ｄｅｔｅｒｍｉｎｅｄ　ｂｙ　ａ　ｃｅｒｔａｉｎ　ｎｕｍｂｅｒ　ｏｆ　ｓｕｐｐｏｒｔ　ｖｅｃｔｏｒｓ　ｔｈａｎ　ｃｌａｓｓｉｆｙｉｎｇ　ｄａｔａ，ｗｈｅｎ　ｔｈｅ　ｓｅｐａｒａｔｉｏｎ　ｏｆ　ｔｈｅ　ＳＶＭ　ｍｅｔｈｏｄ　ｉｓ　ｒｅｓｔｒａｉｎｅｄ，ｕｓｅ　ｋｅｒｎｅｌ　ｆｕｎｃｔｉｏｎｓ　ｔｏ　ｍａｐ　ｔｈｅ　ｉｎｐｕｔ　ｄａｔａ　ｔｏ　ｈｉｇｈ—ｄｉｍｅｎｓｉｏｎａｌ　ｆｅａｔｕｒｅ　ｓｐａｃｅ，ｔｈｅ　ｇａｕｓｓｉａｎ　ｒａｄｉａｌ　ｂａｓｉｓ　ｆｕｎｃｔｉｏｎ　ｉｓ　ａｄｏｐｔｅｄ　ｔｏ　ｔｈｅ　ｌｅａｓｔ　ｓｑｕａｒｅｓ　ｓｕｐｐｏ￣ｖｅｃｔｏｒ　ｍａｃｈｉｎｅ　（ＳＶＭ）ｃｌａｓｓｉｉｆｃａｔｉｏｎ　ｍｏｄｅｌ　ｉｓ　ｅｓｔａｂｌｉｓｈｅｄ．Ｂｙ　ｐａｒｔｉｃｌｅ　ｓｗａｒｍ　ｏｐｔｉｍｉｚａｔｉｏｎ　ａｌｇｏｒｉｔｈｍ　ｆｏｒ　ｌｅａｓｔ　ｓｑｕａｒｅｓ　ｓｕｐｐｏｒｔ　ｖｅｃｔｏｒ　ｍａ—　ｃｈｉｎｅ（ＳＶＭ）ｐａｒａｍｅｔｅｒｓ　ｓｅｌｅｃｔｉｏｎ．Ｕｓｉｎｇ　ｔｈｅ　ｃｏｌｌａｂｏｒａｔｉｏｎ　ａｎｄ　ｉｎｆｏｒｍａｔｉｏｎ　ｅｘｃｈａｎｇｅ　ｂｅｔｗｅｅｎ　ｉｎｄｉｖｉｄｕａｌｓ　ｉｎ　ａ　ｐｏｐｕｌａｔｉｏｎ　ｔｏ　ｏｂｔａｉｎ　ｔｈｅ　ｂｅｓｔ　ｓｏｌｕｔｉｏｎ．Ｔｈｅ　ｓｉｍｕｌａｔｉｏｎ　ｒｅｓｕｌｔｓ　ｓｈｏｗ　ｔｈａｔ　ｔｈｅ　ｐｒｏｐｏｓｅｄ　ｍｅｔｈｏｄ　ｈａｓ　ｈｉｇｈ　ｄｅｔｅｃｔｉｏｎ　ｅｆｉｃｉｆｅｎｃｙ　ａｎｄ　ｐｒｅｃｉｓｉｏｎ．　Ｋｅｙｗｏｒｄｓ：ｂｉｇ　ｄａｔａ；ｎｅｔｗｏｒｋ　ｉｎｖａｓｉｏｎ：ｄｅｔｅｃｔｉｏｎ：　０　引言　近年来，随着计算机技术的迅猛发展，以及智能终　保障数据安全，准确检测出网络主动人侵，成为相关学　者研究的重点课题，受到越来越广泛的关注　。　端、数字地球等信息体的普及与建设，全球数据量增长　速度加快，大数据时代已经到来　。　。大数据下网络蕴　藏着价值信息，但数据安全面临严峻挑战　。随着大数　据环境的逐渐发展，信息的开放程度也随之扩大，导致　１基于ＰＳＯ－ＬＳＳＶＭ的网络主动入侵　检测方法　传统Ｋ均值算法通过欧式距离对两个样本之间的　信息泄露及网络入侵。面对大数据发展的特点，如何　相似程度进行衡量，有一定的弊端，马氏距离是一种数　收稿日期：２０１５—０８—０７　基金项目：国家自然科学基金（６１３７００９２）；湖北省自然科学基金（Ｎｏ．２０１３ＣＦＣ００５）；湖北省高等学校优秀中青年科技创新　团队计划（Ｔ２０１４１０）。　作者简介：王曙霞（１９７５－），女，湖北荆门人，硕士，副教授，研究方向：智能计算与网络安全。。　２２６　科技通报　＝第３１卷　据协方差距离，能够有效衡量样本的相似度，因为马氏　距离计算过程中只与样本数量有关，所以计算效率较　高。　假设大数据环境下网络数据样本集是　∑　Ｙ　（　）　ａ　（６）　ａｉ＝１　－　ｘ＝ｆＸｌ，￣Ｘ　，…，　｝，其中任意两个样本之间的马氏距离可　通过下式求出：　Ｉ　ｙ　（ｌ　）＋６卜　一１＝０　将Ｗ、　消除，则有：　ｄ　＝（　一　）　Ａ　（　一　）　式中，△用于描述样本的协方差矩阵。　圈　㈩　所以，经优化后的依据马氏距离的评价目标函数　式中，　可描述成：　＝（△，ｘ）－∑∑　（Ｊ…１　　Ｉ　）　（矿Ｃｊ）一ｌｎｌ￣Ｉ　式中，　＝｛Ｘ；ｊ，Ｘｉ２，…，　｝用于描述样本对象；　用　于描述第　维分量；ｃ，用于描述第　个聚类中心；ｎ　用　于描述聚类Ｃ，的样本个数；　，用于描述此刻样本数据　的权重。　支持向量机是依据统计学的一种分类方法，主要　用于解决小样本、非线性、高维等分类问题，其基本思　想为：通过一个由一定数量的支持向量决定的超平对　数据进行分类。若不能采用ＳＶＭ分离方法，则利用核　函数将输入数据映射至高维特征空问，通过高维特征　空间解决上述问题。在高维特征空间中建立最优分类　超平面　・　（　）十ｂ＝０，令分类间隔达到最大化。　引入拉格朗日乘子，在Ｅｙ　＝０，ｎ一　　≥０条件下对　Ｌ　—】　下式最大值进行计算：　∑。　一告∑ｎ　ｙＩ　（　，　）　（１）　＝１　一ｉｊ＝ｌ　其中，ｋ（ｘ，　，１用于描述核函数。　则支持向量机函数可描述成：　／　、　ｙ（　）＝ｓｉｇｎ【＼ｉ＝１∑　Ｙ　　（　）＋６　／　ｌ　（２）　将最小二乘支持向量机分类问题转换成下述二次　规划问题：　ｍｉｎ　：　圳　＋ｃ　］　（３）　＾　［　（　）＋６］一１＋　＝０　（４）　式中，Ｃ用于描述惩罚参数，其能够对大于误差样　本的惩罚程度进行，大小可调。ｇ．Ｏ、ｂ分别用于描　述权向量及阈值。　引入拉格朗日乘子ａ．，将上述分析的问题变成下　述问题：　Ｌ＝Ｊ（ｗ，　）一ａｉ　Ｙ　［　（　）＋ｆ）］一１＋　）　（５）　式中，ａ，≥０，用于描述拉格朗日乘子。　分别对式（４）的　、ｂ、　、。．求偏导数，则有：　ｌ，＝［ｙ．咖（　。），Ｙ　（　），…，ｙ　（　）］　（８）　Ｉｏ＝［１，１，…，ｌ】　（９）　ａ：　ａ：，…，ａｎ］　（１０）　＝Ｙ…Ｙ地）　）】…　（１１）　求出ｂ、ａ后，ＬＳ—ＳＶＭ的最佳分类函数可描述成：　ｙ（　）＝ｓｉｇｎｌ∑ｎ　Ｙ　（　，　）＋ｂｌ　（１２）　式中，ｋ（ｘ，　）用于描述核函数，通常采用几种核函　数如下：　（１）线性核函数ｋ（ｘ，　）＝　・　；　（２）多项式核函数ｋ（ｘ，　）：（　・　＋１）　，ｚ＝１，２，…；　（３）高斯径向基函数　（　）＝ｅｘｐ　Ｉ等。　本文采用高斯径向基函数对最小二乘支持向量机　分类模型进行建立。　选择合适的最小二乘支持向量机参数对增强分类　性能起着至关重要的作用。本文通过粒子群优化算法　对最小二乘支持向量机参数进行选择。粒子群优化算　法是一种智能寻优算法，利用种群中个体之间的协作　以及信息交换获取最佳方案。粒子群优化算法利用一　个由目标函数获取的适应值对其有效性进行评估。粒　子状态可通过下式进行描述：　＋－　‘　＋ｃ　’ｒ。ｎｄ‘（？６ｅｓ　一　）＋　（１３）　ｃ２・ｒａｎｄ・（ｇｂｅｓｔ—Ｘ　）　Ｘ　：Ｘ　＋　＋，　其中，ｐｂｅｓｔ用于描述该粒子的最佳位置；ｇｂｅｓｔ用　于描述全部粒子中的最佳位置；ｒａｎｄ用于描述０到１　范围内的任意数值；Ｗ用于描述惯性因子；Ｃ。、Ｃ　用于　描述学习因子，本文取２。　通过粒子群优化算法获取最优最小二乘支持向量　机参数的详细过程如下：　（１）对群体规模进行初始化处理，同时随机产生一　组粒子；　（２）求出所有粒子的适应度。若所有粒子的适应　度均优于ｐｂｅｓｔ，则用其值替代ｐｂｅｓｔ；若所有粒子的适　第８期　王曙霞．大数据环境下的网络主动入侵检测方法研究　２２７　应度值均优于ｇｂｅｓｔ，则用其值替代ｇｂｅｓｔ；　（３）对粒子速度及位置进行更新。　分析表２可以看出，采用本文方法的误报率及漏报　率均低于传统人工神经网络检测方法，这是因为本文　（４）判断是否达到最大迭代次数，若达到最大迭代　方法能够实时在线检测，大大降低了误报、漏报情况的　　次数，则结束迭代，输出改进的最小二乘支持向量机参　发生。数；否则重新进行步骤（２），获取更新后的粒子速度和　检测时间性能对比如图１所示。分析图１可以看　位置。　２仿真实验分析　分别采用本文方法和传统人工神经网络检测方法　方法对ＫＤＤ９９数据集中的入侵数据进行检测，对检测　的准确率进行统计，获取的结果用表１进行描述。　表１本文方法与传统方法准确率比较结果　Ｔａｂｌｅ　１　Ｔｈｅ　ｍｅｔｈｏｄ　ｃｏｍｐａｒｅｄ　ｗｉｔｈ　ｔｒａｄｉｔｉｏｎａｌ　ｍｅｔｈｏｄｓ　ａｃｃｕｒａｃｙ　ｒｅｓｕｈｓ　攻击方式　检测准确率／％　本文方法　传统方法　分析表１可以看出，采用本文方法的检测准确率明　显高于传统人工神经网络检测方法，且一直高于传统　方法，说明本文方法有很高的检测性能，验证了本文方　法的有效性。　在上述实验的基础上，对本文方法和传统人工神　经网络检测方法的误报率和漏报率进行统计，获取的　结果用表２进行描述。　表２本文方法与传统方法误报率、漏报率比较　Ｔａｂｌｅ　２　Ｔｈｉｓ　ｍｅｔｈｏｄ　ｃｏｍｐａｒｅｄ　ｗｉｔｈ　ｔｈｅ　ｔｒａｄｉｔｉｏｎａｌ　ｍｅｔｈｏｄ　ｏｆ　ｆａｌｓｅ　ｐｏｓｉｔｉｖｅｓ，ｎｏｎ—ｒｅｓｐｏｎｓｅ　ｒａｔｅｓ　出，本文方法的检测时问一直低于传统人工神经网络　检测方法，这是因为传统方法在检测过程中，为了增强　自身的自适应性，增加了自主响应，造成检测时间长。　图１本文方法与传统方法检测时间比较　Ｆｉｇ．１　Ｔｈｉｓ　ｍｅｔｈｏｄ　ｉｓ　ｃｏｍｐａｒｅｄ　ｗｉｔｈ　ｔｈｅ　ｔｒａｄｉｔｉｏｎａｌ　ｍｅｔｈｏｄ　ｄｅｔｅｃｔｉｏｎ　ｔｉｍｅ　４结论　本文提出了一种基于马氏距离Ｋ均值的大数据环　境下网络主动入侵检测方法，仿真实验结果表明，所提　方法有很高的的检测效率及精度。　参考文献　…１　谢红，刘人杰，陈纯楷．基于误用检测与异常行为检测的　整合模型【Ｊ］．重庆部电大学学报（自然科学版），２０１２，１　（２４）：７３—７７．　［２】　汪洁．基于神经网络的人侵检测系统的设计与实现　计　算机应用与软件，２０１３，５（３０）：３２０—３２２．　［３］杨照峰，樊爱京，樊爱宛．基于自适应蚁群聚类的入侵检　测【Ｊ】．计算机工程与应用，２０１　１，４７（１２）：９０—９６．　［４】　杨晓峰，孙明明，胡雪蕾，等．基于改进隐马尔可夫模型的　网络攻击检测方法［Ｊ］．通信学报，２０１０，３（３１）：９５—１０１．　【５】　李庆年．基于多层特征基参数融合的网络入侵检测算法　ｆＪ］．科技通报，２０１２，８（２８）：６９—７１．