基于神经网络的入侵检测模型研究

第２１卷　第２期　２００７经　山东轻工业学院学报　Ｖ０１．２１　Ｎｏ．２　６月　Ｊ０ＵＲＮＡＬ　ＯＦ　ＳＨＡＮＤＯＮＧ　ＩＮＳＴＩＴＵ１Ｅ　ＯＦ　ＬＩＧＨＴ　ＩＮＤＵＳＴＩＬＹ　Ｊｕｎ．２００ｒ７　文章编号：１００４—４２８０（２００７）０２—０００８—０３　基于神经网络的入侵检测模型研究　祝洪杰　，刘　和２，汪　宁　，姚　进　（１．山东轻工业学院信息科学与技术学院，山东济南２５０３５３；２．济南水业集团有限公司，山东济南２５００１２）　摘要：提出了将学习向量量化神经网络用于入侵检测系统的方法，并给出了基于学习向量量化神经网络的网络入　侵检测系统模型结构。仿真实验结果表明，运用学习向量量化神经网络检测入侵，可以达到较高的准确检测率，是　一种有效的入侵检测手段。　关键词：入侵检测系统；神经网络；学习向量量化神经网络　中国分类号：ＴＰ３９３　文献标识码：Ａ　Ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｍｏｄｅｌ　ｒｅｓｅａｒｃｈ　ｂａｓｅｄ　ｏｎ　ｎｅｕｒａｌ　ｎｅｔｗｏｒｋ　ＺＨＵ　Ｈｏｎｇ．ｊｉｅ　，ＬＩＵ　Ｈｅ２，ＷＡＮＧ　Ｎｉｎｇ　，ＹＡＯ　Ｊｉｎ　（１．Ｓｃｈｏｏｌ　ｏｆ　Ｃｏｍｐｕｔｅｒ　ｃｉＳｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，Ｓｈａｎｄｏｎｇ　Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｌｉｇｈｔ　Ｉｎｄｕｓｔｒｙ，Ｊｉｎａｎ　２５０３５３，Ｃｈｉｎａ；　２．Ｊｉｎａｎ　Ｗａｔｅｒ　Ｇｒｏｕｐ，Ｊｉｎａｎ　５００１２２，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｔｈｅ　ｐａｐｅｒ　ｐｕｔｓ　ｆｏｒｗａｒｄ　ｔｈｅ　ｍｅｔｈｏｄ　ａｐｐｌｙｉｎｇ　ＬＶＱ　ｎｅｕｒａｌ　ｎｅｔｗｏｒｋ　ｉｎ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｃｔｅｉｏｎ　ｓｙｓｔｅｍ　ａｎｄ　ｇｉｖｅｓ　ｔｈｅ　ｓｔｒｕｃｔｕｒｅ　ｏｆ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ　ｂａｓｅｄ　ｏｎ　ＬＶＱ　ｎｅｕｒａｌ　ｎｅｔｗｏｒｋ．Ｉｎ　ｔｈｅ　ｅｎｄ，ａ　ｓｉｍｕｌａｔｉｏｎ　ｅｘｐｅｒｉ—　ｍｅｒｉｔ　ｉｎ　ＭＡＴＬＡＢ　ｈａｓ　ｂｅｅｎ　ｃａｒｒｉｅｄ　ｏｕｔ．Ｔｈｅ　ｒｅｓｕｌｔ　ｅｘｐｒｅｓｓｅｓ　ｔｈａｔ　ｔｈｅ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ　ｂａｓｅｄ　ｏｎ　ＬＶＱ　ｎｅｌｌ　ｒａｌ　ｎｅｔｗｏｒｋ　ｃａｎ　ａｔｔａｉｎ　ａ　ｈｉｇｈｅｒ　ａｃｃｕｒａｔｅ　ｅｘａｍｉｎａｔｉｏｎ　ａｔｒｅ．Ｓｏ　ｉｔ　ｉｓ　ａｎ　ｅｆｆｃｔｅｉｖｅ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｃｔｅｉｏｎ　ｍｅｔｈｏｄ．　Ｋｅｙ　ｗｏｒｄｓ：ＩＤＳ；ＮＮ；ＬＶＱ　ＮＮ　则主要通过对网络上数据包的分析来进行。人侵检　０引言　随着计算机技术的不断发展，网络规模的不断　扩大，系统遭受的人侵和攻击越来越多，网络与信息　安全问题变得越来越突出。人侵检测技术作为网络　安全技术的重要组成部分，得到了越来越多的重视。　测所采用的方法通常有两种：异常检测和误用检　测　］。异常检测是指用模型定义出正常使用系统的　行为，凡是明显偏离这个模型的行为都被界定为人　侵；而误用检测是指定义出已知的错误使用系统的　行为，凡是在这个定义范围内的行为被界定为人侵。　目前已有统计分析、专家系统、人工智能等多种不同　策略和模型的人侵检测系统，它们都有各自的优缺　点，其中人工神经网络ＡＮＮ（Ａｒｔｉｉｆｃｉａｌ　Ｎｅｕｒａｌ　Ｎｅｔ．　人侵检测就是通过对计算机网络或计算机系统　中的若干关键点收集信息并对其进行分析，从而发　现网络或系统中是否有违反安全策略的行为和被攻　击的迹象…１。入侵检测系统ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｃｔｅｉｏｎ　Ｓｙｓｔｅｎｒ）是一种基于主动策略的网络安全系统，是网　络安全系统的重要组成部分。根据检测所用的数据　来源，入侵检测系统分为基于主机的入侵检测和基　于网络的人侵检测，前者主要使用日志跟踪，而后者　收稿日期－＇２００６一ｌ２一ｌＯ　ｗｏｒｋｓ）以自适应、自学习、自组织、较好的容错性和　鲁棒性、并行性、联想记忆和联想映射等优点而受到　了世人瞩目，在入侵检测领域发挥了重要作用Ｌ３］。　神经网络不仅可以识别出已有的攻击模式，还有检　测出未知攻击的能力，这是很有意义的。传统的基　于神经网络的人侵检测系统，一般采用ＢＰ网络结　作者简介：祝洪杰（１９７９一），女，黑龙江省大庆市人，山东轻工业学院信息科学与技术学院助教，硕士研究生，主要从事网络安全方面研究　维普资讯 http://www.cqvip.com

第２期　祝洪杰，等：基于神经网络的入侵检测模型研究　９　构，其节点的单元特性（传递函数）常采用同一非线　性映射（如阈值型函数、ｓ状曲线、径向基函数等），　因而需要较多的隐层及隐层神经单元，导致了学习　算法收敛慢，易陷入局部极小等固有缺陷。因此构　造一些新型的神经网络用于人侵检测技术中，来增　强ＩＤＳ系统自身的健壮性，提高ＩＤＳ系统的智能化　和自适应能力，是未来ＩＤ技术的发展趋势。　本文采用学习向量量化（Ｌｅａｒｎｉｎｇ　Ｖｅｃｔｏｒ　Ｑｕａｎｔｉ—　ｚａｔｉｏｎ，ＬＶＱ）网络来研究人侵检测问题，一定程度上　弥补了ＢＰ神经网络的缺点，提高了在人侵检测问　题上的应用性能。　１　ＬＶＱ神经网络　ＬＶＱ神经网络是Ｋｏｈｏｎｅｎ提出的一种基于监督　学习的自组织神经网络模型。本质上是传统的Ｋ一　近邻分类器的改进，它有效的克服了Ｋ一近邻分类　器需要大量空间存储所有训练样本及需要很长时间　进行分类的缺点。而且ＬＶＱ网络学习速度比反向　传递网络（ＢＰＮ）快的多。　ＬＶＱ网络一般由两层组成（图１）：第一层为非　线性竞争层；第二层为线性分类层。竞争层根据输　人向量的距离学习对输人向量分类，其过程主要包　括两部分：一是选择最佳匹配神经元；二是权矢量自　适应变化的更新过程。线性层将竞争层传来的分类　信息转变成所定义的类别，每个线性层处理单元表　示一个分类。线性层处理单元与竞争层处理单元的　连结储存着竞争层处理单元的分类信息。　输入　竞争层　线性层　Ｒ　Ｓｌ×Ｒ　Ｓｌ　Ｓ　２×Ｓｌ　Ｓ２　ａｌ　ｃｏｍｐｅｔ（一ｄｉｓｔ（ｃｏ￣，ｐ））　ａ２＝ｐｕｒｅｌｉｎ（￣ｌａｉ）　图１　ＬＶＱ网络结构　ＬＶＱ网络输人层与竞争层间的加权值为变量，　需通过学习来决定，而竞争层与线性层层间加权值　为固定值，不需通过学习来决定。ＬＶＱ网络可达到　线性网络的良好分类效果，同时又由于竞争层作用，　可有效避免线性网络要求数据必须线性可分的严格　限制，应用性大大增强。将训练后的ＬＶＱ神经网络　用于人侵检测，既可摆脱人为因素及模糊随机性影　响，又能提高检测的准确性，是一种智能人侵检测方　法。　ＬＶＱ网络采用学习矢量量化算法（ＬＶＱ），其实　现步骤：　（１）每输人一个矢量　后，在输出阵列中找出　具有最大输出的单元Ｃ。　（２）设　所属类型已知为ｒ，而在第一阶段学习　中ｃ的类别为ｓ．则　厂叫　（ｔ＋１）＝叫　（ｔ）＋　（ｔ）［　（ｔ）一叫　（ｔ）］；ｒ＝ｓ　ｌ叫　（ｆ＋１）＝叫　（ｆ）一　（ｆ）［　（ｆ）一叫　（ｆ）］；　ｒ≠ｓ　Ｌ叫　（ｔ＋１）＝叫　（ｔ）；　ｉ≠ｃ　由此可见，若对　分类正确．则使Ｃ的权更靠　近　，否则远离。对不是最大输出的单元，权值不　动。　２基于神经网络入侵检测系统模型的　实现　２．１基于神经网络的网络入侵检测系统模型　引人神经网络的网络人侵检测系统模型（图　２），主要由以下几个模块组成：　（１）数据采集模块　系统采用网络数据包截取软件ＷｉｎｐＣａｐ采集网　络数据包０调用函数Ｐａｃｋｅｔ—ＧｅｔＡｄａｐｔｅｒＮａｍｅｓ（）和　ＰａｃｋｅｔＯｐｅｎＡｄａｐｔｅｒ（）监听网卡，将函数ＰａｃｋｅｔＳｅｔＨｗ—　Ｆｉｌ—ｔｅｒ（）设为混杂模式（Ｐｒｏｍｉｓｃｕｏｕｓ　Ｍｏｄｅ）监听整个　网段上的数据，然后调用函数ＰａｃｋｅｔＲｅｃｅｉｖｅＰａｃｋｅｔ（）　接收数据包。　数　神　网　据　预　经　刚　络　采　处　网　络　数　－－＿－－－　集　・———■　理　—－——■　络　管　据　模　模　模　理　流　块　块　块　！）＿！＝　图２基于神经网络的网络入侵检测系统模型　（２）预处理模块　不同的网络攻击具有不同的攻击特征．每条记　录含４１个特征，分为４类：基本ＴＣＰ特征、与有效载　荷有关的特征、基于时间的流量特征和基于主机的　流量特征。在本实验中，我们从基于时间的流量特　征中选择跟网络攻击联系紧密的９项特征作为ＬＶＱ　网络的训练及测试数据，它们均为“在过去两秒内”　累积计算得到的连续量：Ｃｏｕｎｔ（与当前连接去往相　同主机的连接数），Ｓｅｒｒｏｒ－ｍｔｅ（具有ＳＹＮ错误的连接　在Ｃｏｕｎｔ中所占的百分比），Ｒｅｒｒｏｒ－ｒａｔｅ（具有ＲＥＪ错　误的连接在Ｃｏｕｎｔ中所占的百分比），Ｓａｍｅ－ｓｒｖ—ｒａｔｅ　（提供同一网络服务的连接在Ｃｏｕｎｔ中所占的百分　比），Ｄｉｆ－ｓｒｖ—ｒａｔ（提供不同网络服务的连接在Ｃｏｕｎｔ　中所占的百分比），ｓｒｖ．ｃｏｕｎｔ（与当前连接所提供的服　务相同的连接数），Ｓｒｖ—ｓｅｒｒｏｒ－ｍｔｅ（具有ＳＹＮ错误的　维普资讯 http://www.cqvip.com

１０　山东轻工业学院学报　第２１卷　连接在Ｓｒｖ．ｃｏｕｎｔ中所占的百分比），Ｓｒｖ．ｒｅｒｒｏｒ－ｒａｔｅ（具　有ＲＥＪ错误的连接在、Ｓｒｖ．ｃｏｕｎｔ中所占的百分比），　Ｓｒｖ－ｄｉｆ－ｈｏｓｔ．ｒａｔｅ（去往不同主机的连接在Ｓｒｖ－ｃｏｕｎｔ中　所占的百分比）。　（３）ＬＶＱ神经网络模块　入侵检测的结果只有两类：设入侵为第一类．正　常为第二类。因此，ＬＶＱ网络的输入层为上面的９　维特征向量，竞争层采用ｌ２个神经元，输出层为２　个神经元　２．２仿真实验　将采集并经过预处理的６１００个记录数据，６０％　的数据（共３６６０个，其中第一类１９４７个，第二类１７１３　个）用于训练ＬＶＱ网络，其余数据（共２４４Ｏ个，其中第　一类１３２１个，第二类１１１９个）用于网络测试。　选取学习速率为０．１。并随机选取各个神经元　初始权重。在Ｍａｔｌａｂ６．５．１下编程实现网络设计，并　进行不同训练次数的对比分析。在训练初期，ＬＶＱ　网络误差迅速降低，然后进入一段较为平缓的状态，　误差值约０．２。在训练次数超过６５次后，误差开始　迅速减小，并在１８０次后进一步稳定于０．０２左右，　如图３所示。、　测试结果显示最终误报率为９．８％，漏报率为　３．７％，测试中所有新的攻击类型被成功的检测出来。　３结论　本文在分析了神经网络特别是ＬＶＱ神经网络　＼　躺　图３　ＬＶＱ网络误差图　的模型结构的基础上，提出了一种基于ＬＶＱ神经网　络的网络入侵检测系统模型。该模型首先对特征数　据进行了预处理，然后利用ＬＶＱ算法的学习能力，　实现了对用户行为的检测。实验结果表明，这种方　法具有很高的准确检测率，尤其是在识别以前没有　观察到的未知攻击方面具有较好的性能，因而对于　入侵检测具有重要价值。　参考文献：　［１］戴英侠，连一峰，王航．系统安全与入侵检测［Ｍ］．北京：清华大　学出版社，２ＯＯ２．　［２］蒋建春，冯登国．网络入侵检测原理与技术［Ｍ］．北京：国防工　业出版社，２００１．　［３］胡守仁，余法波，戴葵．神经网络导论［Ｍ］．北京：国防科技大学　出版社，１９９５．　［４］丛爽．面向Ｍａｔｌａｂ工具箱的神经网络理论与应用［Ｍ］．合肥：中　国科技大学出版社，１９９８．