一種多分類算法FELM在網絡入侵中的應用

魏瑤+李紅信

摘 要：極限學習機（ELM）有著分類精度高、速度快等特性，被廣泛的應用和研究。本文提出了一種用于多分類問題的模糊單隱層神經網絡算法FELM，同時考慮分類器的模糊性和誤報率之間的關系。通過在入侵檢測數據集NSL-KDD上的實驗證明：本文提出的方法有著較好的有效性和穩定性。

關鍵詞：極限學習機；多類分類；網絡入侵檢測；模糊性

中圖分類號：TP393 文獻標識碼：A 文章編號：1671-2064（2017）09-0036-01

1 引言

隨著網絡技術的日益發展，人們開始依賴于網絡進行工作、生活。安全就成為計算機系統面臨的重要問題，為保證計算機和網絡通信的安全，對入侵檢測技術的研究和發展成為人們工作的重點[1]。機器學習算法在入侵檢測領域得到了廣泛的應用，被應用的基本分類算法包括支持向量機、神經網絡BP、決策樹、極限學習機等等[2-4]，這些算法都有著各自的優勢，并能保證一定的分類效果，但在算法的數據處理速度方面，現有的建模方法都有待改進。

在本文中，我們所提出的入侵檢測模型是一個多類分類器，它將網絡事件分區分為正常或攻擊事件，有Normal、DoS、Probe、U2R和R2L五種。在本文的試驗中，這個新FELM分類器模型被應用到經典的NSL-KDD入侵檢測數據集上，并得到比傳統分類算法好的分類效果。我們的主要貢獻有：

（1）使用了ELM算法的思想，在保持一定可接受范圍內的分類精度下，加快了學習算法的的預測速度，并將其用于入侵檢測問題中，有效的提高了分類的精度和速度。

（2）通過模糊分治策略改進了極限學習機的學習方式，實現一種新穎的多分類算法FELM，打破了原本ELM算法的限制，可用于處理多類分類問題，并應用到入侵檢測系統中。

文章的其他部分內容如下：第二部分對模糊極限學習機算法進行簡要介紹，第三部分在NSL-KDD數據集上的實驗結果，第四部分總結和展望。

2 模糊極限學習機FELM

模糊理論很早被提出，它描述了一種不能被準確定義的事情的存在方式，不能歸于大多數定義的集合點。我們現在將模糊向量的模糊性與分類的預測輸出聯系起來，會發現大多數的分類器有著類似于模糊向量的輸出，向量的每個元素代表了測試樣本屬于某一類的成員隸屬度。這一類型的分類器包括：神經網絡，支持向量機，決策樹等等。本文中的極限學習機屬于神經網絡算法的一種，是一種單隱層神經網絡訓練的結構，可以用來產生樣本的模糊值的輸出。

給定一個訓練集，通過分類器能得到相應的預測概率值的輸出，得到的成員度矩陣U是由多個樣本的模糊度向量組成的，這些向量中每個元素的值在[0，1]范圍內，代表著樣本對每一類的隸屬度。針對于一個樣本的模糊性描述，可以通過計算模糊向量的平均值來得到。這個模型是依賴與訓練樣本的分布，稍復雜的模型在一定程度上會提高分類器的性能。

在本文的算法中，我們選用極限學習機ELM作為基礎的分類器，極限學習機是一種三層的前饋神經網絡，輸入層和隱藏層之間的權值矩陣R隨機選擇，隱藏層和輸出層之間的權值矩陣S是由轉置矩陣確定的。本分類器的學習目標是確定R和S的值，然而R是隨機選擇的，因此分類器的主要目標僅僅是如何確定輸出權值S。

所提出算法的實現主要包括七個步驟：（1）隨機劃分訓練樣本為類標數據和無類標數據，它們的比例保持9：1；（2）基于類標數據訓練ELM模型；（3）對于無類標數據的每個樣本，通過分類器的預測，我們獲得一個模糊向量；（4）計算每個輸出的模糊值；（5）根據模糊值的大小對樣本進行排序，分為低中高三類；（6）選擇模糊值高和模糊值低的樣本組加入到類標數據組，進行新的模型訓練，得到最終的分類器；（7）最后用測試集對模型進行有效性驗證，并得到每一類的精確度。

3 實驗分析

本文所用的NSL-KDD數據集是KDD Cup 99 數據集的修訂版，它消除了KDD99數據集中的多數冗余信息。這個數據集有41維的特征，每一個數據樣本可以被標記為正常類或者是攻擊類（包括Dos，Probe，U2R，R2L四種類型）。首先對原始數據進行了一些預處理：數值編碼和標準化的方法，將屬性數據標準化到[0，1]范圍內，分別用1-5表示五種類別，這些預處理措施會提高數據的一致性、分類準確性。本文通過使用指示變量技術，將數據集的維數從41維增加到51維。當某個特征的種類不是很多的情況下，這種處理方式有著較高的穩定性。

對原始數據集預處理之后，為了驗證新算法的性能，我們從NSLtrain訓練數據集中抽取出三個子數據集（10%，20%，50%），根據每一類的比例進行抽取，并用同一個測試集NSLtest進行實驗。這樣可以保證我們所運行的實驗都使用完整的數據集。

為了顯示本文算法的性能，對每個數據集，從每類的精度，整體精度方面進行了實驗，FELM算法的實驗結果如表1所示，在表中我們可以看出，提出的新方法有著一定的分類能力，可以達到一定的精度要求。

4 總結和展望

本文提出了一種新的多分類模型FELM，并將其應用在網絡入侵檢測中。通過在NSL-KDD的三個數據集進行實驗，通過對準確率指標的分析，可知基于改進的多分類FELM模型在進行網絡入侵檢測中應用效果較好，而且該方法在處理大批量數據分類時具有較低的時間復雜度。

在將來的研究工作中，一是要考慮加入特征選擇的方法，通過降低維度可以使網絡入侵檢測模型達到較好的精度。二是考慮如何提高少數類的分類精度，通過提高少數類的識別率可以使入侵檢測模型具有更好地有效性和穩定性。

參考文獻

[1]OJALA， J. Personal contentin online sports communities： motivations to capture and share personal exercise data [J].International Journal of Social and Humanistic Computing.2013，2（2）：68-85.

[2]KIM， G. et al. A novel hybrid intrusion detection method integrating anomaly detection with misuse detection[J]. Expert Systems with Applications.2014，41（4）：1690-1700.

[3]EESA， A. S. et al. A novel feature-selection approach based on the cuttlefish optimization algorithm for intrusion detection systems[J]. Expert Systems with Applications.2015，42（5）：2670-2679.

[4]FOSSACECA， J. M. et al. MARK-ELM： Application of a novel Multiple Kernel Learning framework for improving the robustness of Network Intrusion Detection[J]. Expert Systems with Applications. 2015，42（8）：4062-4080.