馮洛銀

摘要

網絡入侵檢測系統是一種主動防御系統，現在信息安全領域都缺少不了網絡入侵系統。針對傳統入侵檢測對不平衡樣本分類能力的不足，提出了一種加權極限學習機的分類算法，給予兩類不平衡數量的樣本不同的分類權值，從而克服分類平面受到樣本不平衡而產生的偏移。實驗結果表明，本文的算法在計算速度上、分類精度、以及Recall、Fmeasures、以及Gmeas等指標上都要優于傳統的SVM、RBF、ELM等算法。

【關鍵詞】網絡入侵檢測系統 主動防御系統極限學習機

1 引言

網絡入侵檢測系統是一種主動防御系統，現在信息安全領域都缺少不了網絡入侵系統。在網絡入侵系統中，采集到的網絡狀態實際上是可以分為正常和異常兩種狀態，所以網上入侵系統可以轉為為一個二分類的模式識別問題。在當前基于模式識別的網絡入侵系統已經取得了很多的研究。

傳統的基于模式識別的網絡入侵系統往往采用神經網絡或者支持向量機。

神經網絡主要是基于梯度下降法的BP神經網絡等，該算法有如下缺點：

（1）它需要設置合適的訓練步長和收斂誤差，或者就會存在欠擬合和過擬合的問題，導致識別精度不高。

（2）它需要不斷的迭代完成求解，對于大規模的網絡入侵數據，它訓練速度慢，訓練代價高。

而支持向量機同樣存在如下幾點問題：

（1）它需要設置合適的核參數才能完成最佳性能，這個參數往往需要大規模的交叉驗證獲得，代價較高。

（2）SVM需要求解一個龐大的二次規劃問題，訓練速度很慢，在數據龐大時對計算設備要求較高。

針對上述問題，本文提出了采用極限學習機的網絡入侵檢測方法。但是網絡入侵檢測問題是一個不平很分類問題，往往正常訓練樣本數量遠大于異常訓練樣本，采用傳統的極限學習機算法會導致異常樣本分類精度偏低。針對這個問題，本文提出了改進的加權極限學習機算法用于克服不平很樣本分類問題。

2 極限學習機

黃等在論文中提取前饋神經網絡的神經網絡的輸入權值無需迭代求解，只需要求得輸出權值的最小二乘解即可完成網絡的訓練。于是極限學習機的求解方程，可以構造如下的計算公式。

上述可以用公式表達成下式

其中是訓練樣本x_i對應的網絡輸出和真實值之間的誤差。

上面的正則極限學習機對于所有樣本給予了一個固定的正則化參數，本文考慮另外一種情況，對于不平衡樣本和有噪聲的樣本，我們應該針對不同的樣本有一個不同的權值：

用同樣的方法求解，同樣可以定義lagrange函數求解上面的問題：

最終可以求解得出：

其中W=diag[s₁，s₂…s_N]為樣本的權值矩陣。

3 不平衡分類的指標

以往的研究中大多假設各類樣本分布均衡，因此常使用“分類準確率“或“錯誤率”作為分類器性能的評估指標。但是對于不平衡數據集，當兩類樣本分布嚴重不均衡時，即使少數類全部錯分，仍然可能會出現分類準確率較高的情況，因此用分類準確率作為不平衡數據集分類器的性能的指標并不準確。基于此問題，學者們提出了一些對于不平衡數據集分類性能估的方法，分別是：基于混淆陣的精確度（Precision）、召回率（Recall）、正確率（ACC）、F-Recall、G-means等。

混淆矩陣（Confusion Matrix）如表1所示，其中TP（Ture Positives）表示正類樣本判別為正類的個數，TN（Ture Negatives）表示負類樣本被判別為負類的個數，FN（FalseNegatives）表示判決錯誤的負類樣本數目，FP（False Positives）表示判決錯誤的正類樣本數目。

可以定義二分類的混淆矩陣如表1所示。

利用混淆矩陣可以定義“正類分類準確率”和“負類分類準確率”的公式：

幾何平均準則（G-means）是通過不平衡數據集的均衡程度來體現算法的分類性能，因此被廣泛用于評價不平衡數據集分類算法的性能。

由上述定義可以看出，ACC+（ACC-）越小，G-means就會越小，同時也說明少數類樣本被錯分越多，錯分代價越大。

事實上在大多數應用中，我們更關注分類器對少數類樣本的分類性能。F-measure就是評價不平衡分類問題中少數類別分類性能的指標。

4 實驗與分析

本文實驗所選取的數據來源于KDDCUP99數據集，kddc包含4種大攻擊類別、22種小攻擊類別的數據集，以及正常數據。

我們把攻擊數據進行合并作為一個大類，把正常數據作為另外一個類別，使得KDDCUP99數據成為一個二分類的過程，其中正常數據25000條，異常數據10000條，不平衡比例為2.5：1，其分類是一個典型的不平衡分類的過程。我們提取其中的80%的樣本數據作為訓練，剩下的20%的數據作為測試數據進行測試。

給出了RBF神經網絡、支持向量機（SVM）、普通的極限學習機（ELM）、隨機森林算法和本文提出的WELM算法進行的性能指標對比，實驗結果如表2所示。

從表2可以看出，在不平衡入侵數據的分類問題上，本文提出的算法在各個指標上都要優越于普通的極限學習機算法及其其他經典算法。同時本文的算法取得了第二的訓練速度，和最快的ELM算法訓練速度相近，且速度遠快于其他的算法。

5 結論

針對傳統入侵檢測對不平衡樣本分類能力的不足，提出了一種加權極限學習機的分類算法，給予兩類不平衡數量的樣本不同的分類權值，從而克服分類平面受到樣本不平衡而產生的偏移。實驗結果表明，本文的算法在計算速度上、分類精度、以及Recall、Fmeasures、以及Gmeas等指標上都要優于傳統的SVM、RBF、ELM等算法。

參考文獻

[1]李叢，閆仁武，朱長水，高廣銀.融合FAST特征選擇與ABQGSA-SVM的網絡入侵檢測[J].計算機應用研究，2017，34（07）：2172-2179.

[2]井小沛，汪厚祥，聶凱.基于修正核函數SVM的網絡入侵檢測[J].系統工程與電子技術，2012，34（05）：1036-1040.

[3]高海華，楊輝華，王行愚.基于PCA和KPCA特征抽取的SVM網絡入侵檢測方法[J].華東理工大學學報（自然科學版），2006（03）：321-326.

[4]包潘晴，楊明福.基于KPCA和SVM的網絡入侵檢測[J].計算機應用與軟件，2006（02）：125-127.

[5]Guang-Bin Huang，Qin-Yu Zhu and Chee-KheongSiew.Extreme Learning Machine：Theory and Applications[J].Neurocomput ing，2006，70（1-3）：489-501.

[6]Peng Y，Wang S，Long X，et al.Discriminative graph regularizedextreme learning machine and itsapplication to face recognition[J].Neurocomputing，2015，149（PA）：340-353.

[7]Sun Z L，Choi T M，Au K F，et al.Salesforecasting using extreme learningmachine with applications in fashionretailing[J].Decision SupportSystems，2009，46（01）：411-419.