基于PSO優化LS-SVM算法的網絡空間態勢預測研究*

陳維鵬，敖志剛，屠義強，郭 杰，葉春雷，童 俊

（1.陸軍工程大學 野戰工程學院，江蘇 南京 210007；2.中國人民解放軍73233部隊，浙江 舟山 316014）

0 引 言

對于非線性模型標定，文獻[1-3]采取的方法主要有神經網絡方法和遺傳算法。神經網絡方法雖然能夠以任意精度逼近任何非線性關系，但它基于經驗風險最小化原則，泛化能力有限，容易得到局部極小值。遺傳算法是一種高度并行性全局搜索算法，但非線性標定參數較多，使得交叉、變異等遺傳操作復雜，運行時間較長，且在接近最優解時收斂緩慢甚至停滯。支持向量機的概念最初由貝爾實驗室提出，利用多維統計預測理論[4]解決機器學習問題。SVM是神經網絡領域最重要的研究方向之一，在手寫識別、人臉檢測、生物信息和數據挖掘[5]等領域有著廣泛應用。它基于結構風險最小化原則，泛化能力強，且能得到唯一全局最優解[6]。根據SVM的優點，結合網絡空間態勢變化表現出的高度非線性[7]、時變和不確定性的特點，可以發現，在SVM中也很適合預測網絡空間的作戰態勢。所以，提出了一種基于SVM的態勢預測方法。LS-SVM是標準SVM的一種改進，能夠大大提高求解速度。為了預測數據的準確性，PSO用于優化SVM。

1 粒子群優化的最小二乘支持向量機

1.1 最小二乘支持向量機回歸算法

LS-SVM是一種二次損失函數下的SVM[8]。LS-SVM將不等式約束轉化為等式約束，求解原始SVM算法線性方程組的解，降低了難度。因此，選取分類器LS-SVM用來估計未知函數：

其中，∈Rn，y∈Rn，非線性函數φ(?)將輸入k值轉換為特征值 Rn→Rnh，權重向量wT和常值偏差b為帶求解的量。

給定訓練集{xk,yk}，LS-SVM定義如下：

其中 γ ∈ Rn，ξ為分類器校正后的精度誤差，滿足以下條件：

相應的拉格朗日函數為：

Karush-Kuhn-Tucker（KKT）優化條件為：

消去w和ξ，得到如下方程：

其中，y = [y1, y2,…,yl]T，A = [1,1,… ,1 ]T（l個1），α= [ α1, α2,… αl]T，方陣 Ω 的元素是 Ωij=K(xi,yi)核函數。RBF函數為核函數，即：

LS-SVM的預測模型為：

1.2 改進的PSO算法

N維空間中，假定有種群 x ={x1,x2,…,xm}[9]。某i粒子包含2個n維向量：一個是粒子位置屬性；一個是粒子速度屬性。首先，粒子群數據初始化為隨機解，通過共享最優數據進行搜索，迭代后得到最優解。PSO算法研究發現，如果參數存在誤差，粒子群可能會錯過最優解；而在收斂的情況下，最優解精度不高。針對以上不足，本文采用改變慣性、主導、收斂和調整參數等措施，得到了改進的粒子群優化模型式（9）和式（10）。迭代中，粒子會比較狀態最優解 pbest和全局最優解 gbest。具體地，根據下列方程調整粒子i在迭代時的狀態：

方程參數設置見表2。其中， c1和 r1是取值為[1，2]的加速因子； r1和 r2是均勻分布在[0，1]區間上的2個獨立的偽隨機數； vi∈[- vmax,vmax](vmax是設定常數)；β是收斂因子；ω是慣性因子，其值為[0，1]，有 ω =ωmax-(ωmax-ωmin)t/Tmax（t和 Tmax分別當前和最大迭代次數），可在迭代過程中自適應調整大小。當增加迭代次數時，ω值減少，則優化快速精準；α是引導因子，有 α = k +rand(?)，0.1≤k≤1.0，而rand(?)是[0，1]上的隨機數，用來逼近最優解；微調因子ε=10-4rand(·)，可為避免出現粒子趨同加以調節。

1.3 基于PSO算法的LS-SVM參數尋優

LS-SVM模型的懲罰因子c對實驗誤差和泛化能力[10]有很大影響。不同的核函數可以構造不同的支持向量機。核函數分為多項式核函數、Sigmoid核函數和徑向基核函數[11]。其中，徑向基核函數是應用最廣泛的核函數，而核函數參數σ的選擇直接影響SVM算法的復雜度[12]。總之，懲罰因子c和核函數參數σ影響LS-SVM模型的性能，所以是否選擇最優，對模型的精度有很大影響[13]。PSO算法優化懲罰因子c和核函數參數σ。

1.4 PSO優化LS-SVM算法

算法實現，如圖1所示。

圖1 LS-SVM算法的PSO優化過程

步驟1：粒子群參數初始化，包括設定粒子群數n、群體規模n、迭代次數T、粒子矢量參數x = (γ , δ2)、粒子位置屬性γ和粒子速度屬性 δ2。

步驟2：粒子當前速度比其經歷過的最好位置pbest所對應的適應度小，則將阿奇作為當前最好的位置 pbest。

步驟3：粒子經歷過的最好位置 pbest對應的適應度比全局最優位置 gbest對應的適應度小，則粒子當前最優位置為 gbest。

步驟4：根據式（9）和式（10）變化粒子的速度vi+1和 xi+1，產生新種群 x ( t+1)。

步驟5：判斷是否滿足終止條件（if t ＞ Tmax），如滿足，則輸出當前值；否則，t = t+1，跳到步驟2，繼續新一輪優化。

步驟6：獲得最優粒子信息，賦予LS-SVM模型。

2 PSO優化LS-SVM算法預測模型

首先，構建網絡空間態勢樣本，網絡空間態勢值如同時間序列[14]。網絡空間狀態值是一個非線性時間序列{xi}={x1, x2,…,xn}，非線性預測時間序列的安全形勢主要是看安全態勢值 i + p和p時刻安全態勢值 xi, xi+1, … ,xi+p-1之間的關系，即：

其中f是表示時間序列非線性關系的函數。根據SVM理論，上述非線性對應關系可以學習已知安全態勢時間序列樣本[15]。

PSO算法和LS-SVM算法是基于滑動窗口動態生成的。假設已知時間監測點1,2,…n對應的網絡態勢值分別為 a1, a2,… ,an，設定窗口大小為m，則第1條樣本記錄為 a1, a2,… ,am。因此，預測 m +1次監測點的網絡態勢值 am+1，然后構造樣本記錄a2,a3,… ,am+1，并預測 m + 2時間監測點的網絡態勢值 am+2等。m為3，即滑動窗口大小為3。為了防止預測誤差的累積，假設當前的安全態勢預測模型預測時間點t態勢值。如果根據實際情況計算之前的時間點 t - k 態勢值，則時間點t的預測值為實際態勢值。

基于PSO優化的LS-SVM算法網絡空間態勢預測模型，如圖2所示。

圖2 基于PSO優化LS-SVM算法的預測模型流程

步驟1：通過模型評估得到態勢值。

步驟2：根據時間序列法生成數據集，將樣本集劃分為訓練樣本集和測試樣本集。訓練樣本集通過SVM訓練得到初始預測模型，預測樣本集用于檢測初始預測模型的準確性。以開放式測試的形式作為訓練集和測試集，盡可能保證兩者的獨立性。

步驟3：訓練樣本被輸入到PSO優化LS-SVM算法模型，并使用優化算法搜索SVM的最佳訓練參數。

步驟4：輸入測試樣本到模型進行預測。

步驟5：預測模型精確度分析比較。

3 仿真實驗與結果分析

3.1 實驗環境組建

本實驗利用VMware Worlstation for Win64軟件構建虛擬蜜網Honeynet仿真真實環境、提取數據，并應用Matlab軟件實現標準BP和改進后的算法，仿真實驗環境如圖3所示。

圖3 Honeynet網絡拓撲

具體如下：

操作系統：Windows（Matlab）+RedHat Linux 9.0

Matlab版本：Matlab R2012a

CPU及內存：2.40 GHz×2，4 GB

軟件配置包括：VMware Worlstation for Win64，VMware-worlstation-full-7.0.0-203739；蜜網網關虛擬機Roo Honeywall CDROM v1.4。

具體步驟包括：蜜罐機（honeypot）的安裝與配置；虛擬蜜網網關機（Honeywall）的搭建與配置；sebel安裝；登陸Honeywall（My SQL）數據庫；收集信息。圖4為虛擬蜜網安裝的主界面。

圖4 Honeynet安裝界面

3.2 態勢數據提取

數據采集并經過事件校準后得到事件。時間校準后每個事件都有屬性，部分屬性說明如表1所示。其中，對于非數值型屬性，在實驗仿真中采用不同方法轉換成數值型，其他屬性還有訪問文件、注冊和服務配置信息等。

表1 事件屬性及對應表示形式

3.3 實驗分析

本章的實驗數據來源于Honeynet技術測試結果，并進行相關數據提取，得到100組數據（見圖5、圖6）。以其中80個數據作為學習樣本，20個數據作為訓練樣本。用Matlab編寫實驗程序，采用LS-SVM lab 1.5版分類器。

圖5 nmap掃描測試實驗

圖6 漏洞掃描實驗

3.3.1 實驗過程

（1）樣本特征選取與歸一化處理。由于參數大小、量級不同，需將數據進行[0，1]歸一化：

其中，樣本輸入輸出值x、y；樣本最大值、最小值為maxx 、minx 。

（2）仿真計算與分析。首先逐漸增加階數為5（輸入變量4、輸出變量1），重構網絡空間態勢序列，生成SVM的訓練和測試樣本，并改進PSO算法進行迭代尋優。設置粒子群搜索參數初始值，如表2所示。

表2 粒子群參數初始值

根據PSO優化LS-SVM算法預測模型對數據集中的20個態勢值進行預測，得到如圖7所示的結果。

圖7 網絡空間態勢感知部分數據集的PSO優化LS-SVM算法預測值與實際值比較

3.3.2 結果分析

為了驗證改進算法的預測精度，利用現有網絡空間態勢預測的PSO優化LS-SVM算法、GA-SVM以及SVM進行同樣的實驗比較，得到如圖8所示的結果。

圖8 三種算法態勢預測曲值對比

為了驗證PSO算法和LS-SVM模型的優勢，以均方根誤差（RMSE）和平均絕對誤差率（MAPE）作為評價指標[16]：

傳統的SVM模型容易陷入局部最優；GA-SVM結果接近粒子群優化的LS-SVM算法，但遺傳算法比粒子群算法收斂復雜，計算誤差也相對較大。從圖8的實驗結果可以看出，采用粒子群優化的LS-SVM預測方法的真實值偏差最小，更接近實際，見圖9。

圖9 三種算法態勢預測曲值絕對誤差對比

表2中SVM算法均方根誤差為3.402 1，絕對誤差率為13.45%；GA優化SVM算法均方根誤差為2.473 8，絕對誤差率為3.93%；PSO-LSSVM算法均方根誤差為1.1，絕對誤差率為0.66%。因此，我們可以得出PSO優化LS-SVM算法精度最高，效果最好。

4 結 語

考慮到網絡空間態勢值呈線性，而BP神經網絡算法存在解決小樣本局限、容易陷入局部極小值、收斂速度慢等缺點，利用SVM非線性處理小樣本數據，建立了非線性擬合模型，提出了一種將LS-SVM和PSO算法相結合的新的快速全局優化和非線性擬合，即基于網絡空間態勢感知的PSO優化LS-SVM算法。與傳統方法比較，基于粒子群優化的LS-SVM算法較傳統SVM算法、遺傳算法優化的SVM算法，在預測精度上更好，滿足了實驗要求。

參考文獻：

[1] Bopche G S,Mehtre B M.Attack Graph Generation,Visualization and Analysis：Issues and Challenges[C].Proc. of Second International Symposium,2014：379-390.[2] Snidaro L,Visentini I,Bryan K.Fusing Uncertain Knowledge and Evidence for Maritime Situational Awareness Via Markov Logic Networks[J].Information Fusion,2015(21)：159-172.

[3] Endsley M R.Final Reflections：Situation Awareness Models and Measure[J].Journal of Cognitive Engineering and Decision Making,2015,9(01)：101-111.

[4] Aleroud A,Karabatis G,Sharma P,et al.Context and Semantics for Detection of Cyber Attacks[J].Int’l Journal of Information & Computer Security,2014,6(01)：63-92.

[5] Alan N S,Christopher L B,Franklin E W.Revisions to the JDL Data Fusion Model[C].Proc Third NATO/IRIS Conferenee,1998：430-44l.

[6] Soleimani M,Ghorbani A A.Multi-Layer Episode Filtering for the Multi-step Attack Detection[J].Computer Communications,2012,35(11)：1368-1379.

[7] Liu X W,Wang H Q,Lü H W,et al.Fusion-Based Cognitive Awareness-control Model for Network Security Situation[J].Journal of Software,2016,27(08)：2099-2114.

[8] Sadighian A,Fernandez J M,Lemay A,et al.ONTIDS a Highly Flexible Context-aware and Ontology-based Alert Correlation Framework[C].Proc. of the Revised Selected Papers of Int’l Symp.on Foundations & Practice of Security,2013：161-177.

[9] Sadighian A,Zargar S T,Fernandez J M,Lemay A.Semantic-Based Context-aware Alert Fusion for Distributed Intrusion Detection Systems[C].Proc. of the 2013 Int’l Conf.on Risks and Security of Internet and Systems,2013：1-6.

[10] Yan G,Lee R,Kent A,et al.Towards a Bayesian Network Game Framework for Evaluating DDoS Attacks and Defense[C].Proc. of the ACM Conf. on Computer &Communications Security,2012：553-566.

[11] 飛思科技.神經網絡理論和matlab7實現[M].北京：電子工業出版社,2016：15-30.FECIT Technological.Neural Network Theory and MATLAB7 Implementation[M].Beijing：Electronic Industry Press,2016：15-30.

[12] 李捷,劉瑞新,劉先省等.一種基于混合模型的實時網絡流量預測算法[J].計算機研究與發展 ,2006,43(05)：806-812.LI Jie,LIU Rui-xin,LIU Xian-sheng,et al.A Realtime Network Traffic Prediction Algorithm Based on Hybrid Model[J].Computer Research and Developme nt,2006,43(05)：806-812.

[13] 謝麗霞,王亞超,于巾博.基于神經網絡的網絡安全態勢感知[J].清華大學學報,2013,53(12)：1750-1760.XIE Li-xia,WANG Ya-chao,YU Jin-bo.Network Security Situational Awareness Based on Neural Network[J].Journal of Tsinghua University,2013,53(12)：1750-1760.

[14] 任帥,慕德俊,張弢等.信息安全風險評估方法研究[J].信息安全與通信保密,2009(02)：54-56.REN Shuai,MU De-jun,ZHANG Tao,et al.Research on Risk Assessment Method of Information Security[J].Information Security and Communication Secrecy,2009(02)：54-56.

[15] 宣蕾.網絡安全定量風險評估及預測技術研究[D].長沙：國防科學技術大學,2007.XUAN Lei.Research on Quantitative Risk Assessment and Prediction Technology of Network Security[D].Changsha：National University of Defense Science and Technology,2007.

[16] 王宇飛,沈紅巖.基于改進廣義回歸神經網絡的網絡安全態勢預測[J].華北電力大學學報,2011,38(03)：91-95.WANG Yu-fei,SHEN Hong-yan.Network Security Situation Prediction Based on Improved Generalized Regression Neural Network[J].Journal of North China Electric Power University,2011,38(03)：91-95.