多級優化BP 神經網絡的異常流量檢測

文/陳勝 朱國勝 祁小云 雷龍飛吳善超 吳夢宇

隨著“互聯網+”時代的發展，網絡的規模越來越大，網絡安全問題也變得更加復雜。因此，有效準確地識別異常流量對網絡安全起到關鍵的作用。異常檢測的網絡流量數據具有數據量大和隨機性強的特性，傳統基于特征規則、統計和閾值的異常檢測系統檢測效率低、模型更新代價大、難以檢測未知的異常，不易建立檢測模型，在復雜多變的網絡環境中難以滿足安全檢測的要求。而神經網絡對模擬人類神經系統的模型有很強的認知能力，是進行高效率異常檢測分析的較好選擇[1]。

BP神經網絡算法具有良好的自學習、自演化和非線性映射能力，能夠在不熟悉網絡環境和異常流量背景信息的情況下對復雜多變的異常流量訓練，并能快速地檢測未知的異常流量，是一種滿足當今網絡異常檢測的方法[2]。但是純粹的BP 神經網絡模型存在一些不足，比如收斂速度慢和容易陷入局部最優解等問題。如果直接將BP 神經網絡算法應用到異常流量檢測中會使系統出現較高的誤報和漏報情況，從而使檢測的效率達不到保障網絡安全的要求。針對這些問題，研究人員采用了很多方式去優化BP 神經網絡算法，例如：傅德勝[3]采用全局優化算法的粒子群優化算法來優化BP 神經網絡檢測模型。王龍[4]采用人工蜂群優化算法來提高BP 神經網絡對網絡異常檢測的準確率，減少BP 神經網絡算法的迭代次數，加快收斂速度。可是這些使用全局優化算法進行一級優化BP 神經網絡的模型會出現早熟收斂、到后期會出現收斂速度變慢、精度誤差達到一定時難以繼續優化等問題，使異常流量檢測的效率、準確性和適應性沒有達到高標準的要求。

本文提出一種多級優化BP 神經網絡的異常流量檢測方法，使用人工蜂群算法對BP 神經網絡的權值和閾值進行優化，當雇傭蜂達到人工蜂群迭代次數后，再使用粒子群算法在當前最優值和拓廣的全局范圍中進行二次搜索優化。該方法能有效解決BP 神經網絡收斂速度慢和易陷入局部最優等問題，并能解決人工蜂群算法中沒有依據先驗知識的角色轉換性能不足的問題[5]，從而使異常流量檢測的精準度更高、誤報和漏報率更低，提高異常檢測系統的效率和適應性。

算法模型

BP 神經網絡算法

BP 神經網絡是神經網絡中應用最為廣泛的多級網絡，是一種按照誤差反向傳播訓練的多層前饋網絡。BP 神經網絡是由輸入層、隱含層和輸出層三個部分構成。其中輸入層是輸入特征向量，輸入向量不需要知道事物之間的相關關系，每一個節點代表一個類型，通過BP 神經網絡的自學能力來發現它們的映射關系。在隱含層上各個隱含節點之間是沒有連接關系的，它只與輸入、輸出層有連接關系，可以看成是進行向前傳播和向后傳播的中介層。輸出層是看實際輸出和期望輸出相差是否在誤差范圍內，如果在誤差范圍內，則BP 神經網絡模型結束迭代將實際輸出。如果不在誤差范圍內，則誤差信號沿反向傳播到輸入層，同時修改映射之間的權值和閾值，然后在重新正向傳播[6]。

設輸入層的輸入向量X=（x1，x2，x3，…xn），wij、θij分別為輸入層到隱含層的權值和閾值。因為神經元所使用的激活函數必須處處可導，所以本文選用最常使用的S 型函數，隱含層的輸出yj 如下式：

在反向傳輸的過程中，先計算神經網絡的誤差：

然后根據誤差要求來調整隱含層到輸出層的權值和閾值：

上面（4）和（5）式中的ɑ 是指學習速度。

由以上過程逐漸迭代訓練，發現BP神經網絡具有很強的自學習、自演化能力。因此，將BP 神經網絡應用到異常流量檢測中是明智之舉。但是，單純的神經網絡算法會出現收斂速度慢、易陷入局部最優解，在異常流量檢測中會存在較高的誤報和漏報率、精度不足等情況，從而影響異常流量檢測的效果。為解決神經網絡的不足，本文提出了一種人工蜂群和粒子群多級優化BP 神經網絡的方法。

人工蜂群算法

人工蜂群優化算法（ABC）是模擬蜂群中各個蜂種分工合作并將信息進行分享的采蜜過程，從而找出問題的最優解。在ABC 算法中由食物源、雇傭蜂和非雇傭蜂三個部分組成，其中非雇傭蜂又可以分為觀察蜂和偵查蜂。整個算法的目的就是尋找花蜜量最大的食物源[7]。

假設在N 維空間中有S 個食物源，第i 個食物源的位子為Xi（xi1，xi2，…，xin）。每個蜜源的位置是一個解，每個蜜源的花蜜量對應該解的適應度。先初始化S 個食物源，雇傭蜂根據食物源信息尋找新的食物源，然后再跟觀察蜂分享信息，從而來更新食物源位置。如下式：

其 中i=1，2，…，S，d=1，2，…，N，rand(-1，1)是取[-1，1]的隨機數，i ≠k。

觀察蜂會估計每個雇傭蜂帶來的食物源信息，并根據適應度函數來選擇概率高的食物，由下式來計算概率：

其中：fiti是第i 個解的適應度。當某個食物源在規定的偵查次數內沒有更新時，為了防止出現局部最優解，偵察蜂會根據下式來更新解

通過以上的過程分析，人工蜂群算法的正反饋機制使算法具有很強的全局搜索能力和較快的收斂速度，但是在角色轉變時局部信息考慮不足使算法后期收斂速度變慢，影響算法性能不足的同時使異常流量檢測模型的誤報和漏報都較高，從而該模型不能滿足復雜的網絡環境檢測。因此，本文結合粒子群算法一邊考慮當前最優解，一邊結合全局搜索，再一次來優化異常流量檢測模型。

粒子群算法

粒子群優化算法（PSO）是源于對鳥群捕食行為中個體協作和信息分享來尋找最優解的過程。其中每個粒子都是PSO 優化問題的一個解，都有被目標函數優化決定的適應值和它們向某個方向飛行的速度和距離，然后粒子根據當前最優信息在拓廣的空間范圍內搜索全局最優解[8]。

PSO 初始化為一群隨機的粒子，假設第i 個粒子在N 維空間的位置向量和速度向量分別為Xi=(xi1，xi2，…，xin)和=(vi1，vi2，…，vin)，該粒子在當前發現自己經歷的最好位置為pbest，整個粒子群中經歷最好的位置為gbest。粒子在每次迭代過程中會根據pbest和gbest來更新自己。粒子會根據下面的式子來更新其位置與速度：

在（9）和（10）式中：k 代表的迭代的次數；w 是粒子的慣性因子，c1 是局部學習因子，c2 為全局學習因子，r1 和r2 在區間（0，1）范圍內的隨機參數。為了防止粒子的速度太大，通常設置一個速度范圍[-Vmax，Vmax]，當Vi>Vmax 時，Vi=Vmax，反之亦然。PSO 算法沒有角色轉換，具有信息記憶功能、結構簡單和收斂速度快等優點，使用PSO 算法優化人工蜂群轉換的角色，讓異常檢測模型進一步提高檢測正確率和檢測效率，能實現高要求檢測的網絡環境。

多級優化算法

ABC 和PSO 算法是群智能的全局優化算法。ABC 算法具有收斂速度快，檢測精度高的優點，但是在后期有尋優速度會變慢、對局部信息考慮不全等缺點。PSO有算法結構簡單、收斂速度快和先驗知識的記憶能力等特性[9-11]。因此，本文結合兩種算法的優點采用PSO 算法的全局收斂速度快的特點去優化ABC 算法在后期收斂速度慢和陷入局部極值的缺點，再用得到的優化算法去優化BP 神經網絡的權值和閾值，進而解決神經網絡模型的精度低和收斂速度慢等問題。

ABC 和PSO 算法多級優化BP 神經網絡的過程如圖1 所示。

圖 1 多級優化BP 神經網絡的流程

算法具體過程如下：

1. 流量數據集預處理和特征選擇，隨機選擇訓練數據作為訓練樣本，初始化生成BP 神經網絡的輸入層、隱含層與輸出層之間的權值和閾值，選擇特定的流量特征作為神經網絡輸入特征。通過公式（1）、公式（2）計算輸出的實際值。

2.由公式（3）計算出BP 神經網絡的誤差。當誤差滿足設定的值時結束訓練輸出權值和閾值，反之繼續下一步。

3. 根據計算的誤差通過公式（4）和（5）調整輸入層、隱含層與輸出層之間的權值和閾值。然后再執行步聚1、2，如果誤差滿足要求結束訓練，否則繼續。

4.將流量特征經過BP 神經網絡計算得到的特征權值和閾值作為ABC 算法的輸入，設定神經網絡的誤差作為ABC 算法的適應度函數，初始化ABC 算法。

5.根據公式（6）、（7）對食物源的信息進行更新。若滿足設定的迭代次數，輸出最優的食物源信息執行步聚7，否則繼續搜索。當某個解達到搜索的上限后，雇傭蜂會轉換成偵查蜂進行PSO 優化，執行步聚6 得到最好的食物源解。

6.根據當前解信息拓廣粒子群的搜素范圍，設定迭代次數，初始化每個粒子的速度和位置。按照粒子群搜索的方式更新粒子的最優值，當滿足最大迭代次數時，用新食物源的位置更新原食物源的位置同時進入下一步，反之繼續迭代搜索。

7.將得到的食物源信息作為BP 神經網絡的權值和閾值去重新訓練，轉到步聚3。結束訓練后，將得到的訓練模型進行測試。

實驗部分

數據預處理

實驗數據采用麻省理工學院林肯實驗室入侵檢測評估項目的數據集，此數據集現今依然被廣泛使用異常檢測比賽和異常檢測系統評估。“KDD CUP 1999 Data”數據集[12]中每個連接都有42 項字段，其中前41 項是特征屬性，最后一項是類型的標記屬性，標記的是一個正常流量類型和22 種具體攻擊類型。異常類別是與用戶行為存在密切關系，數據集的41 特征屬性中有許多特征是冗余特征，這樣會影響異常檢測模型的準確率[13]。因此，為了提高檢測的效率，本實驗使用信息增益特征選擇方法[14]來選擇區分異常與正常流量中信息量最高的13 個特征屬性，見表1。

表1 特征屬性說明與信息增益值

數據預處理完了之后，進行多級優化BP 神經網絡模型的訓練。根據本實驗選擇的特征設定的BP 神經網絡模型的參數：輸入層神經元和隱含層神經元都為13個，輸出層神經元為1 個。ABC 算法模型的參數：初始化蜂群為60、迭代次數為100。PSO 算法模型的參數：粒子群大小為40，迭代次數為50，慣性因子為0.8，局部學習因子與全局學習因子都為2。然后對BP神經網絡、ABC 優化BP 神經網絡和多級優化BP 神經網絡做收斂效果和準確度的評估對比實驗。

收斂效果評估

收斂效果是評估模型的重要指標。從處理過后的數據集中隨機選擇2000 條數據作為訓練集進行訓練誤差的收斂對比分析。經過實驗仿真后的收斂結果如圖2 所示。

圖 2 算法誤差收斂圖

從圖2 可知，如果設定訓練誤差為，ABC 和PSO 多級優化BP 神經網絡的模型在迭代500 多次的時候就滿足了誤差的要求，其他兩種算法在相同迭代次數下，均未達到設定的誤差要求，需要繼續迭代。因為BP 神經網絡初始化時權值和閾值是在自定義的范圍內隨機產生，通過反向傳播調整時只能在隨機數的附近調整，容易陷入局部最優，缺乏全局最優的考慮。當使用ABC 算法一級優化BP 神經網絡時收斂速度得到了較大的提升，在達到迭代要求時，由于算法沒有依據先驗信息進行角色轉化和重新初始化食物源，缺乏對當前最優解的考慮，導致模型后期迭代速度變慢。但是使用ABC 和PSO 算法多級優化BP神經網絡時，PSO算法既考慮局部最優，又能快速全局搜索，進而減少了無效的迭代次數。因此，證明多級優化BP 神經網絡模型具有更快的收斂速度，使異常檢測的效率得到更大的提升。

準確度評估

將處理過后的數據集隨機分布后作為訓練集和測試集，然后選擇K 折交叉驗證方法來計算數據的正確率，其中K 折交叉驗證的參數K 取值為10。在異常檢測中為解決數據不平衡帶來指標評估的不良影響，本文建立混淆矩陣來驗證實驗模型[15]。樣本測試數據中的檢測異常流量、檢測正常流量分別由矩陣中的TP（True Positive）和TN（True Negative）表示，識別錯誤的異常流量和正常流量分別由FN(False Negative)、FP（False Positive）表示，具體見表2。

表2 混淆矩陣

對異常檢測模型的結果評估主要包括準確率（Precision Rate，PR）、誤報率（False Positive Rate，FPR）、漏報率（False Negative Rate，FNR）等評價指標。各指標的定義如下公式所示。

1.準確率PR 的計算公式如式（11）所示，

2.誤報率FPR 的計算公式如式（12）所示，

3.漏報率FNP 的計算公式如式（13）所示，

通過混淆矩陣計算，各模型的準確率比較情況見表3。

表3 模型準確率比較

從表中的數據可以看出，ABC 和PSO多級優化BP 神經網絡模型在異常流量檢測中的檢測效率更高。傳統BP 神經網絡模型在滿足誤差要求時就會結束，最終得到的參數可能不是全局最優，使異常流量檢測模型的效率不理想。但是ABC 和PSO 多級優化的BP 神經網絡模型經過快速的全局搜索，使異常檢測的正確率、誤報和漏報率都有更好的優化。

未來研究

使用神經網絡的方法對網絡異常流量的檢測是網絡安全方面研究的重點課題。本文使用人工蜂群和粒子群結合算法來優化BP 神經網絡的權值和閾值，克服了BP神經網絡易陷入局部最優、收斂速度慢等問題。通過在異常流量檢測中的應用發現該算法降低異常檢測時較高的誤報和漏報率并提升了檢測準確率，從而證明該優化算法的可行性。但是沒有針對不同的數據集進行測試并智能化的應用到實際中，因此還有需要進一步的完善，以后研究可以考慮多級優化BP 神經網絡有限的泛化能力或者采用深度學習技術進行異常流量檢測分析。