基于深度學習的入侵檢測研究

魏明軍 楊桂芳

摘要：為提高網絡異常入侵的檢測效果，針對傳統BP神經網絡在檢測速度、精度、復雜度等方面的缺陷，提出一種基于深度置信網絡的入侵檢測方法，該方法通過雙層RBM結構降維，再用BP神經網絡反向微調結構參數，以達到簡化數據復雜度的目的，減少了BP神經網絡的計算量。它對傳統對比散度訓練算法進行了改進，提出了一種改進的對比算法，提高對最優特征的選擇結果。仿真實驗結果表明，新的網絡入侵檢測方法較傳統的訓練算法，能夠獲得更好的入侵特征提取結果。因此，新的網絡入侵檢測方法提高了異常入侵檢測的檢測率，加強了網絡安全。

關鍵詞：異常入侵；深度置信網絡；對比散度算法；特征提取；網絡安全

中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044（2019）04-0180-02

Abstract： In order to improve the detection effect of network intrusion， this paper proposes an intrusion detection method based on deep belief network for the defects of traditional BP neural network in terms of detection speed， accuracy and complexity. This method reduces the dimension by double-layer RBM structure. The BP neural network is used to inversely fine tune the structural parameters to simplify the data complexity and reduce the computational complexity of the BP neural network. It improves the traditional contrast divergence training algorithm. An improved contrast algorithm is proposed to improve the selection of optimal features. The simulation results show that the new network intrusion detection method can obtain better intrusion feature extraction results than the traditional training algorithm compared with DBN algorithm and BP algorithm. Therefore， the new network intrusion detection method improves the detection rate of abnormal intrusion detection and strengthens network security.

Key words： abnormal invasion； deep belief network； contrast divergence algorithm； feature extraction； network security

1 引言

雖然計算機和互聯網技術的發展，給人們帶來許多便利，但也帶來了多種安全威脅和挑戰。入侵檢測技術幫助用戶系統對付網絡攻擊，擴展了系統管理員的安全管理能力，提高了信息安全基礎結構的完整性[1]。

本課題分析了當前入侵檢測系統的現狀以及存在的問題，設計了基于深度置信網絡的異常檢測入侵模型，該模型的設計可以在一定程度上提高入侵檢測的效率和檢測準確率，同時提高了檢測效率。本課題采用KDDCUP99-10%數據集對提出的模型進行仿真分析，將討論訓練算法對最后檢測率的影響。在深度學習理論高速發展的今天，基于深度置信網絡的入侵檢測研究是很有一定的研究價值的[2]。

2 理論分析

2.1 研究背景及意義

由于網絡用戶與網絡資源使用頻率逐年升高，諸如棱鏡門、Heartbleed bug等重大安全事件頻頻發生給人們的生活造成嚴重影響。然而，入侵數據特征空間具有高維性和非線性特征，傳統的神經網絡學習方法和大部分機器學習方法往往在處理這方面的問題時，極易出現維度爆炸等問題。2006年，機器學習界領軍人物首度提出深度學習理論[3]。將深度學習理論應用到入侵檢測領域還鮮有研究。因此，開展基于深度置信網絡的入侵檢測技術研究具有重要的理論意義和使用價值。

2.2 入侵檢測概述

入侵檢測（Intrusion Detection）是對入侵行為的發覺，它通過從計算機網絡或計算機系統的關鍵點收集信息并進行分析，從中發現網絡或系統中是否有違反安全策略的行為和被攻擊的跡象。總的來說，入侵檢測的流程可以劃分為四個步驟，分別是數據收集階段、數據處理階段、數據分析階段、告警和響應階段[4]。

2.3 深度學習概述

深度學習的實質，就是通過構建多個隱藏層的機器學習模型和使用大量的訓練數據進行訓練，得到更有用的數據特征，最終實現分類高效的分類準確率[5]。在深度學習中，所有特征數據共享同一個網絡結構，這種方式更有利于提取深層次的特征和增強網絡的記憶能力。

2.3.1 深度置信網絡模型

深度置信網絡的結構是基于深度學習理論，通過堆積多個受限玻爾茲曼機形成一個多層的深度學習結構。在最上層，設置一個BP神經網絡來自頂向下監督學習，基于這個多層的結構特點，可以更容易的獲得數據集的壓縮編碼，從而更好地得到優異的特征表達。所以深度置信網絡從結構上看是由多層受限玻爾茲曼機和一層有監督的反向傳播網絡構成[6]。

2.3.2 受限波爾茲曼機

深度置信網絡的基本組成部件是受限玻爾茲曼機（Restricted Boltzmann Machines，簡稱RBM）。RBM是具有兩層對稱結構并且無自反饋的隨機神經網絡模型。v為可見層，用于觀察數據，h為隱藏層，w為可見層和隱藏層間權重，b為可見層節點的偏移量，c為隱藏層節點偏置量，RBM會使用這些參數將n維原始樣本數據編碼為一種m維的新樣本[7]。這樣就可以用下面函數來表示一個RBM的能量：

深度置信網絡中RBM，采用的是對比散度快速學習算法。但在實際使用過程中，因受到目標樣本分布陡峭程度的影響，不知道轉移多少次組就足夠達到對樣本的近似。采用對比散度算法訓練RBM模型從本質上講已不是最大信息熵模型，所以對訓練數據的似然度不高。因此對于使用對比散度算法進行RBM模型訓練必然會導致模型生成能力差[8]。

綜上所述，深度置信網絡雖然具有較強的學習能力，但是用于訓練RBM的對比散度算法存在缺陷。

3 實驗方案

實驗環境：Linux--ubuntu16.04系統、tensorflow深度學習平臺、pandas數據分析庫。

實驗實現過程主要分為三個階段：首先是數據的預處理階段，涉及對數據集數據的數字化標準化歸一化；然后是特征提取階段，利用自適應深度置信網絡算法來逐層訓練RBM及BP微調，求出優化參數，最大概率的產生訓練樣本分布。最后階段是利用集成學習中的XGBoost算法進行分類，從而達到提高檢測率、降低誤報率的目的。

本次實驗是在RBM迭代次數為3，隱藏層數為3，隱藏層節點數為（80，60，30）的網絡結構下，進行對比仿真實驗：

4 結論

從上圖檢測率趨勢圖中可以觀察到，在數據量不斷增加的情況下，ADBN算法和DBN算法的檢測率呈現上升趨勢，BP算法的檢測率雖然也在增加，但增加趨勢比較緩慢，造成這種原因主要是由于BP算法采用的是淺層結構，而ADBN算法采用的是深層結構。ADBN算法較DBN在檢測率方面上年均提高4%，這是由于ADBN采用改進后的采樣算法，使得對網絡入侵檢測數據的采樣跳出局部最優，實現全局最優，從而提高算法的檢測率。

參考文獻：

[1] 羅守山.入侵檢測[M].北京：北京郵電大學出版社，2004.

[2] 李春林，黃月江，王宏，等.一種基于深度學習的網絡入侵檢測方法[J].信息安全與通信保密，2014（10）：68-71.

[3] 許戈靜.基于機器學習方法的入侵檢測技術[J].信息通信，2015（12）：127-128.

[4] 趙海陽，鄧京京.基于入侵檢測概念、過程分析和布署的探討[J].內江科技，2007（10）.

[5] 鄢華.模糊深度學習網絡算法的研究[D].哈爾濱： 哈爾濱工業大學，2012：14-25.

[6] 安琪.基于深度置信網絡的入侵檢測研究[D].蘭州：蘭州大學，2016：32-36.

[7] 陳達.基于深度學習的推薦系統研究[D].北京：北京郵電大學，2014：17-22.

[8] 張春霞，姬楠楠，王冠偉.受限波爾茲曼機[J].工程數學學報，2015，1（2）：159-173.

【通聯編輯：代影】