基于MDM的KELM學習器選擇性集成網絡入侵檢測

摘 要： 采用集成學習模式進行入侵檢測時，可以獲得比單個學習器更高效的網絡攻擊識別過程，并能顯著提高識別準確率。設計的SN通過MDM對各KELM子學習器計算得到集成增益度，從中選出具有較高增益度的KELM子學習器再實施集成。選擇Bagging方式完成抽樣集成過程，同時以Hadoop分布式結構對算法實施訓練，通過并發方式完成各子KELM的檢測，使算法達到更高的效率。通過測試發現，不管對于公共KDD99數據集還是以手工方式建立的網絡物理仿真系統，SN都可以高效發現各類入侵行為，滿足實際應用要求。

關鍵詞： 網絡入侵; 極限學習機; 異常檢測; 集成學習

中圖分類號： TP 391文獻標志碼： A

Intrusion Detection by Selectively Integrated Network

with MDM - based KELM Learner

GAO Zhenghao

（Institute of Electric Power Science， Guizhou Power Grid Co. Ltd.， Guiyang， Guizhou 550000， China）

Abstract： The integrated learning mode can obtain a more efficient network attack identification process than a single learner， and it significantly improves the recognition accuracy. The SN designed in this paper calculates the integration gain of each KELM sub-learning device through MDM， and then selects the KELM sub-learning device with higher gain degree to implement integration. The bagging is selected to complete the sampling integration process. Meanwhile， the algorithm is trained by Hadoop distributed structure， and the detection of each sub-KELM is completed by means of concurrency， so as to achieve higher efficiency of the algorithm. Through testing， it is found that the SN can efficiently detect various intrusion behaviors for both public KDD99 data set and manual network physical simulation system， which meets the practical application requirements.

Key words： network intrusion; extreme learning machine; abnormal detection; integrated learning

0 引言

當前，大數據技術獲得了廣泛應用，對于信息技術發展發揮了極大的促進作用，但也因此帶來了網絡信息的安全問題。針對上述情況，可以利用網絡入侵檢測的方法來實現對網絡安全的主動防護功能，從而實現網絡系統被破壞前就實現對外部入侵行為的及時攔截并作出快速響應[1-6]。對各類復雜網絡運行狀態進行處理時，不管是建立在誤用或異常情況上的入侵檢測系統通常都需要占用大量資源，并且實際測試效率很低，通常需結合人工綜合分析的過程才能獲得正確的結果[7-9]。對于一個具備優異性能的入侵檢測系統來說，應滿足可以實現自主學習并根據不同網絡條件不斷調整適應的要求。通過機器學習來實現對分類器的訓練，從而達到準確分辨網絡中的各類連接行為是否屬于正常類型[10-11]。通過機器學習方式來實現的入侵檢測由于采用不同的學習（分類）器，因此各自性能存在較大的差異。

采用集成學習模式進行入侵檢測時，可以獲得比單個學習器更高效的網絡攻擊識別過程，并顯著提高識別準確率。

1 入侵檢測算法

從本質上分析，網絡入侵檢測屬于多變量分類的過程。假定總共

存在n條網絡連接數據集X，將其表示為X={xi|i=1，2，…，n}T∈Rn，并且滿足條件Xi∈R為第i條網絡連接的記錄，n表示樣本總條數;上述各項記錄的網絡連接類型以T={ti|i=1，…，n}進行表示，則根據單學習器構建得到如下入侵檢測模型[12-13]如式（1）。

上式的λ表示權重系數，當Qj結構被確定后，可以將式（1）作為對分類器Gj參數進行調整后得到的最佳分類器。本文通過Bagging學習模式來設計SN方法，先對具備互補功能的子學習器實施訓練，再通過邊緣距離最小化方式完成對子學習器實施選擇性學習的過程。算法的具體流程如圖1所示。

2.1 KELM分類器

將ELM作為一個線性方程，對其進行求解分析可以得到一個閉式的全局理論最優解。為防止ELM模型受到隱含層特征映射函數的干擾，可以考慮使用KELM模型。結合輸出層參數a計算結果，現創建一條新網絡連接記錄Xtest，將其表示成如下的連接類型向量如式（2）。

式中：h為X的ELM非線性映射，H是隱含層的輸出矩陣。以ELM核矩陣表示HHT。以Ω=HHT表示ELM核矩陣，代入上述各項矩陣參數可以得到以下結果如式（3）。

為了盡可能避免陷入局部最優，本文基于MDM的KELM學習器選擇性集成網絡入侵檢測。該方法基于MDM準則計算出每個子學習器對整體集成算法性能提升的增益度量，通過選擇增益度高的KELM子學習器進行部分集成，獲得計算效率高、泛化能力強的強學習器。

2.2 學習器選擇性集成

（MDM）集成學習是按照特定組合形式實現對不同弱分類器的集成并獲得強分類器算法，通常將此類算法稱作元算法。Bagging對已有分類器中存在錯誤分類的樣本進行集中關注再優化各新創建得到的子學習器。Bagging方法充分考慮了不同子學習器間存在的強依賴性能，可以利用串行方式得到。

Bagging選擇隨機方式進行重采樣，確保各子學習器可以達到互不干擾的狀態。通常是以能夠同時生成的分布式并發模式構建上述算法，采用上述方法可以實現子學習器的高效訓練，同時確保子學習器能夠滿足互補的性能。

考慮到采用此Bagging策略可以實現并發學習的效果，本文選擇Bagging方案來實現子分類器學習的功能。并且為確保可以對各類異常入侵進行高效檢測，本文設計了一種建立在最小邊緣距離基礎上的選擇性集成（MDM）算法來完成增益排序子學習器的目的，從中選出具有較大增益度的子學習器組成最終結果，有效減緩弱學習器影響檢測結果的程度。

3 實驗驗證

本實驗需要對以下二項內容進行驗證：（1） 利用KDD99數據集驗證本文構建的SN有效性，同時測試各項參數造成的性能變化，比較SN和不同入侵檢測方式的差異性;（2） 構建網絡物理仿真系統，對SN進行復雜網絡環境條件下的運行測試，評價其檢測真實入侵的效果。

3.1 驗證分析

比較SN和KELM算法及其集成算法對于KDD99所達到的準確率與花費的運算時間，如表1所示。

測試時以徑向基函數組成KELM核函數，其中，KELM集成算法以及SN算法都選擇Bagging模式，設置跟原維度相同的抽樣數量，設定子學習器的數量為100，通過MDM選擇子學習器時，滿足條件的子學習器數量總共是60個。

經過50次獨立測試得到的結果，如表1所示。

根據表1可知，采用傳統形式KELM集成算法可以獲得比單獨KELM方式高出8%的AR同時減小了0.6%的MR，不過卻使檢測時長增加了10倍左右。本文設計的SN是根據MDM準則選出具備優異性能的KELM子學習器來達到集成的目的，顯著降低集成得到的子學習數量，降低了弱學習器所造成的不利影響，除了有效提升AR以外還使MR發生了大幅減小，并且可以獲得更高的檢測效率。

表2給出了檢測方法運算時間比較。

如表3所示。

采用傳統形式KELM集成算法訓練時間較長，相B比較之下，本文算法在訓練時間和測試時間上明顯縮短，計算效率明明顯提高。

3.2 參數設置對算法性能的影響

對SN性能具有影響的參數有子學習器集成數U與特征數F。表3給出了在不同的輸入層神經元數量與各抽樣率條件下算法的性能變化。

對表3結果進行分析可以發現，F幾乎不會造成測試結果的變化。這是由于訓練與測試階段所選擇的KDD99樣本集包含了大量的數據，同時該算法具備優異泛化性能，此時如果只單獨調節F將無法提升算法性能。不過對F進行調整后能夠改善小樣本集學習器性能。

同時，集成算法泛化性能受到子學器數量的直接影響，而當子學習器太多時則會占據大量資源。本實驗將KELM子學習器的最初數量設定在100，利用選擇性學習的方式得到最終集成數量。入侵檢測性能與選擇性集成子學習器數量的關系，如圖2所示。

對圖2進行分析可知，當子學習器數量增多后，入侵檢測準確率表現為先緩慢上升再不斷減小的趨勢。在子學習器數量介于35～40范圍內時，可以獲得較高的網絡入侵檢測準確率，而當子分類器數量繼續提高（超過40）后，獲得的入侵檢測效果保持基本穩定狀態，而當加入太多弱學習器時，反而減小了正確率。進行比較測試時，將集成數量設定在40。

4 總結

本文設計的SN通過MDM對各KELM子學習器計算得到集成增益度，從中選出具有較高增益度的KELM子學習器再實施集成。選擇Bagging方式完成抽樣集成過程，同時以Hadoop分布式結構對算法實施訓練，通過并發方式完成各子KELM的檢測，使算法達到更高的效率。通過測試發現，不管對于公共KDD99數據集還是以手工方式建立的網絡物理仿真系統，SN都可以高效發現各類入侵行為，滿足實際應用要求。

參考文獻

[1] 李立勛，張斌，董淑琴，等. 基于脆弱性轉化的網絡動力學防御效能分析方法[J]. 電子學報，2018，46 （12）：3014-3020.

[2] Sultanan， Chilamkurti N， Peng W， et al. Survey on SDN based network intrusion detection system use machine learning approaches [J]. Peer-to-Peer Networking And applications， 2018，11 （1-2）： 1-9.

[3] 高妮，高嶺，賀毅岳， 等.基于自編碼網絡特征降維的輕量級入侵檢測模型[J]. 電子學報，2017， 45（3）：730-739.

[4] Wang C R， Xu R F， Lee S J， et al. Network intrusion detection using equality constrained optimization based extreme learning machines[J]. Knowledge-Based Systems， 2018、147 （1）：68 - 80.

[5] 張志霞.基于RS-SVM的無線傳感器網絡入侵檢測模型研究[J].智能計算機與應用，2019（3）：319-320.

[6] 王莉莉，張建軍.網絡入侵節點的盲取證技術研究與仿真[J].現代電子技術，2019，42（9）：51-54.

[7] 金立群.適應多元尺寸長度的卷積神經網絡模型在網絡入侵檢測中的應用[J].山東農業大學學報（自然科學版），2019（5）：1-3.

[8] 孫惠麗，陳維華，劉東朝.基于深度學習的改進貝葉斯網絡入侵檢測算法[J].軟件工程，2019，22（4）：17-20.

[9] 楊印根，王忠洋.基于深度神經網絡的入侵檢測技術[J].網絡安全技術與應用，2019（4）：37-41.

[10] 徐文良，張永勝，程健慶.基于機器學習的艦艇網絡入侵檢測技術[J].指揮控制與仿真，2019，41（2）：137-140.

[11] 閆明輝.計算機網絡入侵檢測系統匹配算法的研究[J].電子設計工程，2019，27（8）：34-37.

[12] 韓存鴿.混合光纖網絡偽裝危險數據有效識別技術研究[J].激光雜志，2019，40（4）：108-112.

[13] 劉立明，李群英，郝成亮，等.基于異常流量可視化的通信網絡入侵攻擊路徑智能跟蹤技術[J].科學技術與工程，2019，19（11）：230-235.

（收稿日期： 2020.02.04）

作者簡介：

高正浩（1979-），男，本科，工程師，研究方向：信息技術。