基于貝葉斯分類算法的網(wǎng)絡(luò)入侵行為檢測方法

何新洲

摘要：傳統(tǒng)的網(wǎng)絡(luò)入侵行為檢測方法檢測時(shí)間長、檢測率低，導(dǎo)致網(wǎng)絡(luò)安全受到嚴(yán)重威脅，因此基于貝葉斯分類算法對(duì)網(wǎng)絡(luò)入侵行為檢測方法進(jìn)行研究。首先設(shè)計(jì)用戶行為日志采集系統(tǒng)，通過采集節(jié)點(diǎn)模塊、數(shù)據(jù)分析與存儲(chǔ)模塊對(duì)用戶行為日志數(shù)據(jù)進(jìn)行采集，其次通過消除冗余數(shù)據(jù)、數(shù)據(jù)規(guī)范化等環(huán)節(jié)預(yù)處理采集到的數(shù)據(jù)。針對(duì)預(yù)處理后的數(shù)據(jù)，構(gòu)建基于樸素貝葉斯分類的網(wǎng)絡(luò)入侵行為檢測模型，基于不同的屬性集構(gòu)建非網(wǎng)絡(luò)入侵與網(wǎng)絡(luò)入侵分類規(guī)則，實(shí)現(xiàn)網(wǎng)絡(luò)入侵行為檢測。實(shí)驗(yàn)結(jié)果顯示該方法檢測結(jié)果準(zhǔn)確度在97%以上，檢測過程花費(fèi)時(shí)間與對(duì)比方法相比降低4s以上。

關(guān)鍵詞：貝葉斯分類;網(wǎng)絡(luò)入侵;行為檢測;行為日志;屬性;分類規(guī)則;卡方檢驗(yàn)法

中圖分類號(hào)：TP393

文獻(xiàn)標(biāo)志碼：A

NetworkIntrusionDetectionMethodBasedonBayesianClassificationAlgorithm

HEXinzhou

（DataandInformationSchool，ChangjiangPolytechnic，Wuhan430074，China）

Abstract：Thetraditionalnetworkintrusiondetectionmethodhasalongdetectiontimeandlowdetectionrate，whichleadstoaseriousthreattothenetworksecurity.ThispaperstudiesthenetworkintrusiondetectionmethodbasedonBayesianclassificationalgorithm.Firstly，theuserbehaviorlogcollectionsystemisdesigned，itcollectstheuserbehaviorlogdatathroughthecollectionnodemodule，dataanalysisandstoragemodule，andthenpreprocessesthecollecteddatabyeliminatingredundantdataanddatanormalization.Accordingtothepreprocesseddata，thenetworkintrusiondetectionmodelbasedonnaiveBayesianclassificationisconstructed，andthenonnetworkintrusionandnetworkintrusionclassificationrulesbasedondifferentattributesetsareconstructedtorealizethenetworkintrusiondetection.Theexperimentalresultsshowthattheaccuracyofthemethodismorethan97%，andthedetectionprocesstakesmorethan4slesstimethanthecomparisonmethod.

Keywords：Bayesianclassification;networkintrusion;behaviordetection;behaviorlog;attributes;classificationrules;Chisquaretest

0引言

隨著互聯(lián)網(wǎng)技術(shù)在人們?nèi)粘Ｉ钪械钠毡槭褂茫哂袕?fù)雜性和連通性的開放系統(tǒng)逐漸替代原有的獨(dú)立系統(tǒng)[1]，隨著而來的不僅是互聯(lián)網(wǎng)強(qiáng)大的使用功能，還有網(wǎng)絡(luò)安全與計(jì)算機(jī)安全問題。在此條件下，高效的網(wǎng)絡(luò)入侵行為檢測方法研究對(duì)于網(wǎng)絡(luò)安全具有重要意義，是網(wǎng)絡(luò)信息安全建設(shè)的關(guān)鍵環(huán)節(jié)[2]。

檢測互聯(lián)網(wǎng)上無授權(quán)計(jì)算機(jī)資源使用情況的行為即網(wǎng)絡(luò)入侵行為檢測[3]。目前已有很多學(xué)者網(wǎng)絡(luò)入侵行為檢測方法進(jìn)行相關(guān)研究。劉強(qiáng)、蔡志平等學(xué)者針對(duì)入侵檢測框架、特征自動(dòng)生成、安全檢測理論及方法等問題進(jìn)行研究，梳理出網(wǎng)絡(luò)安全檢測算法和框架、并總結(jié)了網(wǎng)絡(luò)安全檢測與控制技術(shù)發(fā)展趨勢。鄧帥等學(xué)者提出使用改進(jìn)的湯普森采樣方法作為采集函數(shù)，基于改進(jìn)貝葉斯優(yōu)化算法的CNN超參數(shù)優(yōu)化。IDS作為使用最普遍的網(wǎng)絡(luò)入侵檢測系統(tǒng)，IDS在分析海量數(shù)據(jù)集過程中采用神經(jīng)網(wǎng)絡(luò)、模糊邏輯與支持向量機(jī)的機(jī)器學(xué)習(xí)方法[4]。但隨著網(wǎng)絡(luò)入侵行為的升級(jí)，上述方法下的網(wǎng)絡(luò)入侵行為檢測方法對(duì)于用戶行為的分類效率與精度均有不同程度的下降，無法滿足當(dāng)前網(wǎng)絡(luò)入侵行為檢測的需求。

貝葉斯分類算法是一種概率分類方法[5]，是當(dāng)前未知分類檢測的最佳算法，普遍應(yīng)用于不同信息領(lǐng)域內(nèi)。在網(wǎng)絡(luò)入侵行為檢測中引入貝葉斯分類算法，提出基于貝葉斯分類算法的網(wǎng)絡(luò)入侵行為檢測方法，可在短時(shí)間內(nèi)準(zhǔn)確分類用戶行為日志數(shù)據(jù)集。

1網(wǎng)絡(luò)入侵行為檢測方法

1.1用戶行為日志數(shù)據(jù)獲取

用戶行為日志數(shù)據(jù)是網(wǎng)絡(luò)入侵行為檢測的基礎(chǔ)[6]，利用行為日志采集系統(tǒng)可實(shí)現(xiàn)用戶行為日志數(shù)據(jù)的采集。

用戶行為日志采集系統(tǒng)結(jié)構(gòu)框架，如圖1所示。

用戶行為日志采集系統(tǒng)由采集節(jié)點(diǎn)模塊、數(shù)據(jù)分析與存儲(chǔ)模塊、WEB查詢統(tǒng)計(jì)與管理模塊、管理員模塊四部分組成。數(shù)據(jù)分析與存儲(chǔ)模塊和WEB查詢統(tǒng)計(jì)與管理模塊均選取JAVA語言開發(fā)[7]，在開發(fā)工程中使用Spring和Hibernate等框架。以CentOS操作系統(tǒng)為采集節(jié)點(diǎn)模塊運(yùn)行平臺(tái)，該模塊同數(shù)據(jù)分析與存儲(chǔ)模塊和WEB查詢統(tǒng)計(jì)與管理模塊相對(duì)獨(dú)立，具有數(shù)量變化特性[8]，滿足數(shù)據(jù)采集過程的動(dòng)態(tài)擴(kuò)充需求。

同時(shí)，行為日志采集系統(tǒng)具有交換機(jī)網(wǎng)絡(luò)端口流量鏡像功能，無需額外安裝插件，即可實(shí)現(xiàn)目標(biāo)業(yè)務(wù)流量與系統(tǒng)連接網(wǎng)絡(luò)端口之間的鏡像，方便用戶行為日志數(shù)據(jù)的處理。

1.2用戶行為日志數(shù)據(jù)的預(yù)處理

用戶行為日志數(shù)據(jù)預(yù)處理共分為三個(gè)環(huán)節(jié)[9]，分別是消除冗余數(shù)據(jù)、數(shù)據(jù)規(guī)范化和日志數(shù)據(jù)庫。

在海量的用戶行為日志數(shù)據(jù)內(nèi)，存在大量重復(fù)的，不必要的信息，為降低網(wǎng)絡(luò)入侵行為檢測難度，提升檢測效率，需先消除日志數(shù)據(jù)內(nèi)的冗余數(shù)據(jù)，再規(guī)范數(shù)據(jù)形式。

日志數(shù)據(jù)內(nèi)的各信息中均包含部分重要屬性信息與部分次要信息。舉例說明：在某日志數(shù)據(jù)內(nèi)包含的相關(guān)內(nèi)容有：用戶IP地址、用戶名、使用時(shí)間、請(qǐng)求內(nèi)容以及反饋使用端的狀態(tài)碼與字節(jié)數(shù)等，當(dāng)此日志數(shù)據(jù)可疑時(shí)，其中的請(qǐng)求內(nèi)容與反饋使用端的狀態(tài)碼是重要屬性信息，其余則為次要信息。日志來源有所差異的條件下日志格式也有所差異，因此日志規(guī)范化處理應(yīng)以完整性、簡潔性與可擴(kuò)展性為目標(biāo)[10]。其中完整性和簡潔性是確保日志數(shù)據(jù)處理后其中的不必要信息刪除，而重要屬性信息需完整;可擴(kuò)展性則是表示規(guī)范后的日志數(shù)據(jù)內(nèi)可容納類型差異的日志數(shù)據(jù)。

日志數(shù)據(jù)庫設(shè)計(jì)過程中，通過設(shè)計(jì)同類日志擴(kuò)展格式，使類型相同系統(tǒng)日志的擴(kuò)展，利于網(wǎng)絡(luò)入侵行為檢測效率的提升。

1.3網(wǎng)絡(luò)入侵行為檢測

1.3.1樸素貝葉斯分類下的網(wǎng)絡(luò)入侵行為檢測

針對(duì)預(yù)處理后的用戶行為日志數(shù)據(jù)以WenkeLee入侵檢測理論為基礎(chǔ)[11]，構(gòu)建基于樸素貝葉斯分類的網(wǎng)絡(luò)入侵行為檢測模型（以下簡稱為樸素貝葉斯分類檢測模型），模型結(jié)果如圖2所示。

樸素貝葉斯分類檢測模型構(gòu)建過程如下：利用n維特征向量描述用戶行為日志數(shù)據(jù)，訓(xùn)練樣本的類標(biāo)識(shí)可固定模型結(jié)構(gòu)，即類節(jié)點(diǎn)。各訓(xùn)練樣本內(nèi)包含的全部特征屬性均為存在于根節(jié)點(diǎn)內(nèi)、具有獨(dú)立性的子節(jié)點(diǎn)[12]，基于此當(dāng)確定貝葉斯分類模型結(jié)構(gòu)后，基于訓(xùn)練樣本A節(jié)點(diǎn)的概率即可確定模型參數(shù)。

如圖2所示的模型以預(yù)處理后的用戶行為日志數(shù)據(jù)為基礎(chǔ)進(jìn)行分組，將其分為測試集和訓(xùn)練集。首先，對(duì)訓(xùn)練集內(nèi)的用戶行為日志數(shù)據(jù)經(jīng)過學(xué)習(xí)后實(shí)施樸素貝葉斯分類，通過類標(biāo)識(shí)標(biāo)記訓(xùn)練數(shù)據(jù)，來區(qū)分正常記錄和異常記錄，獲取分類結(jié)果。測試集內(nèi)的用戶行為日志數(shù)據(jù)與訓(xùn)練結(jié)果均通過樸素貝葉斯分類器去掉數(shù)據(jù)中一些與分類相關(guān)性不大甚至不相關(guān)的屬性，最后獲得檢測所需結(jié)果，實(shí)現(xiàn)網(wǎng)絡(luò)入侵行為檢測目的。利用該模型進(jìn)行網(wǎng)絡(luò)入侵行為檢測的過程中，訓(xùn)練過程與檢測過程是重中之重。

上述模型分類原則，如式（1）。

RLjB1，B2，…Bn=max

RLiB1，B2，…Bn（1）

式中，n所表示的是類別總數(shù)，R表示訓(xùn)練樣本的概率，Lj類內(nèi)包含B1，B2，…Bn。

上述模型工作原理如下。

用B={B1，B2，…Bn}和L1，L2，L3，…，Lm分別描述一個(gè)n維特征向量和m個(gè)類別，維數(shù)n表示特征數(shù)量。

用Y表示一個(gè)給定用戶行為日志數(shù)據(jù)樣本，通過上述模型將樣本內(nèi)的數(shù)據(jù)劃分至類Lj內(nèi)，

在RLjY>RLiY條件下，

1≤i，j≤m，i≠j。根據(jù)貝葉斯理論，如式（2）。

RLjY=RYLj

R（Lj）R（Y）（2）

1.3.2貝葉斯分類模型優(yōu)化

樸素貝葉斯分類檢測模型內(nèi)，特征差異對(duì)于分類結(jié)果不產(chǎn)生影響。但在實(shí)際分類應(yīng)用過程中，不同特征對(duì)于分類結(jié)果產(chǎn)生的作用是有所差異的[13]。基于此，需要優(yōu)化樸素貝葉斯分類檢測模型，利用卡方檢驗(yàn)法確定不同分類特征對(duì)分類結(jié)果產(chǎn)生的不同作用[14]，由此獲取某問題的重要特征，利用該特征降低用戶行為日志數(shù)據(jù)分類難度。通過優(yōu)化后的分類檢測模型既能夠確保特征數(shù)據(jù)的正確獲取（分類結(jié)果準(zhǔn)確性）又能夠降低數(shù)據(jù)分類難度，提升網(wǎng)絡(luò)入侵行為檢測效率。

特征對(duì)于分類的關(guān)鍵度可通過特征權(quán)值描述，特征權(quán)值定義，如式（3）。

ej=CH（Bj）∑nj=1CH（Bj）（3）

式中，CH所表示的是關(guān)鍵度基數(shù)，表示第j個(gè)特征數(shù)量的特征向量。

在樸素貝葉斯分類檢測模型內(nèi)引入特征權(quán)值進(jìn)行優(yōu)化后，檢測模型未知樣本的后驗(yàn)概率可計(jì)算過程描述，如式（4）。

RLjB1，B2，…Bn=R（Lj）∏nn=1enr

（BnLj）∑mi=1R（Lj）∏nn=1enr（BnLj）（4）

式中，R（Lj）∏nn=1enr（BnLj）表示對(duì)Lj類樣本存在概率

r（BnLj）的最大化處理。

∑mi=1R（Lj）∏nn=1enr（BnLj）

表示在假定類概率為等概率的條件下，對(duì)r（BnLj）的最大化處理。

針對(duì)給定的未知用戶行為日志數(shù)據(jù)樣本，∑mi=1R（Lj）∏nn=1en

r（BnLj）通常為常數(shù)，由于y=lnx函數(shù)為單調(diào)遞增函數(shù)[15]，因此分類未知用戶行為日志數(shù)據(jù)樣本時(shí)僅需對(duì)比lnR（Lj）∏nn=1enr（BnLj）即可。

優(yōu)化后的樸素貝葉斯分類檢測模型實(shí)現(xiàn)網(wǎng)絡(luò)入侵行為檢測的過程如下：

（1）計(jì)算各訓(xùn)練樣本中的不同特征，清除用戶行為日志數(shù)據(jù)內(nèi)冗余特征，獲取新的特征集合。利用式（3）確定分類特征權(quán)值，由此定性、定量的判斷不同特征對(duì)于數(shù)據(jù)分類的影響。

（2）評(píng)估Rj=R（Lj）描述所屬Lj類的樣本在特征集合中存在的概率。

（3）評(píng)估用戶行為日志數(shù)據(jù)集合內(nèi)各屬性B的各取值Bi在Lj類樣本內(nèi)存在的概率R（BiLj）。

（4）通過式（5）實(shí)現(xiàn)類別劃分，如式（5）。

Lnb=argmaxlnR（Lj）∏nj=1ejr（BjLj）

（5）

通過上述分類過程即可達(dá)到網(wǎng)絡(luò)入侵行為檢測目的。

2實(shí)驗(yàn)分析

2.1實(shí)驗(yàn)環(huán)境

實(shí)驗(yàn)為測試本文提出的基于貝葉斯分類算法的網(wǎng)絡(luò)入侵行為檢測方法性能優(yōu)勢，選取2011年深圳舉辦的第十五屆亞太知識(shí)發(fā)現(xiàn)與數(shù)據(jù)挖掘國際會(huì)議中檢測網(wǎng)絡(luò)入侵檢測系統(tǒng)性能過程中所使用的相關(guān)數(shù)據(jù)集為實(shí)驗(yàn)用數(shù)據(jù)集。該數(shù)據(jù)集內(nèi)各數(shù)據(jù)中均包含如持續(xù)時(shí)間與協(xié)議類型等不同的39個(gè)特征，并對(duì)全部數(shù)據(jù)進(jìn)行正確類型（是否為入侵行為）劃分。在該數(shù)據(jù)中隨機(jī)選取十萬條數(shù)據(jù)作為實(shí)驗(yàn)用訓(xùn)練集，并選取九萬條數(shù)據(jù)作為隨機(jī)生成5個(gè)測試集，所選數(shù)據(jù)中入侵行為劃分，如表1所示。

各測試集內(nèi)網(wǎng)絡(luò)入侵行為數(shù)據(jù)信息情況，如表2所示。

2.2實(shí)驗(yàn)結(jié)果

分別采用本文方法、基于模糊邏輯的檢測方法和基于支持向量機(jī)的檢測方法對(duì)上述三個(gè)測試集中的數(shù)據(jù)實(shí)施網(wǎng)絡(luò)入侵行為檢測，如表3—表5所示。

由表3、表4和表5可得，本文方法檢測三個(gè)測試集得到的檢測結(jié)果準(zhǔn)確度基本控制在97%以上，兩種對(duì)比方法檢測結(jié)果準(zhǔn)確度均顯著低于本文方法，由此可知本文方法在網(wǎng)絡(luò)入侵行為檢測過程中具有較高的檢測精度。

各測試集檢測過程中花費(fèi)的時(shí)間，如圖3所示。

分析圖3能夠得到，采用本文方法檢測三個(gè)測試集花費(fèi)的平均時(shí)間均控制在11s左右，與兩種對(duì)比方法相比降低4s以上，由此可知本文方法具有較高的檢測效率。

3總結(jié)

網(wǎng)絡(luò)入侵檢測技術(shù)隨著計(jì)算機(jī)技術(shù)的發(fā)展與普遍使用受到越來越多的關(guān)注。本文針對(duì)以往基于支持向量機(jī)等的機(jī)器學(xué)習(xí)算法的檢測方法檢測效率與檢測精度無法滿足當(dāng)前網(wǎng)絡(luò)入侵行為檢測需求的問題，提出基于貝葉斯分類算法的網(wǎng)絡(luò)入侵行為檢測方法，實(shí)驗(yàn)結(jié)果顯示本文方法的檢測精度與檢測效率均優(yōu)于對(duì)比方法。

參考文獻(xiàn)

[1]陳惠娟，馮月春，趙雪青.利用SSO的自適應(yīng)黑名單分組過濾器網(wǎng)絡(luò)入侵檢測方法[J].控制工程，2018，25（10）：19401945.

[2]劉強(qiáng)，蔡志平，殷建平，等.網(wǎng)絡(luò)安全檢測框架與方法研究[J].計(jì)算機(jī)工程與科學(xué)，2017，39（12）：22242229.

[3]夏景明，李沖，談玲，等.改進(jìn)的隨機(jī)森林分類器網(wǎng)絡(luò)入侵檢測方法[J].計(jì)算機(jī)工程與設(shè)計(jì)，2019，40（08）：21462150.

[4]鄧帥.基于改進(jìn)貝葉斯優(yōu)化算法的CNN超參數(shù)優(yōu)化方法[J].計(jì)算機(jī)應(yīng)用研究，2019，36（7）：19841987.

[5]梁瀟，王海峰，郭進(jìn)，等.基于貝葉斯網(wǎng)絡(luò)的列控車載設(shè)備故障診斷方法[J].鐵道學(xué)報(bào)，2017，39（8）：93100.

[6]劉浩然，孫美婷，王海羽，等.基于分類優(yōu)化貝葉斯結(jié)構(gòu)算法的篦冷機(jī)參數(shù)狀態(tài)分析及其算法收斂性分析[J].計(jì)量學(xué)報(bào)，2019，40（4）：662669.

[7]RifaiChai，GaneshRNaik，TuanNghiaNguyen，etal.DriverFatigueClassificationWithIndependentComponentbyEntropyRateBoundMinimizationAnalysisinanEEGBasedSystem[J].IEEEJournalofBiomedical&HealthInformatics，2017，21（3）：715724.

[8]劉彬，范瑞星，劉浩然，等.基于混合樽海鞘差分進(jìn)化算法的貝葉斯網(wǎng)絡(luò)結(jié)構(gòu)學(xué)習(xí)算法[J].通信學(xué)報(bào)，2019，40（7）：151161.

[9]BrankovicA，F(xiàn)alsoneA，PrandiniM，etal.AFeatureSelectionandClassificationAlgorithmBasedonRandomizedExtractionofModelPopulations[J].IEEETransactionsonCybernetics，2018，48（4）：11511162.

[10]王洋，吳建英，黃金壘，等.基于貝葉斯攻擊圖的網(wǎng)絡(luò)入侵意圖識(shí)別方法[J].計(jì)算機(jī)工程與應(yīng)用，2019，55（22）：7379.

[11]魏照坤，謝新連，潘偉，等.基于樸素貝葉斯算法的船舶異常行為監(jiān)測[J].交通運(yùn)輸系統(tǒng)工程與信息，2017，17（6）：147154.

[12]李海玲，張昊.卷積邊界擴(kuò)展研究與實(shí)現(xiàn)[J].微型電腦應(yīng)用，2018，34（10）：4749.

[13]石樂義，朱紅強(qiáng)，劉祎豪，等.基于相關(guān)信息熵和CNNBiLSTM的工業(yè)控制系統(tǒng)入侵檢測[J].計(jì)算機(jī)研究與發(fā)展，2019，56（11）：23302338.

[14]郭雷.遠(yuǎn)程網(wǎng)絡(luò)校準(zhǔn)測控系統(tǒng)設(shè)計(jì)[J].微型電腦應(yīng)用，2018，34（7）：4345.

[15]X.Geng，Q.Li，D.Ye，etal.Intrusiondetectionalgorithmbasedonroughweightilyaveragedonedependenceestimators[J].JournalofNanjingUniversityofScience&Technology，2017，41（4）：420427.

（收稿日期：2020.04.07）