PCA和KNN特征選取的網絡入侵檢測

周穎

如今人們的生活越來越離不開網絡，網絡安全的重要性日益凸顯，而網絡入侵檢測是網絡安全的重中之重，已經成為許多現代網絡應用的重要安全工具。入侵檢測系統入侵檢測系統的任務是識別、分類，并對惡意的、可疑的或偏離公認標準的活動做出反應，入侵檢測系統包含特征選擇和訓練樣本兩個模塊。有效的特征選擇（Feature Selection，FS）可為入侵檢測從海量數據中篩除大量的噪聲，選出有效的關鍵特征，在訓練樣本中使用不同的算法對于不同量級的數據集會有顯著差異。為了提高入侵檢測系統的性能，采用PCA和KNN算法進行特征選擇，在KDD-CPU99入侵檢測的大量實驗結果表明，KNN算法表現優異，可提高入侵檢測系統的準確性、降低誤報率。

網絡級的入侵檢測可以分為數據包的捕獲、預處理以及對數據包進行攻擊檢測的過程。系統通過分析網絡流量或系統審計紀錄等，來發現網絡或系統中是否有違反安全策略的攻擊行為，以便系統管理員采取有效的措施。因系統要對網絡中的海量數據進行分析，必然會影響系統處理的實時性，降低了系統的檢測速度，影響系統的檢測效果，因此在保證檢測準確率的前提下，如何提高入侵檢測速度成為當前研究熱點。

特征選擇是有效檢測的重要技術之一，FS的重要性可以從兩方面來看：第一個方面是濾除噪聲，消除無關和冗余特征，由于數據集中有大量嘈雜、不相關或誤導性的特征，FS是強制性的；另一方面，FS可以被認為是一個優化問題，其特征的最優子集可更好地滿足期望。可以使用某些評估標準來衡量FS優化的質量，由于FS是一個難題，所以目前沒有完全適用的方法來找到它的最佳特征子集。

針對入侵檢測的特征選擇，研究人員已經做了大量的研究工作，有人提出了基于粒子群優化（Partical Swarm Optimization， PSO）算法的入侵檢測特征選擇方法；有人對網絡數據的特征選擇采用基于距離準則的適應度函數指導PSO的方法，此方法提高了分類算法質量；有人將PSO算法與免疫思想相結合應用于特征選擇，在一定程度上提高了PSO算法的收斂速度；有人提出基于量子粒子群優化（Quantum Partical Swarm Optimization， QPSO）的入侵特征選擇方法，實現網絡入侵特征子集的優化選擇，主要依靠QPSO算法有較好的全局尋優能力；有人提出基于KNN算法及禁忌搜索算法的特征選擇方法在入侵檢測中的應用研究；有人分別將入侵檢測中的特征選擇問題看作多目標優化問題來處理，該方法在顯著提高檢測算法效率的同時，檢測精度也得到提高；有人提出的入侵檢測特征選擇算法是基于遺傳算法的，算法在保證特征分類精度和確保入侵檢測漏檢率、誤檢率盡量小的前提下明顯提高了入侵檢測的效率。但以上特征選擇算法均存在容易陷入局部最優、迭代后期收斂速度慢的缺陷。

KDD-CPU99入侵檢測方法采用蟻群優化算法和分類器來選擇識別新入侵的重要特征，解決了入侵檢測問題領域的降維問題。實驗是在NSL-KDD數據集上進行和確定的，該方法從41個特征中選擇了24個，準確率為98.9 %，誤報率為2.59 %。結果表明該模型對入侵檢測系統是有效的。

參考以上可以得出結論，一些特征在入侵檢測中非常重要，此外證明，沒有單一的通用分類器能夠對所有攻擊類型進行分類。相反，在某些情況下，特定的分類器比其他分類器性能更好。因此，這些工作促進了入侵檢測模型采用多分類器集成和融合，所以KDD-CPU99數據集作為入侵檢測模型的樣本數據，并選擇BP神經網絡等常用入侵檢測方法進行性能對比分析，是兩種特征選擇與分類器融合選擇中的較優模型。

KDD-CPU99數據集是在入侵檢測領域中廣泛使用的數據集，主要分為訓練數據集和測試數據集兩部分。該數據集提供了從一個模擬美國空軍局域網上采集的9個星期的網絡連接數據，其中訓練數據集包含了7個星期的大約500萬條連接記錄，測試數據集包含了2個星期的大約200萬條連接記錄，其中每個記錄包含41個特征。

由于KDD-CPU99數據集規模比較大，在普通的筆記本電腦上運行計算耗時過長，為此，選擇KDD官方網站提供的抽取10%的數據集（kddcup.testdata.unlabeled_10_percent.csv）和測試子集（corrected）進行仿真實驗。實驗運行的機器環境如下：Intel酷睿i5-10210U處理器，1.6 GHz基礎頻率，睿頻4.2 GHz，運算性能為4核8線程。

神經網絡訓練結果為Instructions for updating：this property should not be used in TensorFlow 2.0， as updates are applied automatically.0.0008896411208646513 0.99004745。其中Epoch代表迭代次數，在第9層神經網絡中已經達到丟失數據率為0.21 %，準確率達到97.56 %。

KNN訓練后準確率達到了100 %，宏平均是對每個類別的精準、召回和F1加和求平均，達到了70 %。

從以上實驗可以發現，使用PCA進行特征選擇和BP神經網絡訓練樣本進行預測，與使用KNN進行特征選擇與樣本預測均在KDD官方網站提供的抽取10 %的數據集上有良好的表現。KNN的表現較為優秀，可能由于實驗采用的數據集僅抽取了KDDcup99數據集中的一小部分，而通過以往的文獻可知，KNN在數據集較小時表現更為優異，神經網絡在大數據集下表現更為突出。

在網絡入侵檢測建模過程中，特征和訓練樣本的選擇對于網絡檢測效果具有重要的影響。為此，在小數據集的情況下，對比基于TensorFflow平臺的BP神經網絡和PCA特征選取與KNN分類器組合的網絡入侵檢測模型，實驗結果表明，PCA-KNN提高了入侵檢測的正確率，宏平均達到了70%，證明了該方法的有效性和可行性。