基于堆疊稀疏去噪自編碼器的混合入侵檢測方法

摘要：針對高維數據場景下傳統入侵檢測方法特征提取困難、檢測準確率低等問題，提出一種集成多種深度學習模型的混合入侵檢測方法．該方法由特征降維算法和混合檢測模型２部分組成．首先，利用堆疊稀疏去噪自編碼器對原始數據進行特征降維，從而剔除可能存在的噪聲干擾和冗余信息．然后，采用一維卷積神經網絡和雙向門控循環單元學習數據中的空間維度特征和時序維度特征，將融合后的空時特征通過注意力分配不同的權重系數，從而使有用的信息得到更好表達，再經由全連接層訓練后進行分類．為檢驗方案的可行性，在ＵＮＳＷ-ＮＢ１５數據集上進行驗證．結果表明，該模型與其他同類型入侵檢測算法相比，擁有更優秀的檢測性能，其準確率達到９９．５７％，誤報率僅為０．６８％．

關鍵詞：異常檢測；注意力機制；堆疊稀疏去噪自編碼器；一維卷積神經網絡；雙向門控循環單元

中圖分類號：ＴＰ３０９．５ 文獻標志碼：Ａ 文章編號：１００１-８３９５（２０２４）０４-０５１７-１１

ｄｏｉ：１０．３９６９／ｊ．ｉｓｓｎ．１００１-８３９５．２０２４．０４．００９

隨著時代的進步，物聯網的發展異常迅速，已逐漸開始在現代生活中扮演著不可或缺的重要角色，尤其是在智能家居和工業等多個領域都得到了快速的發展．然而，隨著物聯網的規模、應用和基礎設施的大規模增加，也使其面臨著各種嚴重的威脅，如網絡入侵和惡意破壞等．因此，如何有效地防范那些由物聯網發展而衍生的一系列安全問題已成為了一個需要重點關注的熱門課題．

在針對物聯網的諸多防護手段中，入侵檢測系統可以協助管理人員更為有效地檢測攻擊，并提前發現威脅，這使其入侵檢測系統在物聯網安全領域起著至關重要的作用．現有的入侵檢測方法普遍基于傳統的機器學習模型，如樸素貝葉斯、決策樹、Ｋ最近鄰及支持向量機等［１］，它們皆取得了較好的成績．Ｆａｒｉｄ等［２］提出了一種基于樸素貝葉斯和決策樹的入侵檢測算法，通過消除訓練數據中的噪聲與冗余屬性，以提升對不同類型的網絡入侵攻擊的檢測率．Ｔｉａｎ等［３］提出了一種將機器學習模型與神經網絡聯合運用的集成方法，使用基于深度自編碼器的無監督學習來進行特征維度的收斂，然后結合人工蜂群算法與支持向量機（ＳＶＭ）來進行惡意流量的檢測分類，其準確率在ＵＮＳＷＮＢ１５數據集中達到了８９．６２％．此類基于機器學習的方法雖能較好地識別出入侵惡意行為，但嚴重依賴人工特征提取．面對高維數據時，由于網絡流量大、維度高和結構復雜等特點，傳統的機器學習方法計算復雜度有限，這使得它在處理大數據集中復雜的非線性關系時存在著性能不足等問題．

近些年來，深度學習隨著計算機算力的不斷提高在各個領域中皆取得了顯著的成效，同樣也被廣泛運用于入侵檢測領域當中．深度學習通過學習樣本數據的內在規律和表示層次，構建由多個隱藏層組成的網絡結構，以適應更高維的學習過程，這使得它相比機器學習而言，能夠更高效地在特征工程處理階段提取到有用的特征信息，從而節省模型的收斂時間，并彌補其高維數據場景下性能局限的不足［４］．

入侵檢測領域常用的深度學習算法主要包括自動編碼器（ＡＥ）［５］、卷積神經網絡（ＣＮＮ）［６］、循環神經網絡（ＲＮＮ）［７］及其在此基礎上改進的諸多經典模型（例如長短期記憶模型（ＬＳＴＭ）和門控循環單元模型（ＧＲＵ）等）．Ｌｉｎ等［８］提出了一種基于雙向長短期記憶模型和稀疏自編碼器相結合的入侵檢測模型，將堆疊稀疏自編碼器用于特征降維，再采用貪心逐層策略尋找一組最優超參數，并將降維后的數據傳入ＬＳＴＭ中進行分類，在ＵＮＳＷＮＢ１５數據集上展現出了較好的效果，準確率達到９８．１７％．Ｓｕｎ等［９］采用變分自動編碼器（ＶＡＥ）的思想來實現特征降維，以提取比手動設置特征更高級的特征．該方法在Ｍｎｉｓｔ數據集和ＵＣＳＤ行人數據集上顯示出良好的性能．Ｌｉｕ等［１０］將入侵行為視為時間序列相關問題，并提出了一種基于雙向門控循環單元（ＢｉＧＲＵ）和多層注意力機制相結合的入侵檢測模型．該模型在數據集ＵＳＮＷＮＢ１５上進行了實驗驗證，準確率達到了９８．７６％，誤報率僅為１．２％．上述基于深度學習的方案雖然相比機器學習的方法而言在入侵檢測技術上取得了長足的進步，但仍存在一些問題有待解決，例如基于ＣＮＮ的檢測方案沒有考慮網絡流量的時序維度相關特性，而基于ＲＮＮ改進的諸多檢測方案沒有考慮數據的空間維度的相關特性，這類單模型方案進行檢測時，信息往往考慮不夠周全，原始數據信息的挖掘不足往往會間接導致其檢測性能的下降．

因此，綜合上述研究的不足，針對高維數據場景下傳統入侵檢測方法特征提取困難和檢測準確率低等問題，本文基于深度學習相關理論提出了一種將稀疏去噪自編碼器、一維卷積神經網絡、雙向門控循環單元網絡和注意力機制有效結合的混合入侵檢測方法，以期在物聯網異常流量檢測方面取得更好的檢測效果和準確率．

１ 本文方法

本節主要介紹提出模型的具體工作流程部分，該模型主要由２個部分組成，如圖１所示．

第一部分：特征降維算法．將堆疊稀疏去噪自編碼器（ｓｔａｃｋｅｄｓｐａｒｓｅｄｅｎｏｉｓｉｎｇａｕｔｏｅｎｃｏｄｅｒ，ＳＳＤＡＥ）用于對原始數據進行非線性降維，獲取更優的特征子集．

第二部分：混合入侵檢測模型．利用１ＤＣＮＮ和ＢｉＧＲＵ構建能夠同時學習空間特征和時間特征的混合檢測模型（１ＤＣＧ），并將融合的空時特征經由注意力機制處理后輸入全連接層中訓練，最后使用Ｓｉｇｍｏｉｄ激活函數對惡意流量進行識別與分類．

１．１ 特征降維算法

１．１．１ 稀疏自編碼器

由于基礎自編碼器在特征提取的過程中并不能簡單明了地提取出原始信息的內部特征，于是Ｏｌｓｈａｕｓｅｎ等［１１］提出了稀疏自編碼器的概念，通過利用稀疏性給隱藏單元添加限制的特性，使改進的自編碼器在稀疏約束的條件下能夠在極大減少計算量的同時獲取到低維且深層次的數據特征，從而使優化后的特征子集能夠更好地表達輸入數據［１２］．對于一組未標記的訓練實例｛Ｘｉ｜Ｘｉ∈Ｒ，ｉ＝１，２，…，ｍ｝，如果用ｎｊ表示隱藏神經元ｊ的激活狀態，則可用ｎｊ（ｘｉ）來表示Ｘｉ時隱藏層神經元ｊ的激活狀態，那么隱藏層神經元ｊ的平均稀疏激活值ρｊ ︿ ［１３］為

稀疏自編碼器（ｓｐａｒｓｅａｕｔｏｅｎｃｏｄｅｒ，ＳＡＥ）為實現稀疏表達，編碼器通過對隱層神經元輸出的平均激活值ρｊ ︿進行約束，使用了比ＭＳＥ更準確的Ｋｕｌｌ-ｂａｃｋ-Ｌｅｉｂｌｅｒ（ＫＬ）散度用作其懲罰項添加到損失函數中，ＳＡＥ的損失函數為

此時，ＳＡＥ的誤差函數由均方誤差項及正則化項共同組成，即

其中，ｍ是隱藏單元的數量，ｕ是控制稀疏項強度的權重因子．

１．１．２ 稀疏去噪自編碼器

Ｖｉｎｃｅｎｔ等［１４］于２００８年提出了去噪自編碼器（ｄｅｎｏｉｓｉｎｇｓｐａｒｓｅａｕｔｏｅｎｃｏｄｅｒ，ＤＡＥ）的概念，ＤＡＥ與傳統自編碼器最大的區別在于通過對輸入數據進行額外的加噪處理，使得ＤＡＥ提取到的特征信息能夠具備更強的魯棒性，從而降低訓練過程中過擬合的風險以及提升模型的泛化能力．

ＤＡＥ算法流程如圖２所示，原始數據ｘ通過加噪處理后得到有噪聲干擾的輸入，然后使用編碼函數ｆ提取干擾輸入珓ｘ的特征表達ｙ，再利用解碼函數ｇ將特征表達ｙ映射為輸出ｚ，最后重構誤差由損失函數來表示．

ＤＡＥ的損失函數［１５］為

本文在ＤＡＥ的基礎上引入了ＳＡＥ特有的稀疏約束系數，從而使改進后的稀疏去噪自編碼器（ｓｐａｒｓｅｄｅｎｏｉｓｉｎｇａｕｔｏｅｎｃｏｄｅｒ，ＳＤＡＥ）在獲取到更優泛化能力與魯棒性的同時，能夠利用其稀疏性提升其數據特征提取的能力．ＳＤＡＥ的損失函數為（５）式所示．

１．１．３ 基于堆疊稀疏去噪自編碼器的特征降維算法

堆疊稀疏去噪自編碼器（ｓｔａｃｋｅｄｓｐａｒｓｅｄｅｎｏｉｓｉｎｇａｕｔｏｅｎｃｏｄｅｒ，ＳＳＤＡＥ）是由多個ＳＤＡＥ組合而成的神經網絡．ＳＳＤＡＥ的數據傳輸方式是上一層的隱藏層輸出作為下一層的輸入．ＳＤＡＥ的最終輸出是輸入層數據經由多個隱藏層逐層訓練并進行信息壓縮之后得到的最優特征子集，ＳＳＤＡＥ的結構如圖３所示．

訓練一個效果良好的ＳＳＤＡＥ主要包括２個部分，分別是預訓練模型部分和參數微調部分．

１）預訓練模型部分．ＳＳＤＡＥ模型預訓練階段的工作流程如圖４所示．該階段采用逐層貪婪算法［１６］對每個ＳＤＡＥ層進行訓練．若模型中有多個ＳＤＡＥ，則按照每個ＳＤＡＥ中的隱藏層神經元數目的多少進行降序排列，并按照由大到小的順序進行遞進式的逐層訓練．例如，當第一個ＳＤＡＥ訓練完成后，就會將當前ＳＤＡＥ隱藏層輸出的特征映射信息作為下一個未訓練的ＳＤＡＥ的輸入并開始訓練新的ＳＤＡＥ，以此邏輯類推，當ｎ個ＳＤＡＥ依次訓練完成之后，將會得到整個ＳＳＤＡＥ網絡經過訓練更新迭代后的權重矩陣系數Ｗ、偏置項系數ｂ以及降至理想閾值范圍內的誤差損失函數值．當預訓練完成之后，ＳＳＤＡＥ將輸出一個壓縮至低維的特征優化子集．該階段的具體步驟如下．

步驟１ 將經由數據預處理后的輸入信號送入ＳＳＤＡＥ模型中進行降維處理，并將權重矩陣Ｗ和偏置項ｂ進行初始化處理．

步驟２ 設置每層ＳＤＡＥ的初始化參數（例如，ｅｐｏｃｈ、稀疏懲罰項ρ和學習率Ａｄａｍ等）．

步驟３ 假設輸入樣本集為Ｘ＝（ｘ１，ｘ２，ｘ３，…，ｘｎ），通過對輸入樣本集Ｘ進行編碼運算，從而獲取到隱藏層的特征收斂信息，及隱藏層特征壓縮后的輸入表示向量Ｋ＝（ｋ１，ｋ２，ｋ３，…，ｋｎ）．該步驟的計算過程為：

其中，ｌ表示ＳＳＤＡＥ模型中隱藏層的當前層數，ｊ表示隱藏層設置的神經元個數，ｉ表示ＳＳＤＡＥ模型中當前訓練層數的上一層隱藏層神經元個數，Ｗ與ｂ分別表示為每層隱藏層中的特征權重系數與偏置項系數，ｆ表示激活函數．

步驟４ 采用無監督學習的方式訓練每層ＳＤＡＥ，并利用前向傳播計算出平均激活函數ρ︿ 和重構誤差的損失函數ＪＳＤＡＥ，其具體的計算方式如（５）式所示．

步驟５ 在每個ｅｐｏｃｈ中采用Ａｄａｍ優化器與ＢＰ優化算法［１７］對ＳＳＤＡＥ隱藏層各層中的特征權重系數Ｗ與偏置項ｂ進行不斷地更新與迭代，直到輸出樣本的隱藏表征信息與輸出之間的重構誤差收斂至最小，便可以獲得預訓練階段最終的｛Ｗ，ｂ｝．特征權重系數Ｗ與偏置項ｂ的損失誤差函數偏導運算過程為：

其中，Ｘ（Ｃ）表示第Ｃ個輸出向量，Ｙ（Ｃ）為第Ｃ個輸入向量對應的重構誤差向量．Ｗ與ｂ的更新迭代過程為：

步驟６ 將上一層的ＳＤＡＥ隱藏層訓練結果作為下一層級ＳＤＡＥ的輸入，并采用層疊式的貪婪學習算法不斷重復上述步驟，直到所有ＳＤＡＥ訓練完成．隨著Ｗ與ｂ不斷迭代調優，輸入輸出之間的重構誤差函數變得越來越小，從而使得ＳＳＤＡＥ模型得到優化．

步驟７ 輸入向量經由ＳＳＤＡＥ模型層層過濾后，輸出為壓縮至低維空間的特征優化子集．

２）參數微調部分．對ＳＳＤＡＥ模型進行預訓練處理之后雖得到了低維的特征表示向量，但此時仍無法準確獲取到原始數據與輸出樣本標簽之間的非線性映射，這是因為預訓練后更新的Ｗ與ｂ僅為各個單層ＳＤＡＥ的局部最優參數，并不能作為整個ＳＳＤＡＥ網絡模型的最優解使用，否則容易陷入局部最優的窘境．因此，需要在ＳＳＤＡＥ模型的末端級聯分類器對整個深度模型進行局部參數微調，并采用ＢＰ優化算法訓練分類器模型的損失函數尋求最優效果的ＳＳＤＡＥ超參數．經過上述２個步驟后，最終輸出的結果則為最優的ＳＳＤＡＥ模型．微調階段的步驟如下．

步驟１ 通過連接每個ＳＤＡＥ訓練的隱藏層構建整個ＳＳＤＡＥ，并將權重矩陣Ｗ和偏置項ｂ設置為預訓練階段獲得的值．

步驟２ 同預訓練階段一樣，設置初始化超參數配置．

步驟３ 將分類器添加至ＳＳＤＡＥ網絡的最末端，并采用有監督學習的策略來進行標簽分類．

步驟４ 采用上一階段中所提及到的ＢＰ優化算法基于反向傳播的策略對ＳＳＤＡＥ網絡進行模型結構的優化與局部參數的微調，當輸入輸出之間的重構誤差達到理想閾值時，即可確定最終的ＳＳＤＡＥ網絡結構與參數配置．在整個參數微調的過程中，模型能夠通過參數共享的特性有效地避免陷入局部最優的窘境．ＳＳＤＡＥ模型能夠根據實際需求適宜地擴大其參數空間，特別是在輸入受限時，可以有效改善模型性能．

ＳＳＤＡＥ特征降維算法的具體實現流程如表１所示．

１．２ １ＤＣＧ入侵檢測模型

１．２．１ 卷積神經網絡（ＣＮＮ）

ＣＮＮ是一種具有深度結構且包含大量卷積計算的前饋神經網絡，由于它在各領域中突出的表現，已成為了深度學習中比較經典且常用的代表算法之一［１８］．它能夠通過權值共享的方法提升模型的收斂效率，并能有效地減少模型中需要訓練的參數．一個完整的卷積神經網絡通常由輸入層、卷積層、池化層、全連接層和輸出層組成［１９］．

１．２．２ 雙向門控循環單元（ＢｉＧＲＵ）

ＧＲＵ是循環神經網絡（ＲＮＮ）的改良變種，在處理時間序列任務時有著出色的表現．而ＢｉＧＲＵ神經網絡則是由２個ＧＲＵ神經網絡疊加組成，原理是從正反２個方向利用ＧＲＵ對數據進行建模，然后再將處理信息拼接在一起，其優點在于可以避免ＧＲＵ因模型結構導致的梯度消失和爆炸等問題［２０］．

１．２．３ 注意力機

注意力機制的產生受到人類行為的啟發．在某種程度上，當人類主要關注圖像的特定局部區域或一個句子中的特殊單詞時，人類的注意力就產生了作用［２１］．注意機制有助于充分利用有限的資源，它不是一種具體的方法，而是一種包含尋址和計算２個重要組成部分的思維方式．注意力層包含一個特征向量，其中向量中的每個值都包含對應特征的權重信息，通過加權求和，然后根據各個特征的權重指數將重要特征篩選出來，具體定義如下：

其中，ｘ′是表示融合空時特征的特征表示向量，ａ代表注意力的查詢向量，Ｗａ與ｂａ分別表示特征系數的權重和偏置項，ａｉ是通過激活函數Ｓｏｆｔｍａｘ計算求得的Ｍ概率分布．最后，以ａｉ的值作為參考與權重指標，與ｘ′進行運算并求得一個更能夠體現各個特征重要程度的輸出向量ω．注意力機制能夠幫助模型進一步剔除掉不必要的冗余特征．因此，一定程度上提升了檢測模型的性能．

１．２．４ １ＤＣＧ混合檢測模型

完成數據降維后，需要對惡意攻擊流量進行正常流量和入侵攻擊流量的區分．本文采用一種集合空時特征和注意力機制的混合入侵檢測模型１ＤＣＧ，通過使用１ＤＣＮＮ學習輸入信號中空間維度的相關特征，以及通過ＢｉＧＲＵ學習到時間維度的相關特征，然后采用注意力機制Ａｔｔｅｎｔｉｏｎ對學習到的空時特征信息進行進一步的融合以及重要性加權計算，最后利用激活函數Ｓｉｇｍｏｉｄ進行檢測分類．模型的具體流程如圖５所示，其訓練步驟如下．

步驟１ 利用１ＤＣＮＮ從每個數據中學習到空間層面的特征．從圖５可以看出，在第一階段空間特征學習的過程中使用到了一維ＣＮＮ層、ＢＮ層、池化層以及平鋪層．

步驟２ 利用ＢｉＧＲＵ學習多個特征向量之間關于時間層面特征的序列特性．選擇這種排序方式的原因在于其模型能夠更好地模仿粗粒度到細粒度學習的使用，且雙向ＧＲＵ的設計能夠使其內核在每次迭代的過程中大小翻倍，以更好地理解第一個１ＤＣＮＮ層學習到的空間維度相關特征信息，從而為模型提供更關鍵和詳細的特征和更短的訓練時間．

步驟３ 通過注意力機制進行特征提取，選擇重要的信息．

步驟４ 將計算加權后的特征信息結果輸入全連接層中進行訓練．

步驟５ 利用激活函數Ｓｉｇｍｏｉｄ進行檢測分類．

本文模型１ＤＣＧ入侵檢測部分的具體實現流程如表２和圖５所示．

２ 實驗結果與分析

為評估提出的異常流量檢測分類方法的有效性，下面進行實驗驗證，其內容主要包括實驗環境介紹、數據集描述、評價指標和實驗結果對比等４個部分．

２．１ 實驗環境介紹

硬件環境：操作系統采用Ｗｉｎｄｏｗｓ１０，ＣＰＵ為ＡＭＤ-Ｒ７-４８００Ｈ，內存大小為１６Ｇ，ＧＰＵ為ＧＴＸ-１６５０．

軟件環境：Ｐｙｔｈｏｎ３．７、ｋｅａｒｓ學習框架和Ｓｃｉｋｉｔ-ｌｅａｒｎ庫．

２．２ 數據集

為了評估提出的異常流量檢測方法，本文采用ＵＮＳＷ-ＮＢ１５［２２］進行檢驗．ＵＮＳＷ＿ＮＢ１５是澳大利亞網絡安全中心（ＡＣＣＳ）的研發團隊為解決ＫＤＤ-Ｃｕｐ９９和ＮＳＬ-ＫＤＤ數據集中的數據冗余問題于２０１５年創建的入侵檢測公共數據集［２３］，相比前者而言，它更貼近真實網絡環境中的惡意流量數據，因此更適合研究人員進行入侵檢測相關的研究．ＵＮＳＷ-ＮＢ１５在訓練和測試數據集中均包含有網絡中常見的各類攻擊．如表３所示，訓練數據集中的流量數據條數為１７５３４３條，測試數據集中有８２３３２條流量數據．ＵＮＳＷ-ＮＢ１５數據集中包含有正常流量和９種類別的攻擊流量，它們分別是Ｂａｃｋｄｏｏｒ、Ａｎａｌｙｓｉｓ、Ｆｕｚｚｅｒｓ、Ｓｈｅｌｌｃｏｄｅ、Ｒｅｃｏｎｎａｉｓｓａｎｃｅ、Ｅｘｐｌｏｉｔｓ、Ｄｏｓ、Ｗｏｒｍｓ和Ｇｅｎｅｒｉｃ．

２．３ 評估指標

本文通過計算混淆矩陣的真正例（ｔｒｕｅｐｏｓｉｔｉｖｅ，ＴＰ）、假正例（ｆａｌｓｅｐｏｓｉｔｉｖｅ，ＦＰ）、真反例（ｔｒｕｅｎｅｇａｔｉｖｅ，ＴＮ）、假反例（ｆａｌｓｅｎｅｇａｔｉｖｅ）獲取準確率（ａｃｃｕａｒｃｙ）、精確率（ｐｒｅｃｉｓｉｏｎ）、召回率（ｒｅｃａｌｌ）和誤報率（ｆａｌｓｅａｌａｒｍ，Ｆａｒ）等４個性能指標，并以此來評估分類器的效果優劣［２４］．其中，準確率代表被正確分類的樣本占樣本總數的比例，即

２．４ 模型參數設置

在用于特征降維的ＳＳＤＡＥ網絡中，設置了一個隱藏層結構為３層的堆疊稀疏去噪自編碼器，并將３個隱藏層的神經元系數分別配置為１１０、６４、３２，學習率設置為０．０１，優化器為Ａｄａｍ．稀疏懲罰系數設置為０．０６，并對輸入數據進行隨機噪聲干擾處理．

在１ＤＣＮＮ網絡中，設置有２層卷積層，神經元個數分別設置為１６和３２．卷積核大小皆設置為１，激活函數采用ＲｅＬＵ函數．在模型中添加了一個ＢＮ層，用于避免梯度爆炸與過擬合現象的發生．池化層大小設置為３，同樣用于避免訓練過程中出現過擬合現象．

在ＢｉＧＲＵ網絡中，使用了２層的ＢｉＧＲＵ，輸出的內核大小分別設置為２４和１２．激活函數采用Ｔａｎｈ，Ｄｒｏｐｏｕｔ設為０．１．

最后，將空間維度特征與時序維度特征送入注意力機制中，對每個特征的重要度進行權重計算與進一步融合，再將提取到的特征信息輸入全連接層中進行訓練．全連接層的大小設置為６．模型訓練過程采用交叉熵作為損失函數，學習率設為０．００１，使用的優化器為Ａｄａｍ．

２．５ 實驗結果分析

本節將對模型性能進行評估，從而驗證方案的可行性．

２．５．１ 特征降維算法對模型性能的影響

為驗證提出的降維模型的有效性，在本部分實驗中，特征降維方法分別采用不進行特征降維處理、基于堆疊自編碼器（ｓｔａｃｋｅｄａｕｔｏｅｎｃｏｄｅｒ，ＳＡＥ）的特征降維處理、基于堆疊稀疏編碼器（ｓｔａｃｋｅｄｓｐａｒｓｅａｕｔｏｅｎｃｏｄｅｒ，ＳＳＡＥ）的特征降維處理以及本文提出的堆疊稀疏去噪自編碼器（ＳＳＤＡＥ）的特征降維處理等４種方案進行對比實驗，再將其降維后的數據輸入到１ＤＣＧ模型中進行比較，實驗結果如表４所示．

從表４中可以看出，使用ＳＡＥ降維后的１ＤＣＧ在各個指標上均優于僅使用１ＤＣＧ模型進行檢測的情況，準確率達到了９８．３８％，提升了０．２２％．這表明原始數據通過ＳＡＥ提取到的低維信息在刪除冗余特征之后檢測率得到了一定提升，并沒有對后續檢測結果帶來負面影響，這證明基于堆疊自編碼的特征降維策略是有效的．在改進的堆疊自編碼降維模型中，ＳＳＡＥ＋１ＤＣＧ準確率達到了９９．４３％，準確率提升了１．０５％，這說明引入稀疏懲罰項之后的ＳＳＡＥ在進行特征降維的過程中能夠更為完整地保留原始數據中包含的深層次信息．引入噪聲干擾的ＳＳＤＡＥ模型相比ＳＳＡＥ而言，雖然準確率提升甚微，但誤報率卻下降了一半左右，這說明提取的信息具有更強的魯棒性與泛化能力，從而使模型能呈現出更優異的檢測性能．

２．５．２ 注意力機制對模型性能的影響

為評估注意力機制對模型性能的影響，本文使用ＳＳＤＡＥ對數據做特征降維處理之后，引入帶注意力機制的１ＤＣＧ和無注意機制的１ＤＣＧ模型中進行對比實驗，其結果如表５所示．

從表５中可以看出，引入注意力層的模型相較于沒引入注意力層的模型而言，其各項指標均有顯著提升．由此可證，注意力機制對提升模型的整體性能是有著正向積極作用的．

２．５．３ 本文方法與常用深度學習模型比較

為驗證檢測模型整體性能的優越性，將入侵檢測領域中常用的深度學習模型１ＤＣＮＮ、ＢｉＬＳＴＭ、ＢｉＧＲＵ和１ＤＣＮＮ＿ＢｉＬＳＴＭ經特征降維和添加注意力之后應用于ＵＮＳＷＮＢ１５數據集上與本文方法進行對比．各模型的準確率和損失率隨迭代次數變化的情況如圖６和圖７所示．

從圖６中可以看出，本文方法在訓練達到第５０輪時，逐漸優于其他方案．

從圖７中可以看出，幾個方案的損失收斂過程都比較平緩，其中本文提出方法在訓練達到第５０輪時，收斂效果逐漸好于其他方案．

表６所示為各個方案的性能指標對比，從結果中可以看出，融合了空時特征的混合模型在性能上總體優于單個檢測模型．其中，１ＤＣＮＮ級聯ＧＲＵ的效果又略好于ＬＳＴＭ，高出了０．３３％．故再次證明，本文提出方法是有價值的．

２．５．４ 本文方案與其他同類型的入侵檢測方案進行比較

將本文方案與同樣采用ＵＮＳＷＮＢ１５數據集的相關文獻模型進行了性能對比．文獻［８］提出了一種基于堆疊稀疏自編碼器和ＢｉＬＳＴＭ的入侵檢測模型，文獻［２５］提出了一種基于堆疊自編碼和引入注意力機制的ＢｉＧＲＵ相結合的混合入侵檢測模型，文獻［２６］提出了一種將堆疊稀疏自編碼器和ＢｉＳＲＵ的入侵檢測模型．

由表７中可以看出，本文各項指標均優于上述文獻模型．其主要原因主要包含２個方面．首先，本文提出的特征降維方案中為每個自編碼器添加了稀疏約束系數和隨機噪聲擾動，使得ＳＡＥ不僅可以從特征集中提取出特征間的復雜關系還可以提升訓練集對噪聲信號的魯棒性．因此，能夠在數據壓縮的同時更完整地保留原始數據中的信息．其次，上述文獻中的方法均采用了基于循環神經網絡的變種模型，例如ＬＳＴＭ和ＧＲＵ等．這些方案雖能很好地識別入侵檢測行為，但僅能學習時序相關特征，而本文方案引入１ＤＣＮＮ填補了模型在空間維度相關特征提取方面的不足，并在融合空時特征之后使用注意力機制再次強化特征提取的效果，故而呈現出較好的檢測性能．

３ 結束語

首先通過堆疊稀疏去噪自編碼器進行特征降維，以獲取更準確且魯棒性更強的特征子集；然后，利用１ＤＣＮＮ和ＢｉＧＲＵ網絡依次提取輸入數據的空時特征，并使用注意力機制對輸入的空時融合特征進行重要性加權計算；最后，經由模型訓練后通過Ｓｉｇｍｏｉｄ函數輸出分類結果．

通過實驗證明，本文方案可以在降低數據復雜度的基礎上，提高入侵檢測模型的檢測性能，并且在與其他同類型入侵檢測模型對比中展現出較為優秀的檢測效果，其準確率達到了９９．５７％，誤報率僅為０．６８％．

由于ＵＮＳＷＮＢ１５訓練集中的樣本分布情況并不合理，例如正常樣本的數量遠多于異常攻擊流量的樣本數量，而本文由于僅進行了二分類的相關研究，并沒有對該數據集進行不平衡處理．因此，在未來的工作中，將考慮使用欠采樣和過采樣等技術刪減樣本數多的樣本或擴充樣本少的樣本，并進行多分類相關的研究探索，以此來謀求更好的檢測結果．

致謝 四川師范大學研究生教育改革研究項目（２０２２ＹＪＳＪＧ００２）對本文給予了資助，謹致謝意．

參考文獻

［１］王天時．基于特征嵌入表示的文本分類方法研究［Ｄ］．濟南：山東師范大學，２０２０．

［２］ＦＡＲＩＤＤＭ，ＮＯＵＲＩＡＨ，ＲＡＨＭＡＮＭＺ．Ｃｏｍｂｉｎｉｎｇｎａｉｖｅｂａｙｅｓａｎｄｄｅｃｉｓｉｏｎｔｒｅｅｆｏｒａｄａｐｔｉｖｅｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ［Ｊ］．Ｉｎｔｅｒｎａ-ｔｉｏｎａｌＪｏｕｒｎａｌｏｆＮｅｔｗｏｒｋＳｅｃｕｒｉｔｙ＆ｉｔｓＡｐｐｌｉｃａｔｉｏｎｓ，２０１０，２（２）：１２-２５．

［３］ＴＩＡＮＱ，ＬＩＪＭ，ＬＩＵＨＢ．Ａｍｅｔｈｏｄｆｏｒｇｕａｒａｎｔｅｅｉｎｇｗｉｒｅｌｅｓｓｃｏｍｍｕｎｉｃａｔｉｏｎｂａｓｅｄｏｎａｃｏｍｂｉｎａｔｉｏｎｏｆｄｅｅｐａｎｄｓｈａｌｌｏｗｌｅａｒｎ-ｉｎｇ［Ｊ］．ＩＥＥＥＡｃｃｅｓｓ，２０１９，７：３８６８８-３８６９５．．

［４］蹇詩婕，盧志剛，杜丹，等．網絡入侵檢測技術綜述［Ｊ］．信息安全學報，２０２０，５（４）：９６-１２２．

［５］ＡＴＺＯＲＩＬ，ＩＥＲＡＡ，ＭＯＲＡＢＩＴＯＧ．Ｔｈｅｉｎｔｅｒｎｅｔｏｆｔｈｉｎｇｓ：ａｓｕｒｖｅｙ［Ｊ］．ＣｏｍｐｕｔｅｒＮｅｔｗｏｒｋｓ，２０１０，５４（１５）：２７８７-２８０５．

［６］ＸＩＡＯＹＨ，ＸＩＮＧＣ，ＺＨＡＮＧＴＮ，ｅｔａｌ．ＡｎＩｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｍｏｄｅｌｂａｓｅｄｏｎｆｅａｔｕｒｅｒｅｄｕｃｔｉｏｎａｎｄｃｏｎｖｏｌｕｔｉｏｎａｌｎｅｕｒａｌｎｅｔ-ｗｏｒｋｓ［Ｊ］．ＩＥＥＥＡｃｃｅｓｓ，２０１９，７：４２２１０-４２２１９．

［７］ＹＡＮＢＨ，ＨＡＮＧＤ．ＬＡＧＲＵ：ｂｕｉｌｄｉｎｇｃｏｍｂｉｎｅｄｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｍｏｄｅｌｂａｓｅｄｏｎｉｍｂａｌａｎｃｅｄｌｅａｒｎｉｎｇａｎｄｇａｔｅｄｒｅｃｕｒｒｅｎｔ ｕｎｉｔｎｅｕｒａｌｎｅｔｗｏｒｋ［Ｊ］．ＳｅｃｕｒｉｔｙａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＮｅｔｗｏｒｋｓ，２０１８，２０１８：１-１３．

［８］ＬＩＮＹ，ＷＡＮＧＪ，ＴＵＹ，ｅｔａｌ．Ｔｉｍｅｒｅｌａｔｅｄｎｅｔｗｏｒｋｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｍｏｄｅｌ：ａｄｅｅｐｌｅａｒｎｉｎｇｍｅｔｈｏｄ［Ｃ］／／２０１９ＩＥＥＥＧｌｏｂａｌ ＣｏｍｍｕｎｉｃａｔｉｏｎｓＣｏｎｆｅｒｅｎｃｅ（ＧＬＯＢＥＣＯＭ）．Ｗａｉｋｏｌｏａ：ＩＥＥＥ，２０２０：１-６．

［９］ ＳＵＮ ＪＹ，ＷＡＮＧ Ｘ Ｚ，ＸＩＯＮＧ Ｎ Ｘ，ｅｔａｌ．Ｌｅａｒｎｉｎｇｓｐａｒｓｅｒｅｐｒｅｓｅｎｔａｔｉｏｎｗｉｔｈｖａｒｉａｔｉｏｎａｌａｕｔｏ-ｅｎｃｏｄｅｒｆｏｒａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ［Ｊ］．ＩＥＥＥＡｃｃｅｓｓ，２０１８，６：３３３５３-３３３６１．

［１０］ＬＩＵＣ，ＬＩＵＹ，ＹＡＮＹ，ｅｔａｌ．Ａｎｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｍｏｄｅｌｗｉｔｈｈｉｅｒａｒｃｈｉｃａｌａｔｔｅｎｔｉｏｎｍｅｃｈａｎｉｓｍ［Ｊ］．ＩＥＥＥＡｃｃｅｓｓ，２０２０，８：６７５４２-６７５５４．

［１１］ＯＬＳＨＡＵＳＥＮＢＡ，ＦＩＥＬＤＤＪ．Ｅｍｅｒｇｅｎｃｅｏｆｓｉｍｐｌｅｃｅｌｌｒｅｃｅｐｔｉｖｅｆｉｅｌｄｐｒｏｐｅｒｔｉｅｓｂｙｌｅａｒｎｉｎｇａｓｐａｒｓｅｃｏｄｅｆｏｒｎａｔｕｒａｌ ｉｍａｇｅｓ［Ｊ］．Ｎａｔｕｒｅ，１９９６，３８１（６５８３）：６０７-６０９．

［１２］ＸＵＪ，ＸＩＡＮＧＬ，ＬＩＵＱＳ，ｅｔａｌ．Ｓｔａｃｋｅｄｓｐａｒｓｅａｕｔｏｅｎｃｏｄｅｒ（ＳＳＡＥ）ｆｏｒｎｕｃｌｅｉｄｅｔｅｃｔｉｏｎｏｎｂｒｅａｓｔｃａｎｃｅｒｈｉｓｔｏｐａｔｈｏｌｏｇｙｉｍａ-ｇｅｓ［Ｊ］．ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓｏｎＭｅｄｉｃａｌＩｍａｇｉｎｇ，２０１６，３５（１）：１１９-１３０．

［１３］汪靜怡．基于深度學習的網絡流量異常檢測方法研究［Ｄ］．北京：北京交通大學，２０２１．

［１４］ ＶＩＮＣＥＮＴ Ｐ， ＬＡＲＯＣＨＥＬＬＥ Ｈ， ＢＥＮＧＩＯ Ｙ， ｅｔａｌ． Ｅｘｔｒａｃｔｉｎｇ ａｎｄ ｃｏｍｐｏｓｉｎｇ ｒｏｂｕｓｔｆｅａｔｕｒｅｓ ｗｉｔｈ ｄｅｎｏｉｓｉｎｇ ａｕｔｏｅｎｃｏｄｅｒｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ２５ｔｈｉｎｔｅｒｎａｔｉｏｎａｌｃｏｎｆｅｒｅｎｃｅｏｎＭａｃｈｉｎｅｌｅａｒｎｉｎｇ．ＮｅｗＹｏｒｋ：ＡＣＭ，２００８：１０９６-１１０３．

［１５］張智恒．基于改進堆疊稀疏降噪自編碼器的軸承故障診斷方法研究［Ｄ］．武漢：武漢科技大學，２０２０．

［１６］ＢＥＮＧＩＯＹ，ＬＡＭＢＬＩＮＰ，ＰＯＰＯＶＩＣＩＤ，ｅｔａｌ．Ｇｒｅｅｄｙｌａｙｅｒｗｉｓｅｔｒａｉｎｉｎｇｏｆｄｅｅｐｎｅｔｗｏｒｋｓ［Ｊ］．ＡｄｖａｎｃｅｓｉｎＮｅｕｒａｌＩｎｆｏｒｍａ-ｔｉｏｎＰｒｏｃｅｓｓｉｎｇＳｙｓｔｅｍｓ，２００６，１９：１５３-１６０．

［１７］ＺＨＡＮＧＤＨ，ＬＯＵＳ．ＴｈｅａｐｐｌｉｃａｔｉｏｎｒｅｓｅａｒｃｈｏｆｎｅｕｒａｌｎｅｔｗｏｒｋａｎｄＢＰａｌｇｏｒｉｔｈｍｉｎｓｔｏｃｋｐｒｉｃｅｐａｔｔｅｒｎｃｌａｓｓｉｆｉｃａｔｉｏｎａｎｄｐｒｅ-ｄｉｃｔｉｏｎ［Ｊ］．ＦｕｔｕｒｅＧｅｎｅｒａｔｉｏｎＣｏｍｐｕｔｅｒＳｙｓｔｅｍｓ，２０２１，１１５：８７２-８７９．

［１８］付文博．基于深度學習的活體檢測網絡研究與實現［Ｄ］．開封：河南大學，２０２０．

［１９］ＧＵＯＳ，ＹＡＮＧＴ，ＧＡＯＷ，ｅｔａｌ．Ａｎｏｖｅｌｆａｕｌｔｄｉａｇｎｏｓｉｓｍｅｔｈｏｄｆｏｒｒｏｔａｔｉｎｇｍａｃｈｉｎｅｒｙｂａｓｅｄｏｎａｃｏｎｖｏｌｕｔｉｏｎａｌｎｅｕｒａｌ ｎｅｔｗｏｒｋ［Ｊ］．Ｓｅｎｓｏｒｓ（Ｂａｓｅｌ，Ｓｗｉｔｚｅｒｌａｎｄ），２０１８，１８（５）：１４２９．

［２０］向玲，朱浩偉，丁顯，等．基于ＣＡＥ與ＢｉＬＳＴＭ結合的風電機組齒輪箱故障預警方法研究［Ｊ］．動力工程學報，２０２２，４２（６）：５１４-５２１．

［２１］ＡＬＬＡＭＳ．Ｃｈｕｒｎｐｒｅｄｉｃｔｉｏｎｕｓｉｎｇａｔｔｅｎｔｉｏｎｂａｓｅｄａｕｔｏｅｎｃｏｄｅｒｎｅｔｗｏｒｋ［Ｊ］．ＩｎｔｅｒｎａｔｉｏｎａｌＪｏｕｒｎａｌｏｆＡｄｖａｎｃｅｄＴｒｅｎｄｓｉｎＣｏｍ-ｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＥｎｇｉｎｅｅｒｉｎｇ，２０１９，８（３）：７２５-７３０．

［２２］ＭＯＵＳＴＡＦＡＮ，ＳＬＡＹＪ．ＵＮＳＷＮＢ１５：ａｃｏｍｐｒｅｈｅｎｓｉｖｅｄａｔａｓｅｔｆｏｒｎｅｔｗｏｒｋｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｓｙｓｔｅｍｓ（ＵＮＳＷ-ＮＢ１５ｎｅｔｗｏｒｋ ｄａｔａｓｅｔ）［Ｃ］／／２０１５ＭｉｌｉｔａｒｙＣｏｍｍｕｎｉｃａｔｉｏｎｓａｎｄＩｎｆｏｒｍａｔｉｏｎＳｙｓｔｅｍｓＣｏｎｆｅｒｅｎｃｅ（ＭｉｌＣＩＳ）．Ｃａｎｂｅｒｒａ：ＩＥＥＥ，２０１５：１-６．

［２３］ＫＵＮＨＡＲＥＮ，ＴＩＷＡＲＩＲ．ＳｔｕｄｙｏｆｔｈｅａｔｔｒｉｂｕｔｅｓｕｓｉｎｇｆｏｕｒｃｌａｓｓｌａｂｅｌｓｏｎＫＤＤ９９ａｎｄＮＳＬ-ＫＤＤｄａｔａｓｅｔｓｗｉｔｈｍａｃｈｉｎｅｌｅａｒｎ-ｉｎｇｔｅｃｈｎｉｑｕｅｓ［Ｃ］／／２０１８８ｔｈＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｍｕｎｉｃａｔｉｏｎＳｙｓｔｅｍｓａｎｄＮｅｔｗｏｒｋＴｅｃｈｎｏｌｏｇｉｅｓ（ＣＳＮＴ）．Ｂｈｏｐａｌ：ＩＥＥＥ，２０１９：１２７-１３１．

［２４］白惠文，馬雪婧，劉偉偉，等．基于深度學習的匿名協議流量識別技術研究［Ｊ］．計算機仿真，２０２１，３８（７）：３６０-３６５．

［２５］ＬＵＧＹ，ＴＩＡＮＸＸ．ＡｎｅｆｆｉｃｉｅｎｔｃｏｍｍｕｎｉｃａｔｉｏｎｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｓｃｈｅｍｅｉｎＡＭＩｃｏｍｂｉｎｉｎｇｆｅａｔｕｒｅｄｉｍｅｎｓｉｏｎａｌｉｔｙｒｅｄｕｃｔｉｏｎ ａｎｄｉｍｐｒｏｖｅｄＬＳＴＭ［Ｊ］．ＳｅｃｕｒｉｔｙａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＮｅｔｗｏｒｋｓ，２０２１，２０２１：１-２１．

［２６］ＤＩＮＧＰＰ，ＬＩＪＧ，ＷＥＮ Ｍ，ｅｔａｌ．ＥｆｆｉｃｉｅｎｔＢｉＳＲＵ ｃｏｍｂｉｎｅｄｗｉｔｈｆｅａｔｕｒｅｄｉｍｅｎｓｉｏｎａｌｉｔｙｒｅｄｕｃｔｉｏｎｆｏｒａｂｎｏｒｍａｌｔｒａｆｆｉｃ ｄｅｔｅｃｔｉｏｎ［Ｊ］．ＩＥＥＥＡｃｃｅｓｓ，２０２０，８：１６４４１４-１６４４２７．

（編輯 鄭月蓉）

基金項目：國家自然科學基金（Ｕ１８３６１０３）和四川省高校重點實驗室重點項目（ＷＳＮ２０２２００１）