基于分段核函數(shù)的SVM入侵檢測(cè)方法

談帥昕

摘 要：為了克服N-RBF核函數(shù)在處理取值完全相同特征時(shí)出現(xiàn)準(zhǔn)確率、檢測(cè)率和誤報(bào)率異常的現(xiàn)象，提出一種分段核函數(shù)（P-RBF）。該核函數(shù)根據(jù)特征樣本方差是否為0對(duì)特征分別進(jìn)行變換，但仍然以RBF核函數(shù)為基礎(chǔ)。實(shí)驗(yàn)結(jié)果表明，在基于SVM的入侵檢測(cè)方法中，選用該分段核函數(shù)不僅避免了因選用N-RBF核函數(shù)而出現(xiàn)檢測(cè)率和誤報(bào)率異常的情況，而且較RBF核在準(zhǔn)確率、檢測(cè)率和誤報(bào)率方面有一定改善，同時(shí)縮短了檢測(cè)時(shí)間。

關(guān)鍵詞：SVM;入侵檢測(cè);分段核函數(shù)

DOI：10. 11907/rjdk. 182783

中圖分類(lèi)號(hào)：TP306文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)：1672-7800（2019）003-0043-04

0 引言

長(zhǎng)期以來(lái)，計(jì)算機(jī)網(wǎng)絡(luò)安全問(wèn)題一直困擾著人們，其不僅源于計(jì)算機(jī)系統(tǒng)存在的各種漏洞，還源于各種復(fù)雜多變的網(wǎng)絡(luò)流量存在的潛在隱患，而后者往往導(dǎo)致計(jì)算機(jī)系統(tǒng)受到入侵。因此，入侵檢測(cè)顯得格外重要，從而促進(jìn)了入侵檢測(cè)系統(tǒng)的研究和開(kāi)發(fā)。在研發(fā)過(guò)程中，人們相繼提出了許多入侵檢測(cè)方法。

從現(xiàn)有各種入侵檢測(cè)方法來(lái)看，基于機(jī)器學(xué)習(xí)或數(shù)據(jù)挖掘的入侵檢測(cè)方法受到了人們重點(diǎn)關(guān)注，相關(guān)方法包括K-means[1]、極限學(xué)習(xí)機(jī)（ELM）[2]、決策樹(shù)（decision tree）[3]、支持向量機(jī)（SVM）[4-14]等。由于支持向量機(jī)是通過(guò)間隔實(shí)現(xiàn)分類(lèi)的，能夠避免過(guò)擬合，因而應(yīng)用更加廣泛。通常情況下，支持向量機(jī)非常適合數(shù)據(jù)規(guī)模較小的情形。

值得一提的是，核函數(shù)選取將直接影響支持向量機(jī)的分類(lèi)效果。文獻(xiàn)[15]指出在特定領(lǐng)域選擇特定核函數(shù)是個(gè)公開(kāi)的難題，因此在不知道任何先驗(yàn)知識(shí)的情況下，優(yōu)先選用徑向基（RBF）核函數(shù)[4-7，9-15]，在許多基于支持向量機(jī)的入侵檢測(cè)方法研究中也不例外。為了使核函數(shù)的選用更加靈活，趙夫群[13]構(gòu)造了由多項(xiàng)式核函數(shù)和RBF核組成的混合核函數(shù)，使用PSO算法優(yōu)化該混合核函數(shù)參數(shù)，并采用LSSVM進(jìn)行分類(lèi)。實(shí)驗(yàn)結(jié)果顯示，對(duì)從KDD CUP 99測(cè)試集中抽取的測(cè)試子集異常數(shù)據(jù)所屬的大類(lèi)DOS、Probe、U2R和R2L而言，在SVM中選用混合核函數(shù)分類(lèi)相比于選用RBF核分類(lèi)消耗時(shí)間更少，檢測(cè)率更高，且誤報(bào)率低;肖豐佳[14]構(gòu)造了一種由多項(xiàng)式核函數(shù)、RBF核函數(shù)和sigmoid核組成的混合核函數(shù)，并采用PSO算法優(yōu)化該混合核函數(shù)參數(shù)。實(shí)驗(yàn)結(jié)果表明，對(duì)特征采用灰色關(guān)聯(lián)分析方法處理后，在基于SVM的入侵檢測(cè)方法中選用混合核函數(shù)雖然較選用RBF核函數(shù)能獲得更低的誤報(bào)率和更高的檢測(cè)率，但其檢測(cè)性能仍需進(jìn)一步提升。當(dāng)然，也有在RBF核基礎(chǔ)上改進(jìn)核函數(shù)的相關(guān)研究，如Kuang等[9-10]提出的N-RBF核，其以RBF核為基礎(chǔ)，雖然能克服入侵檢測(cè)數(shù)據(jù)集中一些特征取值范圍相差過(guò)大導(dǎo)致檢測(cè)時(shí)間消耗過(guò)多的問(wèn)題，但當(dāng)入侵檢測(cè)樣本中存在取值完全相同的特征時(shí)，會(huì)導(dǎo)致準(zhǔn)確率、檢測(cè)率和誤報(bào)率異常。在國(guó)外，已有學(xué)者將分段核函數(shù)用于SVM多分類(lèi)[16]、圖像重構(gòu)[17]等方面，均取得了良好效果;在國(guó)內(nèi)，李渝等[12]提出一種基于RBF核函數(shù)和線(xiàn)性核函數(shù)的分段核函數(shù)，用于在支持向量機(jī)中對(duì)heart數(shù)據(jù)集進(jìn)行分類(lèi)，實(shí)驗(yàn)結(jié)果表明，在支持向量機(jī)中選用該分段核函數(shù)，分類(lèi)效果不僅優(yōu)于僅選用RBF核和線(xiàn)性核函數(shù)，也優(yōu)于由線(xiàn)性核函數(shù)和RBF核函數(shù)組成的組合核函數(shù)。受此啟發(fā)，為了克服N-RBF核函數(shù)存在的問(wèn)題，本文提出一種分段核函數(shù)P-RBF，即對(duì)于每一個(gè)特征，根據(jù)其對(duì)應(yīng)樣本方差是否為0分別進(jìn)行變換，然后將變換后的特征向量應(yīng)用于RBF核函數(shù)。

1 分段核函數(shù)P-RBF構(gòu)造

1.1 核函數(shù)性質(zhì)

1.2 N-RBF核

1.4 基于分段核函數(shù)P-RBF的SVM入侵檢測(cè)算法

為方便說(shuō)明，規(guī)定選用的支持向量機(jī)算法為C-SVC[6]，核函數(shù)選用分段核函數(shù)P-RBF，且經(jīng)過(guò)預(yù)處理的訓(xùn)練集與測(cè)試集數(shù)據(jù)已經(jīng)生成。

Step1：對(duì)預(yù)處理訓(xùn)練集中的每一條數(shù)據(jù)，利用分段核函數(shù)P-RBF的分段歸一化功能，再次對(duì)輸入數(shù)據(jù)的各個(gè)特征根據(jù)其在訓(xùn)練集中的樣本方差是否為0進(jìn)行分段變換。如果該特征在訓(xùn)練集中的樣本方差不為0，則根據(jù)該特征在訓(xùn)練集中的均值和樣本方差進(jìn)行歸一化變換，否則直接將該特征變換為0。之后將經(jīng)過(guò)變換的訓(xùn)練集數(shù)據(jù)劃分為正常和異常兩類(lèi)，并保證兩類(lèi)的間隔盡可能大，從而產(chǎn)生支持向量，形成分類(lèi)模型。

Step3：輸出分類(lèi)結(jié)果。

1.5 基于分段核函數(shù)P-RBF的SVM入侵檢測(cè)總體流程

Step1：抽取數(shù)據(jù)。從網(wǎng)絡(luò)中抽取一定量的連接數(shù)據(jù)。

Step2：特征提取。從抽取的連接數(shù)據(jù)中提取一些特征形成數(shù)據(jù)集，并分為測(cè)試集和訓(xùn)練集。

Step3：數(shù)據(jù)預(yù)處理。將形成的訓(xùn)練集和測(cè)試集字符特征向數(shù)字特征轉(zhuǎn)化，考慮到各特征取值范圍不同，需要對(duì)每個(gè)特征作線(xiàn)性歸一化變換。

Step4：訓(xùn)練基于分段核函數(shù)的SVM。將訓(xùn)練樣本用于訓(xùn)練基于分段核函數(shù)的SVM，并形成分類(lèi)模型。

Step5：利用訓(xùn)練后的SVM對(duì)測(cè)試樣本進(jìn)行檢測(cè)，并輸出分類(lèi)結(jié)果。

Step6：根據(jù)分類(lèi)結(jié)果，系統(tǒng)對(duì)檢測(cè)到的異常情況及時(shí)作出響應(yīng)并采取相應(yīng)措施。

2 模擬實(shí)驗(yàn)及分析

2.1 數(shù)據(jù)集及評(píng)估標(biāo)準(zhǔn)

模擬實(shí)驗(yàn)中選用的入侵檢測(cè)數(shù)據(jù)集為KDD CUP 99[20]，因而自然省去了基于分段核函數(shù)SVM入侵檢測(cè)流程中的前兩步。由于在KDD CUP 99數(shù)據(jù)集中包含Normal、DOS、Probe、U2R和R2L共5大類(lèi)數(shù)據(jù)，而Probe、U2R和R2L的數(shù)據(jù)量相對(duì)較少，因而從KDD CUP 99 10%訓(xùn)練集和KDDTest中隨機(jī)抽取數(shù)據(jù)進(jìn)行實(shí)驗(yàn)。抽取的數(shù)據(jù)分布如表1所示。

實(shí)驗(yàn)中涉及的評(píng)價(jià)指標(biāo)為準(zhǔn)確率（AC）、檢測(cè)率（DR）和誤報(bào)率（FAR），分別用式（12）-（14）表示。

其中，TP表示被正確檢測(cè)成正常的數(shù)據(jù)記錄數(shù)目，F(xiàn)P表示被錯(cuò)誤檢測(cè)成正常的數(shù)據(jù)記錄數(shù)目，TN表示被正確檢測(cè)成異常的數(shù)據(jù)記錄數(shù)目，F(xiàn)N表示被錯(cuò)誤檢測(cè)成異常的數(shù)據(jù)記錄數(shù)目。

2.2 實(shí)驗(yàn)數(shù)據(jù)預(yù)處理

由于抽取的訓(xùn)練子集和測(cè)試子集包括41個(gè)特征，其中特征protocol_type、service和flag都是字符型，需要分別將其轉(zhuǎn)化為數(shù)字型。將以上3種特征向數(shù)字型轉(zhuǎn)化的方法有兩種，一種是直接將上述特征從字符型轉(zhuǎn)換為數(shù)字型，另一種則是采用獨(dú)熱碼（one hot code）方式[21]，即離散特征有n個(gè)取值，則可用n維向量表示該離散特征。對(duì)于離散特征中出現(xiàn)的每一個(gè)值，在n維向量中各自占用獨(dú)立的一位并用1表示，而該n維向量只有一位用1表示，其它位用0表示。顯然特征protocol_type、service和flag即可按該方式轉(zhuǎn)化為數(shù)字型，而這些特征取值分別有3種、70種和11種，從而實(shí)現(xiàn)了將特征從41維擴(kuò)展到122維的變換。為了探究上述兩種特征處理方式分別對(duì)選用分段核函數(shù)的支持向量機(jī)性能帶來(lái)的影響，實(shí)驗(yàn)會(huì)涉及到兩種特征處理方式。鑒于一些特征的內(nèi)部取值相差非常大，因此在字符型特征向數(shù)字型特征變換之后會(huì)按照式（15）歸一化至[0，1]。

2.3 實(shí)驗(yàn)分析

2.3.1 分段核函數(shù)P-RBF性能實(shí)驗(yàn)

實(shí)驗(yàn)環(huán)境為一臺(tái)配備了AMD 2.40GHz CPU與4GB內(nèi)存，并安裝了64位Windows 10系統(tǒng)的電腦，實(shí)驗(yàn)在MATLAB R2010B上進(jìn)行，SVM分類(lèi)器采用林志仁教授[9]開(kāi)發(fā)的工具箱LIBSVM。實(shí)驗(yàn)選用RBF核、N-RBF核和分段核函數(shù)P-RBF在SVM上作分類(lèi)，分類(lèi)采用二分類(lèi)方式。實(shí)驗(yàn)數(shù)據(jù)特征為122時(shí)的實(shí)驗(yàn)結(jié)果如表2所示，實(shí)驗(yàn)數(shù)據(jù)特征為41時(shí)的實(shí)驗(yàn)結(jié)果如表3所示。

由表2、表3可見(jiàn)，不論數(shù)據(jù)特征數(shù)為41維還是122維，對(duì)于檢測(cè)時(shí)間而言，N-RBF核最短，其次是分段核函數(shù)P-RBF，RBF核最長(zhǎng)。說(shuō)明N-RBF核通過(guò)將特征均值和樣本方差嵌入到核函數(shù)中，實(shí)現(xiàn)了對(duì)特征的歸一化，避免了選用RBF核時(shí)因特征內(nèi)部取值范圍差異過(guò)大帶來(lái)的分類(lèi)時(shí)間過(guò)長(zhǎng)問(wèn)題，而分段核函數(shù)P-RBF需要根據(jù)特征樣本方差是否為0對(duì)特征進(jìn)行變換，因而消耗的檢測(cè)時(shí)間略多于N-RBF核，但不會(huì)多于選用RBF核的情況。但對(duì)于準(zhǔn)確率、檢測(cè)率和誤報(bào)率而言，在選用N-RBF核時(shí)，檢測(cè)率為NaN，誤報(bào)率為0，說(shuō)明正常樣本都被錯(cuò)誤分類(lèi)，從而導(dǎo)致準(zhǔn)確率非常低，究其原因在于訓(xùn)練子集和測(cè)試子集中一定有取值完全相同的特征，使得該特征的樣本方差為0。但選用分段核函數(shù)P-RBF不僅不會(huì)出現(xiàn)檢測(cè)率為NaN和誤報(bào)率為0的現(xiàn)象，而且比選用RBF核的準(zhǔn)確率和檢測(cè)率更高，誤報(bào)率更低。因此，將提出的分段核函數(shù)P-RBF用于支持向量機(jī)中，會(huì)得到較好的檢測(cè)效果，且檢測(cè)時(shí)間較短。

2.3.2 訓(xùn)練樣本正常數(shù)據(jù)比例對(duì)入侵檢測(cè)實(shí)驗(yàn)結(jié)果的影響

為了探究訓(xùn)練樣本正常數(shù)據(jù)和異常數(shù)據(jù)比例對(duì)入侵檢測(cè)實(shí)驗(yàn)結(jié)果的影響，從已抽取的訓(xùn)練子集和測(cè)試子集中各抽取1 000條數(shù)據(jù)，分別作為訓(xùn)練樣本和測(cè)試樣本。定義α為訓(xùn)練樣本中正常數(shù)據(jù)占整個(gè)訓(xùn)練樣本的百分比，為了方便研究α對(duì)測(cè)試樣本分類(lèi)的影響，將測(cè)試樣本中正常數(shù)據(jù)和異常數(shù)據(jù)的比例設(shè)置為1∶1。但對(duì)離散特征protocol_type、service和flag而言，相對(duì)于直接轉(zhuǎn)化為離散數(shù)字的方法，用獨(dú)熱方式變換可以提高分類(lèi)魯棒性。因此，在對(duì)訓(xùn)練樣本和測(cè)試樣本特征進(jìn)行預(yù)處理時(shí)，將特征從41維變換為122維。實(shí)驗(yàn)仍然采用SVM進(jìn)行分類(lèi)，并將分段核函數(shù)P-RBF和RBF核函數(shù)作對(duì)照。實(shí)驗(yàn)結(jié)果如表4所示。

由表4可見(jiàn)，無(wú)論α取0.2、0.5還是0.8，分段核函數(shù)P-RBF在測(cè)試樣本上的分類(lèi)準(zhǔn)確率不僅都超過(guò)90%，而且高于RBF核函數(shù)。當(dāng)α=0.5時(shí)，雖然兩個(gè)核函數(shù)在測(cè)試樣本上的分類(lèi)準(zhǔn)確率都為最高，但分段核函數(shù)P-RBF的準(zhǔn)確率仍高于RBF核。說(shuō)明對(duì)基于支持向量機(jī)的入侵檢測(cè)方法而言，采用分段核函數(shù)P-RBF能取得比RBF核函數(shù)更穩(wěn)定的分類(lèi)效果。就檢測(cè)時(shí)間而言，無(wú)論α取0.2、0.5還是0.8，選用分段核函數(shù)P-RBF所需的時(shí)間依然比選用RBF核要短。說(shuō)明分段核函數(shù)P-RBF對(duì)于取值不完全相同的特征，能夠根據(jù)其在樣本中的均值和樣本方差進(jìn)行歸一化，并將取值完全相同的特征歸為0，從而達(dá)到使特征收斂的目的，不僅提高了分類(lèi)準(zhǔn)確率，而且減少了檢測(cè)時(shí)間。由此可見(jiàn)，基于分段核函數(shù)P-RBF的SVM入侵檢測(cè)方法是一種準(zhǔn)確率高、檢測(cè)時(shí)間短且檢測(cè)性能穩(wěn)定的方法。

3 結(jié)語(yǔ)

本文提出分段核函數(shù)P-RBF，將其應(yīng)用于基于SVM的入侵檢測(cè)方法中，并比較了RBF核、N-RBF核在該入侵檢測(cè)方法中的準(zhǔn)確率、檢測(cè)率與誤報(bào)率。實(shí)驗(yàn)結(jié)果表明，不論數(shù)據(jù)特征是41維還是122維，在基于SVM的入侵檢測(cè)方法中選用分段核函數(shù)P-RBF不僅能有效處理取值完全相同的特征，避免出現(xiàn)異常的準(zhǔn)確率、檢測(cè)率和誤報(bào)率，而且在一定程度上能夠改善相關(guān)性能，并縮短檢測(cè)時(shí)間。此外，為了探究訓(xùn)練樣本中正常樣本占比對(duì)基于SVM的入侵檢測(cè)方法的影響，在測(cè)試樣本中正常樣本和異常樣本比為1∶1的情況下，對(duì)采用不同正常樣本和異常樣本比例的訓(xùn)練樣本分別進(jìn)行實(shí)驗(yàn)。實(shí)驗(yàn)結(jié)果表明，雖然需要將特征從41維變換至122維，但訓(xùn)練樣本中正常樣本占總體的比例α無(wú)論取0.2、0.5還是0.8，在SVM中選用分段核函數(shù)P-RBF的準(zhǔn)確率不僅高于選用RBF核函數(shù)時(shí)的情形，而且相對(duì)穩(wěn)定，檢測(cè)時(shí)間也更短。因此，基于分段核函數(shù)P-RBF的SVM入侵檢測(cè)方法是行之有效的。

參考文獻(xiàn)：

[1] WANG X G， WANG L L. Research on intrusion detection based on feature extraction of autoencoder and the improved K-means algorithm[C]. 2017 10th International Symposium on Computational Intelligence and Design （ISCID）， 2017： 352-356.

[2] CHENG C， TAY W P， HUANG G B. Extreme learning machines for intrusion detection[C]. The 2012 International Joint Conference on Neural Networks （IJCNN）， 2012： 1-8.

[3] TENG L， Y TENG S H， TANG F Y， et al. A collaborative and adaptive intrusion detection based on SVMs and decision trees[C]. 2014 IEEE International Conference on Data Mining Workshop，2014： 898-905.

[4] CALIX R A，SANKARAN R. Feature ranking and support vector machines classification analysis of the NSL-KDD intrusion detection corpus[J]. Community Dentistry & Oral Epidemiology，2013，41（1）： 41-52.

[5] 范宇辰. 一種基于極限學(xué)習(xí)機(jī)的分類(lèi)器及其應(yīng)用研究[D]. 沈陽(yáng)：東北大學(xué)， 2014.

[6] CHANG C C， LIN C J. LIBSVM： a library for support vector machines[J]. ACM transactions on intelligent systems and technology （TIST）， 2011， 2（3）： 1-27.

[7] AMBUSAIDI M A， HE X J， NANDA P， et al. Building an intrusion detection system using a filter-based feature selection algorithm[J]. IEEE transactions on computers， 2016， 65（10）： 2986-2998.

[8] 高妮， 高嶺， 賀毅岳， 等. 基于自編碼網(wǎng)絡(luò)特征降維的輕量級(jí)入侵檢測(cè)模型[J]. 電子學(xué)報(bào)， 2017， 45（3）： 730-739.

[9] KUANG F J， XU W H， ZHANG S Y. A novel hybrid KPCA and SVM with GA model for intrusion detection[J]. Applied Soft Computing Journal， 2014， 18（4）： 178-184.

[10] KUANG F J， ZHANG S Y， JIN Z， et al. A novel SVM by combining kernel principal component analysis and improved chaotic particle swarm optimization for intrusion detection[J]. Soft Computing， 2015， 19（5）： 1187-1199.

[11] 譚琨， 杜培軍. 基于再生核Hilbert空間小波核函數(shù)支持向量機(jī)的高光譜遙感影像分類(lèi)[J]. 測(cè)繪學(xué)報(bào)， 2011， 40（2）： 142-147.

[12] 李渝， 吳增印. 基于分段核函數(shù)的支持向量機(jī)及其應(yīng)用[J]. 現(xiàn)代電子技術(shù)， 2013， 36（16）： 5-8.

[13] 趙夫群.基于混合核函數(shù)的LSSVM網(wǎng)絡(luò)入侵檢測(cè)方法[J].現(xiàn)代電子技術(shù)，2015，38（21）：96-99.

[14] 肖豐佳. 基于粒子群優(yōu)化支持向量機(jī)的入侵檢測(cè)模型研究[D]. 重慶：西南大學(xué)， 2012.

[15] 汪廷華， 陳峻婷. 核函數(shù)的選擇研究綜述[J]. 計(jì)算機(jī)工程與設(shè)計(jì)， 2012， 33（3）： 1181-1186.

[16] BREDENSTEINER E J， BENNETT K P. Multicategory classification by support vector machines[J]. Computational Optimization & Applications， 1999， 12（1-3）： 53-79.

[17] MEIJERING E H W， ZUIDERVELD K J， VIERGEVER M A. Image reconstruction by convolution with symmetrical piecewise nth-order polynomial kernels[J]. IEEE Transactions on Image Processing a Publication of the IEEE Signal Processing Society， 1999， 8（2）： 192-201.

[18] CRISTIANINI N， TAYLOR J S. 支持向量機(jī)導(dǎo)論[M]. 李國(guó)正， 王猛， 曾華軍， 譯. 北京： 電子工業(yè)出版社， 2004.

[19] 鄧乃揚(yáng)， 田英杰. 支持向量機(jī)：理論、算法與拓展[M]. 北京：科學(xué)出版社， 2009.

[20] STOLFO S J， FAN W， LEE W K， et al. KDD cup 1999 data[EB/OL]. http：//kdd.ics.uci.edu/databases/ kddcup99/kddcup99.html.

[21] KELLEY D R， SNOEK J， RINN J. Basset： learning the regulatory code of the accessible genome with deep convolutional neural networks[J]. Genome Research， 2016， 26（7）： 990-999.

（責(zé)任編輯：黃 ?。?/p>