基于AE-BNDNN模型的入侵檢測(cè)方法

江 頡，高 甲，陳鐵明

(浙江工業(yè)大學(xué)計(jì)算科學(xué)與技術(shù)學(xué)院，杭州310000)

E-mail:jj@zjut.edu.cn

1 引言

模型的超參數(shù)自動(dòng)尋優(yōu)，獲得較高的檢測(cè)精度.

入侵檢測(cè)系統(tǒng)(Intrusion Detection System，IDS)作為防止網(wǎng)絡(luò)攻擊的一種重要手段，是對(duì)傳統(tǒng)安全設(shè)備(如防火墻)的重要補(bǔ)充，彌補(bǔ)了傳統(tǒng)安全技術(shù)的不足.IDS最早是通過(guò)實(shí)時(shí)監(jiān)視網(wǎng)絡(luò)流量或主機(jī)數(shù)據(jù)來(lái)判斷系統(tǒng)行為是否異常，可以將其抽象為多分類(lèi)問(wèn)題.隨著網(wǎng)絡(luò)應(yīng)用規(guī)模擴(kuò)大，安全事件頻發(fā)，IDS系統(tǒng)已經(jīng)成為當(dāng)前網(wǎng)絡(luò)安全主要防控手段之一.

由于機(jī)器學(xué)習(xí)、深度學(xué)習(xí)技術(shù)在解決復(fù)雜數(shù)據(jù)分類(lèi)問(wèn)題時(shí)所展現(xiàn)出的強(qiáng)大能力，研究人員提出了使用各種機(jī)器學(xué)習(xí)模型用于提高入侵檢測(cè)系統(tǒng)的準(zhǔn)確率［1］.但是，在面對(duì)特征規(guī)模較大的入侵檢測(cè)時(shí)，存在著兩個(gè)主要問(wèn)題:第一，入侵檢測(cè)數(shù)據(jù)中人工設(shè)置的特征常包含著許多冗余，影響模型的檢測(cè)效果;另外，冗余的特征會(huì)增加模型訓(xùn)練時(shí)間.針對(duì)以上兩個(gè)問(wèn)題，本文提出了一種基于深度神經(jīng)網(wǎng)絡(luò)的檢測(cè)模型.該模型首先采用自編碼器對(duì)數(shù)據(jù)特征進(jìn)行學(xué)習(xí)，降低訓(xùn)練數(shù)據(jù)特征的維度、去除冗余特征，然后采用經(jīng)過(guò)改進(jìn)的深度神經(jīng)網(wǎng)絡(luò)(Deep Neural Networks，DNN)對(duì)經(jīng)過(guò)特征降維的數(shù)據(jù)集進(jìn)行分類(lèi)，提高模型收斂速度并減少過(guò)擬合，并通過(guò)設(shè)計(jì)多層網(wǎng)格搜索算法實(shí)現(xiàn)對(duì)

2 相關(guān)研究

傳統(tǒng)的機(jī)器學(xué)習(xí)算法如樸素貝葉斯(Naive Bayesian，NB)［2］、邏輯回歸(Logistic Regression，LR)［3］和支持向量機(jī)(Support Vector Machine，SVM)［4］等在入侵檢測(cè)的研究中取得一定的效果［5］，隨著計(jì)算機(jī)硬件技術(shù)的不斷更新，計(jì)算機(jī)運(yùn)行速度及計(jì)算性能的不斷提升，以神經(jīng)網(wǎng)絡(luò)［6］為基礎(chǔ)的深度學(xué)習(xí)算法在大規(guī)模特征數(shù)據(jù)處理方面帶來(lái)了新的突破［7］.1992年，Debar等人［8］首次將神經(jīng)網(wǎng)絡(luò)應(yīng)用于網(wǎng)絡(luò)入侵檢測(cè)，提出采用神經(jīng)網(wǎng)絡(luò)對(duì)用戶(hù)行為進(jìn)行建模，并將其作為入侵檢測(cè)專(zhuān)家系統(tǒng)的一個(gè)補(bǔ)充.此后多種深度學(xué)習(xí)方法被應(yīng)用于入侵檢測(cè)領(lǐng)域［9］，以解決網(wǎng)絡(luò)連續(xù)收集的流量數(shù)據(jù)導(dǎo)致的入侵檢測(cè)數(shù)據(jù)量大和多維特征的問(wèn)題.Staudemeyer等人［10］首次使用循環(huán)神經(jīng)網(wǎng)絡(luò)的變體長(zhǎng)短期記憶神經(jīng)網(wǎng)絡(luò)(Long Short Term Memory，LSTM)用于入侵檢測(cè)，通過(guò)大量的調(diào)參實(shí)驗(yàn)，使用KDD CUP99數(shù)據(jù)集進(jìn)行驗(yàn)證，取得93.82%的準(zhǔn)確率，但由于LSTM模型更適合于處理時(shí)序特征，所以適合于對(duì)高頻攻擊進(jìn)行分類(lèi)，對(duì)于低頻攻擊，LSTM效果欠佳.Ni Gao等人［11］將深度信念網(wǎng)絡(luò)(Deep Belief Networks，DBN)引入到入侵檢測(cè)領(lǐng)域，經(jīng)過(guò)參數(shù)調(diào)試和預(yù)訓(xùn)練，模型準(zhǔn)確率最高達(dá)到93.49%，模型性能優(yōu)于 SVM 和 ANN.Aygun等人［12］采用自編碼器(Auto Encoder，AE)和去噪自編碼器(Denoising Autoencoder，DA)作為分類(lèi)方法，對(duì)KDD CUP99數(shù)據(jù)集進(jìn)行實(shí)驗(yàn)，分別取得了88.28%和88.65%的準(zhǔn)確率.直接采用深度學(xué)習(xí)模型對(duì)入侵?jǐn)?shù)據(jù)進(jìn)行分類(lèi)取得了一定的檢測(cè)效果，但由于沒(méi)有對(duì)入侵?jǐn)?shù)據(jù)進(jìn)行充分的處理，導(dǎo)致提出的多種入侵檢測(cè)模型沒(méi)有發(fā)揮出最好的檢測(cè)效果.因此，本文擬對(duì)網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)進(jìn)行特征降維處理，再采用調(diào)整過(guò)的深度學(xué)習(xí)模型對(duì)降維后的數(shù)據(jù)進(jìn)行訓(xùn)練.

3 AE-BNDNN入侵檢測(cè)模型的設(shè)計(jì)

3.1 設(shè)計(jì)思路和模型總體框架

為解決入侵?jǐn)?shù)據(jù)高維數(shù)據(jù)特征給檢測(cè)模型帶來(lái)的兩個(gè)問(wèn)題，即影響訓(xùn)練準(zhǔn)確率和增加訓(xùn)練時(shí)間，本節(jié)給出如下設(shè)計(jì)思路.

首先，入侵檢測(cè)數(shù)據(jù)特征維度較高，存在人工設(shè)置的冗余特征，例如KDD CUP99數(shù)據(jù)集的特征經(jīng)過(guò)預(yù)處理后達(dá)到122個(gè)，這是導(dǎo)致入侵檢測(cè)模型訓(xùn)練速度緩慢和影響模型準(zhǔn)確率的主要原因，因此需要對(duì)特征維度較高的入侵?jǐn)?shù)據(jù)進(jìn)行特征降維.本文采用自編碼器對(duì)特征進(jìn)行降維，自編碼器(Auto-Encoder，AE)［13］是神經(jīng)網(wǎng)絡(luò)的一種，通過(guò)對(duì)指定數(shù)據(jù)集的壓縮編碼，可以達(dá)到對(duì)訓(xùn)練數(shù)據(jù)進(jìn)行特征降維的目的，且壓縮效果優(yōu)于主成分分析法(Principal Components Analysis，PCA)［14］.該算法將數(shù)據(jù)的特征部分作為輸入，經(jīng)過(guò)訓(xùn)練后將輸入近似地復(fù)制到輸出［15］，即輸出盡可能復(fù)現(xiàn)輸入.因?yàn)闆](méi)用使用到標(biāo)簽數(shù)據(jù)，所以自編碼器是一種非監(jiān)督的網(wǎng)絡(luò)模型.從自編碼器中獲得有用的特征，需要限制壓縮表達(dá)層h的維度比輸入層x的維度小，這種編碼維度小于輸入層維度的自編碼器也稱(chēng)作欠完備自編碼器，欠完備自編碼器的壓縮表達(dá)層捕獲訓(xùn)練數(shù)據(jù)中最顯著的特征.

然后，入侵檢測(cè)數(shù)據(jù)中存在多個(gè)特征具有不同數(shù)量級(jí)，例如在KDD CUP99數(shù)據(jù)集中，表示連接持續(xù)時(shí)間的字段duration取值范圍約為0到6×104，而表示從源主機(jī)到目標(biāo)主機(jī)數(shù)據(jù)的字節(jié)數(shù)的字段src_bytes取值范圍約為0到1.3×109.利用深層神經(jīng)網(wǎng)絡(luò)訓(xùn)練入侵檢測(cè)數(shù)據(jù)，由于涉及到多層疊加，其中每一層輸入數(shù)據(jù)的分布可能會(huì)發(fā)生變化，從而導(dǎo)致每層的參數(shù)也會(huì)改變.這使得在訓(xùn)練過(guò)程中必須降低學(xué)習(xí)的速率，將會(huì)影響網(wǎng)絡(luò)的訓(xùn)練速度，也即內(nèi)部相關(guān)變量轉(zhuǎn)移(Internal Covariate Shift).本文采用 ICML文中［16］提出的規(guī)范化層(Batch Normalization，BN)概念，即在DNN隱藏層的激活函數(shù)之前添加批量規(guī)范化層，來(lái)降低特征具有不同數(shù)量級(jí)對(duì)模型訓(xùn)練速度的影響.將自編碼器網(wǎng)絡(luò)和改進(jìn)后的深度神經(jīng)網(wǎng)絡(luò)結(jié)合，設(shè)計(jì)形成新的入侵檢測(cè)模型——AE-BNDNN模型.

AE-BNDNN入侵檢測(cè)模型中存在大量參數(shù)可分為兩類(lèi):一類(lèi)是根據(jù)訓(xùn)練數(shù)據(jù)學(xué)習(xí)到的參數(shù)，譬如模型的權(quán)重和偏差等;另外一類(lèi)是人工設(shè)定的參數(shù)，用于定義模型屬性或者訓(xùn)練過(guò)程的參數(shù)，也稱(chēng)為超參數(shù).超參數(shù)不相同，則模型也不相同.由于沒(méi)有公認(rèn)最好的超參數(shù)設(shè)置方法，超參數(shù)一般根據(jù)經(jīng)驗(yàn)確定，并不斷的進(jìn)行實(shí)驗(yàn)調(diào)優(yōu).自動(dòng)調(diào)參方法中遺傳算法(genetic algorithm，GA)［17］和粒子群算法(particle swarm optimization，PSO)［18］屬于啟發(fā)式算法，往往操作復(fù)雜，可能會(huì)陷入局部最優(yōu)的處境.而網(wǎng)格搜索法(grid search)［19］是將待搜索的參數(shù)在其可能取值范圍內(nèi)劃分成多個(gè)網(wǎng)格，遍歷其中的所有可能交點(diǎn)來(lái)尋找最優(yōu)的參數(shù)組合，當(dāng)劃分區(qū)間足夠大，且步長(zhǎng)足夠小的情況下可以找到全局最優(yōu)解，這樣可以在允許的時(shí)間范圍內(nèi)找到使模型最優(yōu)的參數(shù)組合.

圖1 AE-BNDNN檢測(cè)模型Fig.1 AE-BNDNN detection model

因此，本文提出的模型總體框架如圖1所示，模型分為3個(gè)主要部分，第1部分即自編碼器用于入侵檢測(cè)數(shù)據(jù)特征降維;第2部分即改進(jìn)的深度神經(jīng)網(wǎng)絡(luò)進(jìn)行入侵行為的分類(lèi);第3部分即使用多層網(wǎng)格搜索算法對(duì)模型超參數(shù)進(jìn)行自動(dòng)尋優(yōu).

3.2 基于自編碼器的特征降維

本文采用的自編碼器網(wǎng)絡(luò)結(jié)構(gòu)由編碼部分和解碼部分組成.將入侵檢測(cè)數(shù)據(jù)集預(yù)處理后得到122個(gè)特征作為自編碼器網(wǎng)絡(luò)的輸入，首先采用3層隱藏層結(jié)構(gòu)來(lái)對(duì)輸入數(shù)據(jù)做壓縮表達(dá)，壓縮表達(dá)層得到5維的特征，壓縮維度的選取將在

4.4.2 節(jié)實(shí)驗(yàn)部分給出，然后解碼部分對(duì)壓縮的特征進(jìn)行解碼重構(gòu)，最后通過(guò)最小化重構(gòu)項(xiàng)和原始數(shù)據(jù)之間的誤差對(duì)權(quán)值進(jìn)行訓(xùn)練.

具體步驟:

步驟1.編碼器將輸入層數(shù)據(jù)x進(jìn)行壓縮表達(dá):

其中，f表示非線性激活函數(shù)，如relu或者tanh，W和b表示編碼部分的權(quán)值和偏置，h表示編碼部分的輸出.

步驟2.解碼器將壓縮表達(dá)層數(shù)據(jù)h進(jìn)行解碼重構(gòu)，輸出為:

其中，W'和b'表示解碼部分的權(quán)重和偏置.

步驟3.最小化重構(gòu)數(shù)據(jù)和原始數(shù)據(jù)的誤差，采用均方誤差計(jì)算輸出和輸入之間的誤差:

3.3 批量規(guī)范化層的深度神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)

本文采用ICML文中提出的規(guī)范化層(Batch Normalization，BN)概念，在DNN隱藏層的激活函數(shù)之前添加批量規(guī)范化層，即在每次使用小批量的樣本來(lái)訓(xùn)練時(shí)，通過(guò)對(duì)隱藏層的激活函數(shù)做規(guī)范化操作，使得每層輸入的均值為0，方差為1.添加了批量規(guī)范化層的DNN的結(jié)構(gòu)如圖2所示.

對(duì)于大小為m的小批量樣本mini-batch:B={x1…xm}，其中xi表示批量中的第i條訓(xùn)練樣本，批量規(guī)范化操作的具體步驟:

圖2 添加批量規(guī)范化層的深度神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)Fig.2 Deep neural network structure with batch normalization layer

步驟1.計(jì)算整個(gè)mini-batch的均值μB:

步驟2.計(jì)算整個(gè)mini-batch的方差σ2B:

步驟4.對(duì)于隱藏層第k個(gè)神經(jīng)元x(k)都有一對(duì)參數(shù)γ和β:

步驟3.對(duì)xi進(jìn)行規(guī)范化操作得到^xi:

其中Var［x(K)］表示一批訓(xùn)練數(shù)據(jù)在第k個(gè)神經(jīng)元上的方差，E［x(K)］表示一批訓(xùn)練數(shù)據(jù)在第k個(gè)神經(jīng)元上的均值.

3.4 檢測(cè)模型的超參數(shù)優(yōu)化

本文采用多層網(wǎng)格搜索策略對(duì)AE-BNDNN模型的超參數(shù)進(jìn)行自動(dòng)尋優(yōu)，目的是為了找到一組最優(yōu)的超參組合，使得模型對(duì)網(wǎng)絡(luò)入侵行為識(shí)別準(zhǔn)確率達(dá)到最優(yōu).例如對(duì)于批量大小batch-size和訓(xùn)練輪次epochs這組參數(shù)尋找最優(yōu)組合，首先設(shè)置大步長(zhǎng)，進(jìn)行大范圍的搜索，找出當(dāng)前的最優(yōu)參數(shù)組合，例如batch-size和epochs取值分別為200和300，然后重新劃定搜索范圍，縮小步長(zhǎng)，進(jìn)行細(xì)粒度的搜索，進(jìn)一步確定精確的最優(yōu)參數(shù)組合.例如batch-size和epochs取值分別為195和310，重復(fù)執(zhí)行直到模型的分類(lèi)準(zhǔn)確率不再提高為止，多層網(wǎng)格搜索過(guò)程如圖3所示.

圖3 網(wǎng)格搜索示意圖Fig.3 Grid search schematic diagram

令超參數(shù)組合P={A，B，…}，其中A，B分別表示待搜尋的參數(shù)，{a1，a2，…}∈A 和{b1，b2，…}∈B 分別表示待搜尋參數(shù)的候選值，搜索策略?xún)?yōu)化過(guò)程如算法1所示:

算法1.多層網(wǎng)格搜索優(yōu)化

輸入:待尋的神經(jīng)網(wǎng)絡(luò)超參數(shù)

輸出:超參數(shù)最優(yōu)組合

算法開(kāi)始

1給每個(gè)待尋優(yōu)的超參數(shù)初始化一組間距較大的候選值;(a1，a2…)，(bi，b2…)，…;

2 遍歷每一組超參數(shù)組合(a1，a2…)，(bi，b2…)，…;

2.1 當(dāng)前超參數(shù)組合代入模型計(jì)算準(zhǔn)確率:

Accuracy(ax，bx，…)

2.2 記錄當(dāng)前超參數(shù)組合及其準(zhǔn)確率Accuracy;

3選擇第2步得到使Accuracy最大的超參數(shù)組合，對(duì)其中的每一個(gè)超參數(shù)，在其鄰域內(nèi)重新劃分較小的候選間距，使得上一層間距為新間距的α倍，α的具體值由實(shí)驗(yàn)確定，設(shè)置新的間距候選值;

4對(duì)新的超參數(shù)候選值重復(fù)第2步、第3步;

5直到模型準(zhǔn)確率不再提高為止，得到一組超參數(shù)組合(^a1，^b1，…).算法結(jié)束

4 實(shí)驗(yàn)及結(jié)果分析

4.1 實(shí)驗(yàn)數(shù)據(jù)和實(shí)驗(yàn)環(huán)境

本文實(shí)驗(yàn)數(shù)據(jù)采用Tavallaee等人［20］在KDD99數(shù)據(jù)集的基礎(chǔ)上提出的NSL-KDD數(shù)據(jù)集，它針對(duì)KDD CUP99數(shù)據(jù)集中存在的不足，刪去了其中的冗余數(shù)據(jù).NSL-KDD數(shù)據(jù)集每條記錄的數(shù)據(jù)格式和KDD99數(shù)據(jù)集相同，每一條數(shù)據(jù)包括41個(gè)特征和1個(gè)標(biāo)簽.其中41個(gè)特征包括32個(gè)連續(xù)特征和9個(gè)離散的特征，標(biāo)簽包含拒絕服務(wù)攻擊(Dos)、掃描攻擊(Probing)、來(lái)自遠(yuǎn)程機(jī)器的非法訪問(wèn)(R2L)、普通用戶(hù)對(duì)超級(jí)用戶(hù)特權(quán)非法訪問(wèn)(U2R)和正常(Normal)五類(lèi).本文隨機(jī)選取其中的30000條數(shù)據(jù)進(jìn)行實(shí)驗(yàn).

實(shí)驗(yàn)硬件環(huán)境為Windows7操作系統(tǒng)，CPU為i7-4790，內(nèi)存4G.模型采用開(kāi)源的深度學(xué)習(xí)框架Keras搭建.

4.2 數(shù)據(jù)預(yù)處理

對(duì)實(shí)驗(yàn)數(shù)據(jù)主要進(jìn)行離散數(shù)據(jù)數(shù)值化和數(shù)據(jù)歸一化處理.

對(duì)NSL-KDD數(shù)據(jù)集9個(gè)離散類(lèi)型特征中的協(xié)議類(lèi)型protocol_type、目標(biāo)主機(jī)的網(wǎng)絡(luò)服務(wù)類(lèi)型service和連接正?；蛘咤e(cuò)誤的狀態(tài)flag進(jìn)行獨(dú)熱編碼(one-hot編碼).例如protocol_type共有三種取值，對(duì)其進(jìn)行one-hot編碼如表1所示.

表1 對(duì)離散數(shù)據(jù)進(jìn)行one-hot編碼Table 1 One-hot encoding of discrete data

對(duì)輸入數(shù)據(jù)特征進(jìn)行歸一化使得特征被限定在一定的范圍內(nèi)(比如［0，1］或者［-1，1］)，進(jìn)而消除奇異樣本數(shù)據(jù)引起的不良影響，可以加快模型的學(xué)習(xí)過(guò)程.對(duì)于數(shù)據(jù)分化較大的特征如duration(連接持續(xù)時(shí)間)、src_bytes(從源主機(jī)到目標(biāo)主機(jī)的數(shù)據(jù)的字節(jié)數(shù))和dst_bytes(從目標(biāo)主機(jī)到源主機(jī)的數(shù)據(jù)的字節(jié)數(shù))采用非線性歸一化:

然后對(duì)所有特征進(jìn)行最大最小標(biāo)準(zhǔn)化(Min-Max Normalization):

4.3 實(shí)驗(yàn)評(píng)價(jià)標(biāo)準(zhǔn)

AE-BNDNN模型是分類(lèi)模型，分類(lèi)模型最常用真陽(yáng)性(True Positive，TP)，假陽(yáng)性(False Positive，F(xiàn)P)，真陰性(True Negative，TN)和假陰性(False Negative，F(xiàn)N)4 個(gè)指標(biāo)來(lái)度量模型的有效性.

由于NSL-KDD數(shù)據(jù)集屬于分類(lèi)不平衡的數(shù)據(jù)集，其中正常樣本所占比例遠(yuǎn)遠(yuǎn)高于其他四種異常樣本，因此選擇使用準(zhǔn)確率(Accuracy)，精確率(Precision)，召回率(Recall)和F1分?jǐn)?shù)(F1-score)四個(gè)指標(biāo)評(píng)價(jià)AE-BNDNN模型以及其他對(duì)比模型的分類(lèi)性能.

4.4 實(shí)驗(yàn)對(duì)比與分析

AE-BNDNN模型自編碼器部分采用多層神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)，輸入層有122個(gè)神經(jīng)元，輸出層和輸入層神經(jīng)元相同，網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)的輸入的特征向量既作為神經(jīng)網(wǎng)絡(luò)的輸入又作為神經(jīng)網(wǎng)絡(luò)的標(biāo)簽，實(shí)驗(yàn)中采用的編碼器和解碼器各三層，分別有80、40、10和10、40、80個(gè)神經(jīng)元.輸入特征向量經(jīng)過(guò)自編碼器隱藏層的重構(gòu)，在隱藏層的向量就可看作是輸入特征向量的壓縮.其中隱藏層的數(shù)據(jù)作為下一步深度神經(jīng)網(wǎng)絡(luò)分類(lèi)器的輸入.

4.4.1 訓(xùn)練輪次對(duì)模型的影響

模型訓(xùn)練時(shí)把所有訓(xùn)練數(shù)據(jù)完整訓(xùn)練一次為一個(gè)輪次(epoch)，輪次的大小對(duì)模型分類(lèi)準(zhǔn)確率有很大影響.如圖4所示，隨著輪次次數(shù)的增加，AE-DNN模型檢測(cè)準(zhǔn)確率Accuracy逐漸升高并趨于穩(wěn)定，準(zhǔn)確率可達(dá)到97%.

圖4 輪次大小對(duì)檢測(cè)準(zhǔn)確率的影響Fig.4 Effect of the number of epochs on the detection accuracy of model

4.4.2 自編碼器壓縮維度對(duì)模型的影響

自編碼器將122維的特征壓縮至低維特征的程度對(duì)AEDNN模型準(zhǔn)確率的影響如圖5所示.實(shí)驗(yàn)結(jié)果顯示，特征降維的維度對(duì)模型的準(zhǔn)確率產(chǎn)生一定的影響，特征縮放至10-20維時(shí)效果較好.

圖5 壓縮維度對(duì)模型檢測(cè)準(zhǔn)確率的影響Fig.5 Effect of compression dimensions on the detection accuracy of model

4.4.3 添加批量規(guī)范化層對(duì)模型的影響

模型添加BN層與未添加BN層實(shí)驗(yàn)對(duì)比如圖6所示，結(jié)果顯示，添加BN層模型收斂速度加快，并且模型的準(zhǔn)確率有一定的提升，準(zhǔn)確率最高可達(dá)到98%.

圖6 添加BN層對(duì)模型檢測(cè)準(zhǔn)確率的影響Fig.6 Effect of adding BN layer on the detection accuracy of model

4.4.4 多層網(wǎng)格搜索優(yōu)化超參數(shù)對(duì)模型的影響

使用多層網(wǎng)格搜索算法對(duì)批次大小、優(yōu)化函數(shù)、初始權(quán)重、激活函數(shù)和隱藏層神經(jīng)元個(gè)數(shù)等超參數(shù)進(jìn)行自動(dòng)參數(shù)尋優(yōu).搜索算法對(duì)AE-BNDNN模型超參數(shù)進(jìn)行調(diào)優(yōu)實(shí)驗(yàn)結(jié)果如圖7所示，隨著訓(xùn)練輪次的增加，模型收斂速度進(jìn)一步提升，準(zhǔn)確率最高達(dá)到99.28%.

圖7 網(wǎng)格搜索對(duì)模型檢測(cè)準(zhǔn)確率的影響Fig.7 Effect of grid search on the detection accuracy of model

4.4.5 與其他方法對(duì)比

表2 不同模型對(duì)比Table 2 Comparison of different models

4.4.6 模型平均建模時(shí)間

圖8展示了本文所提模型與傳統(tǒng)DNN模型以及PCA-DNN模型的建模時(shí)間對(duì)比，包括模型訓(xùn)練時(shí)間和模型測(cè)試時(shí)間.從圖8中可以看出，AE-BNDNN模型在訓(xùn)練時(shí)間上比傳統(tǒng)DNN降低了18.8%，在測(cè)試時(shí)間上和傳統(tǒng) DNN相當(dāng).由于本文采用的自編碼器屬于神經(jīng)網(wǎng)絡(luò)，導(dǎo)致模型訓(xùn)練時(shí)間較長(zhǎng)，略高于采用PCA降維的模型，但用于測(cè)試時(shí)的時(shí)間消耗是相近的.實(shí)驗(yàn)表明AE-BNDNN模型相對(duì)于DNN模型在提高檢測(cè)準(zhǔn)確率同時(shí)，能夠進(jìn)一步降低模型訓(xùn)練時(shí)間.

圖8 建模時(shí)間對(duì)比Fig.8 Modeling time comparison

5 結(jié)論

本文針對(duì)入侵檢測(cè)數(shù)據(jù)特征規(guī)模較大而導(dǎo)致機(jī)器學(xué)習(xí)算法檢測(cè)準(zhǔn)確率較低和訓(xùn)練時(shí)間較長(zhǎng)的問(wèn)題，提出了AEBNDNN模型，實(shí)驗(yàn)結(jié)果表明，本文提出的模型在多個(gè)評(píng)估指標(biāo)上均優(yōu)于其他對(duì)比方法，并且有效地降低了模型訓(xùn)練時(shí)間.但由于自編碼器自身的不足，導(dǎo)致模型學(xué)習(xí)時(shí)間增加，所以模型在運(yùn)行時(shí)間上還有改進(jìn)空間.下一步工作將研究真實(shí)情況下的網(wǎng)絡(luò)入侵，使用帶有噪聲的數(shù)據(jù)來(lái)驗(yàn)證AE-BNDNN模型的檢測(cè)性能.