機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全入侵檢測(cè)中的應(yīng)用

吳喬

摘 ?要：網(wǎng)絡(luò)入侵檢測(cè)技術(shù)能夠?qū)ο到y(tǒng)進(jìn)行實(shí)時(shí)檢測(cè)或事后檢測(cè)，及時(shí)發(fā)現(xiàn)、防范各種復(fù)雜多變的網(wǎng)絡(luò)攻擊企圖、攻擊行為與攻擊結(jié)果。同時(shí)網(wǎng)絡(luò)入侵檢測(cè)技術(shù)也是網(wǎng)絡(luò)空間安全中一個(gè)具有挑戰(zhàn)性的網(wǎng)絡(luò)安全問(wèn)題，機(jī)器學(xué)習(xí)對(duì)入侵檢測(cè)技術(shù)性能的提高成為熱門研究?jī)?nèi)容。文章綜述了近些年來(lái)幾種典型的群體智能優(yōu)化算法，及其與支持向量機(jī)相結(jié)合的網(wǎng)絡(luò)入侵檢測(cè)技術(shù)，最后對(duì)機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全入侵檢測(cè)中的未來(lái)發(fā)展前景進(jìn)行展望。

關(guān)鍵詞：機(jī)器學(xué)習(xí);入侵檢測(cè);網(wǎng)絡(luò)安全

中圖分類號(hào)：TP181 ? ?文獻(xiàn)標(biāo)志碼：A ? ? ? ? 文章編號(hào)：2095-2945（2020）25-0001-04

Abstract： Network intrusion detection technology can detect the system in real time or after the detection， timely find and prevent various complex and changeable network attack attempts， attack behavior and attack results. At the same time， the network intrusion detection technology is also a challenging network security problem in the network space security. This paper summarizes several typical swarm intelligence optimization algorithms in recent years， and its network intrusion detection technology combined with support vector machine. Finally， the future development prospect of machine learning in network security intrusion detection is prospected.

Keywords： machine learning; intrusion detection; network security

1 概述

新時(shí)代下，隨著云計(jì)算，大數(shù)據(jù)，物聯(lián)網(wǎng)，5G網(wǎng)絡(luò)等技術(shù)的迅猛發(fā)展，網(wǎng)絡(luò)流量和網(wǎng)絡(luò)攻擊日益增長(zhǎng)且越來(lái)越復(fù)雜。入侵檢測(cè)系統(tǒng)[1]（Intrusion Detection System）在計(jì)算機(jī)網(wǎng)絡(luò)收集、分析、處理系統(tǒng)或網(wǎng)絡(luò)的日志文件、網(wǎng)絡(luò)流量、系統(tǒng)目錄和文件的異常變化、程序執(zhí)行中的異常行為等能夠可靠檢測(cè)到準(zhǔn)確的數(shù)據(jù)信息，及時(shí)發(fā)現(xiàn)違反安全策略、攻擊的行為。因此，網(wǎng)絡(luò)安全管理員必須快速找到可以改進(jìn)和提高入侵檢測(cè)系統(tǒng)的新方法來(lái)避免網(wǎng)絡(luò)遭受黑客攻擊。

目前，機(jī)器學(xué)習(xí)（Machine Learning）廣泛應(yīng)用于各學(xué)科領(lǐng)域，在數(shù)據(jù)挖掘[2，3]，計(jì)算機(jī)視覺(jué)[4]，語(yǔ)音識(shí)別[5]，自然語(yǔ)言處理[6]，機(jī)器人應(yīng)用[7，8]，材料科學(xué)[9]，醫(yī)學(xué)信息[10]，網(wǎng)絡(luò)安全[11]等領(lǐng)域備受關(guān)注，均取得了不同程度的成功。另一方面，網(wǎng)絡(luò)存在的漏洞、風(fēng)險(xiǎn)、異常、未知惡意軟件越來(lái)越多，其防御過(guò)程難度增大，機(jī)器學(xué)習(xí)改進(jìn)算法在入侵檢測(cè)技術(shù)中的應(yīng)用成為很多學(xué)者研究關(guān)注的熱點(diǎn)問(wèn)題，本文選取了近些年來(lái)幾種改進(jìn)的群體智能優(yōu)化算法與支持向量機(jī)融合的網(wǎng)絡(luò)入侵檢測(cè)技術(shù)開(kāi)展了綜述。

2 群體智能優(yōu)化算法

K最鄰近（k-Nearest Neighbor，KNN）、模糊聚類（Fuzzy Clustering）、貝葉斯優(yōu)化（Bayesian Optimization）、隨機(jī)森林（Random Forest）等經(jīng)典算法[12]不能夠準(zhǔn)確得到非線性、多極值等復(fù)雜函數(shù)的最優(yōu)解，隨著優(yōu)化理論的不斷發(fā)展，學(xué)者們通過(guò)對(duì)粒子群、蟻群、鳥(niǎo)群、蜂群、螢火蟲(chóng)群等社會(huì)生物的群體活動(dòng)行為的研究，衍生出了一系列智能群體優(yōu)化算法，比如遺傳算法[13]、粒子群優(yōu)化算法[14]、蟻群優(yōu)化算法[15]、人工蜂群優(yōu)化算法[16]、人工螢火蟲(chóng)群優(yōu)化算法[17]等?；谌后w智能優(yōu)化算法改進(jìn)機(jī)器學(xué)習(xí)算法的技術(shù)在網(wǎng)絡(luò)入侵檢測(cè)領(lǐng)域廣泛應(yīng)用，各種群體智能優(yōu)化算法比較如表1所示。

3 智能融合的支持向量機(jī)算法

入侵檢測(cè)系統(tǒng)（Intrusion Detection System，IDS）可以分為基于誤用、異常和混合網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)[18]，入侵檢測(cè)系統(tǒng)分類如圖1所示。由于DOS、R2L、U2R、probe等網(wǎng)絡(luò)攻擊行為在快速演變，識(shí)別“零日”攻擊日益重要，而異常入侵檢測(cè)成為檢測(cè)的主要研究方向的首要原因是異常入侵檢測(cè)能夠識(shí)別未知的網(wǎng)絡(luò)威脅。學(xué)者們研究了多種機(jī)器學(xué)習(xí)檢測(cè)模型，針對(duì)高維、小樣本的網(wǎng)絡(luò)數(shù)據(jù)集，支持向量機(jī)（Support Vector Machine， SVM）模型具有相當(dāng)?shù)膬?yōu)勢(shì)，不會(huì)面臨像聚類算法高錯(cuò)誤率、神經(jīng)網(wǎng)絡(luò)“維數(shù)災(zāi)”、過(guò)擬合等難題，有更好的泛化能力，能夠適用于其他數(shù)據(jù)集，但是由于SVM算法的懲罰參數(shù)C和核寬度參數(shù)σ的尋優(yōu)主要依賴于經(jīng)驗(yàn)方法，難以保證參數(shù)的準(zhǔn)確性，而參數(shù)直接影響SVM模型識(shí)別網(wǎng)絡(luò)攻擊分類的準(zhǔn)確性。為了能夠獲得較優(yōu)參數(shù)的SVM模型，高效、準(zhǔn)確的檢測(cè)網(wǎng)絡(luò)攻擊行為，諸多學(xué)者提出了智能優(yōu)化算法與SVM融合的入侵檢測(cè)技術(shù)。

3.1粒子群優(yōu)化（Particles Swarm Optimization， PSO）?算法

PSO算法是一種收斂速度快、精度高的迭代進(jìn)化算法，源于Eberhart博士和Kennedy博士模擬鳥(niǎo)群覓食行為的研究，是類似于模擬退火算法、遺傳算法的智能算法。PSO算法的基本原理步驟如圖2所示。

余森[19]，劉明珍[20]等研究了PSO算法和SVM融合的網(wǎng)絡(luò)入侵檢測(cè)技術(shù)。前者研究基于網(wǎng)絡(luò)系統(tǒng)中的通信數(shù)據(jù)作為訓(xùn)練集和驗(yàn)證集，KDD 1999作為測(cè)試集，通過(guò)采用PSO算法確定懲罰參數(shù)C和核寬度參數(shù)σ的值，確定網(wǎng)絡(luò)入侵檢測(cè)分類器。作者通過(guò)試驗(yàn)、對(duì)比發(fā)現(xiàn)，PSO算法確定SVM參數(shù)設(shè)計(jì)的網(wǎng)絡(luò)入侵檢測(cè)分類模型，準(zhǔn)確率更高、檢測(cè)時(shí)間更短，降低了誤檢率、漏檢率，檢測(cè)效果更好。后者研究基于KDD 1999數(shù)據(jù)集，通過(guò)BPSOA（用二值粒子群優(yōu)化算法），對(duì)數(shù)據(jù)集的41個(gè)特征進(jìn)行特征提取，直至獲得最佳特征集，設(shè)計(jì)網(wǎng)絡(luò)入侵檢測(cè)分類器。作者通過(guò)試驗(yàn)、對(duì)比發(fā)現(xiàn)，BPSO科學(xué)的排除了特征集中的噪聲特征，同樣可以降低檢測(cè)時(shí)間、提高準(zhǔn)確率。兩者研究均表明，PSO算法不僅可用于參數(shù)尋優(yōu)，還可用于最優(yōu)特征集篩選，從而優(yōu)化網(wǎng)絡(luò)入侵檢測(cè)的系統(tǒng)性能。

但基本的PSO算法優(yōu)化SVM參數(shù)的迭代過(guò)程中，種群在搜索空間的聚集度會(huì)逐漸提高、多樣性會(huì)大幅減少，容易導(dǎo)致PSO算法陷入局部極值、后期迭代效率低等現(xiàn)象，針對(duì)以上不足，諸多學(xué)者從改進(jìn)粒子群優(yōu)化（Improved Particle Swarm Optimization，IPSO）算法或多種算法融合的角度進(jìn)行研究，以此優(yōu)化SVM尋優(yōu)參數(shù)的準(zhǔn)確率，提高網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的性能。馬占飛[21]等通過(guò)在傳統(tǒng)的PSO算法中設(shè)計(jì)高斯擾動(dòng)和適應(yīng)度方差值，在傳統(tǒng)的差分（Differential Evolution，DE）算法中設(shè)計(jì)縮放因子F的自適應(yīng)動(dòng)態(tài)調(diào)整策略，提出了IQPSO-IDE入侵檢測(cè)方法，即改進(jìn)的粒子群優(yōu)化和改進(jìn)的差分（Improved Differential Evolution，IDE）算法融合。該入侵檢測(cè)模型的設(shè)計(jì)首先通過(guò)在種群粒子的平均位置引入高斯擾動(dòng)來(lái)增加粒子多樣性;其次選擇能夠反映粒子群聚集度的適應(yīng)度方差s2，原理是通過(guò)設(shè)置閾值來(lái)判斷算法的搜索能力。s2大于閾值，說(shuō)明粒子群聚集度小，搜索能力較好，未達(dá)到局部最優(yōu)，s2小于閾值，說(shuō)明粒子群聚集度大，搜索能力差，算法陷入局部極值問(wèn)題;最后利用自適應(yīng)調(diào)整縮放因子F的差異策略，原理是動(dòng)態(tài)調(diào)整F值的大小，在算法的迭代后期，豐富種群粒子的多樣性，使其更好的進(jìn)行SVM參數(shù)尋優(yōu)。結(jié)果表明，IQPSO-IDE算法提高了網(wǎng)絡(luò)入侵檢測(cè)的正確率、降低了漏報(bào)率和誤報(bào)率。

3.2 蟻群優(yōu)化（Ant Colony Optimization，ACO）算法

ACO算法是一種機(jī)率型算法，用來(lái)在圖中尋找優(yōu)化路徑。源于Marco Dorigo博士對(duì)螞蟻在覓食過(guò)程中，根據(jù)其他螞蟻留下的信息素發(fā)現(xiàn)從巢穴到食物源之間最短路徑行為的研究，而提出的模擬進(jìn)化智能算法，具有多樣性、正反饋機(jī)制、魯棒性、搜索能力強(qiáng)等特點(diǎn)。ACO算法的基本原理步驟如圖3所示。

潘曉君[22]等研究了ACO算法與SVM融合的網(wǎng)絡(luò)入侵檢測(cè)技術(shù)。作者將ACO與交叉驗(yàn)證兩種算法結(jié)合，利用蟻群每個(gè)個(gè)體之間可以共享信息資源的特性，進(jìn)行局部和全局尋優(yōu)，有效獲得SVM參數(shù)C和σ的最優(yōu)解?；贙DD數(shù)據(jù)集，通過(guò)試驗(yàn)發(fā)現(xiàn)，針對(duì)DOS、U2R、U2L、Probe四種網(wǎng)絡(luò)攻擊類型，蟻群優(yōu)化算法有低誤報(bào)率、低入侵檢測(cè)時(shí)間、高準(zhǔn)確率的優(yōu)點(diǎn)。

但基本的ACO算法存在因發(fā)生螞蟻聚集而陷入局部最優(yōu)、收斂速度慢、收斂停滯等缺點(diǎn)，為此，王雪松[23]，袁琴琴[24]等人提出改進(jìn)ACO算法優(yōu)化SVM的入侵檢測(cè)技術(shù)。前者在螞蟻進(jìn)行空間搜索的過(guò)程中，為改善因蟻群聚集而導(dǎo)致的局部最優(yōu)狀態(tài)，對(duì)蟻群個(gè)體進(jìn)行高斯變異，調(diào)整螞蟻的搜索路徑，最終選擇最優(yōu)路徑，而確定SVM的參數(shù);后者利用遺傳算法（Genetica1 Algorithm，GA）進(jìn)行數(shù)據(jù)特征選擇，通過(guò)改進(jìn)節(jié)點(diǎn)選擇的方法，即在算法迭代后期進(jìn)行隨機(jī)節(jié)點(diǎn)選擇，同時(shí)改進(jìn)信息更新的策略，即增加最優(yōu)路徑信息素、減少最差路徑信息素，以便加快算法的收斂速度，最終提出IACO-GA網(wǎng)絡(luò)入侵檢測(cè)模型。試驗(yàn)驗(yàn)證表明，以上兩種改進(jìn)的ACO算法均能較好的克服傳統(tǒng)ACO算法的缺陷，提升SVM尋優(yōu)效果。

3.3 人工蜂群（Artificial Bee Colony，ABC）算法

ABC算法是一種全局搜索能力強(qiáng)、收斂速度較快的群體智能算法，源于Karaboga對(duì)蜜蜂種群在任何復(fù)雜的環(huán)境下，能夠高效率采蜜行為的研究，根據(jù)模擬引領(lǐng)蜂、觀察蜂和偵察蜂分配不同的任務(wù)進(jìn)行蜜蜂種群信息交換與共享，最終獲得函數(shù)全局最優(yōu)解。ABC算法的基本原理步驟如圖4所示。

為了改善SVM網(wǎng)絡(luò)入侵檢測(cè)模型的參數(shù)尋優(yōu)能力，提高檢測(cè)正確率，謝偉增[25]提出ABC-SVM網(wǎng)絡(luò)入侵檢測(cè)技術(shù)，通過(guò)ABC算法將SVM懲罰因子C和核參數(shù)σ組合編碼成為人工蜂群算法的蜜源，設(shè)定算法迭代搜索目標(biāo)為檢測(cè)率，多次模擬蜂群尋找蜜源的過(guò)程，最終選擇較優(yōu)的SVM參數(shù)，建立了網(wǎng)絡(luò)入侵檢測(cè)模型。試驗(yàn)表明，ABC-SVM網(wǎng)絡(luò)入侵檢測(cè)模型提高了檢測(cè)正確率，降低了誤報(bào)率。傳統(tǒng)的ABC算法易陷入局部最優(yōu)解且迭代后期搜索能力差，劉銘[26]等人通過(guò)引入交叉突變算子，將父代種群與適應(yīng)度較差的種群進(jìn)行交叉，提出了基于（CMABCCrossover Mutation ABC）算法的SVM網(wǎng)絡(luò)入侵檢測(cè)模型，根據(jù)適應(yīng)度值劃分蜂群，不僅克服了傳統(tǒng)ABC算法易陷入局部最優(yōu)解的缺點(diǎn)，且提高了算法的收斂速度。

4 結(jié)束語(yǔ)

網(wǎng)絡(luò)入侵檢測(cè)技術(shù)是網(wǎng)絡(luò)安全領(lǐng)域較重要的防護(hù)技術(shù)，隨著突發(fā)網(wǎng)絡(luò)安全事件數(shù)量逐漸增加，提高網(wǎng)絡(luò)入侵檢測(cè)技術(shù)性能尤為重要，本文陳述了基于改進(jìn)的粒子群優(yōu)化算法、蟻群優(yōu)化算法、人工蜂群算法三種群體智能優(yōu)化算法的支持向量機(jī)的網(wǎng)絡(luò)入侵檢測(cè)方法，這種融合算法可以取長(zhǎng)補(bǔ)短，有效解決收斂速度慢、收斂停滯、易陷入局部最優(yōu)、種群多樣性減少等缺點(diǎn)，大大提升參數(shù)尋優(yōu)能力，設(shè)計(jì)檢測(cè)效率較高的模型，減少網(wǎng)絡(luò)安全事件發(fā)生。

但是，就群體智能優(yōu)化算法和傳統(tǒng)的機(jī)器算法相融合的入侵檢測(cè)技術(shù)還有很大的提升空間，一是由于網(wǎng)絡(luò)威脅事件日益發(fā)展和變化，常用檢測(cè)技術(shù)難以應(yīng)對(duì)新的網(wǎng)絡(luò)攻擊，只有繼續(xù)深究，才能發(fā)現(xiàn)識(shí)別“零日”攻擊的新型技術(shù);二是群體智能優(yōu)化算法都有各自的優(yōu)缺點(diǎn)和更適合的應(yīng)用領(lǐng)域，研究者應(yīng)同時(shí)融合多種算法，才可以揚(yáng)長(zhǎng)避短，提升算法性能，提高檢測(cè)效率，降低漏檢率和誤報(bào)率，獲得精確的網(wǎng)絡(luò)入侵檢測(cè)模型。以上兩點(diǎn)將是未來(lái)網(wǎng)絡(luò)入侵檢測(cè)技術(shù)研究發(fā)展的重要方向。

參考文獻(xiàn)：

[1]Kemmerer RA， Vigna G （2002） Intrusion detection： a brief history and overview[J]. Computer，2002，35（4）：27-30.

[2]Hitarth Shah，Vishruti Kakkad，Reema Patel，Nishant Doshi. A survey on game theoretic approaches for privacy preservation in data mining and network security[J]. Procedia Computer Science，2019，155.

[3]GiangNguyen， Stefan Dlugolinsky， Martin Bobák， ?Viet Tran， ?？魣lvaro López García， Ignacio Heredia， ?Peter Malík， ?Ladislav Hluch？倀. Machine Learning and Deep Learning frameworks and libraries for large-scale data mining： a survey[J]. Artificial Intelligence Review， 2019， 52 （1）， pp.77-124.

[4]Siddharth Singh Chouhan， Uday Pratap Singh， Sanjeev Jain. Applications of Computer Vision in Plant Pathology： A Survey[J]. Archives of Computational Methods in Engineering： State of the Art Reviews， 2020， 27 （12）， pp.611-632.

[5]Thales Aguiar de Lima，Márjory Da Costa-Abreu.A survey on automatic speech recognition systems for Portuguese language and its variations[J]. ComputerSpeech& Language，2020，62.

[6]Cambria E， White B. Jumping NLP curves：A review of natural language processing research[J]. IEEE ComputIntell Mag， 2014， 9： 48-57.

[7]JaeseokKim，NinoCauli， Pedro Vicente，BrunoDamas， AlexandreBernardino，JoséSantos-Victor，F(xiàn)ilippo Cavallo.Cleaning Tasks Knowledge Transfer Between Heterogeneous Robots： a Deep Learning Approach[J].Journal of Intelligent &Robotic Systems： with a special section on Unmanned Systems， 2020， 98 （1） ：191-205.

[8]Linzhou Pang，Yunzhou Zhang，Sonya Coleman，He Cao. Efficient Hybrid-Supervised Deep Reinforcement Learning for Person Following Robot[J].Journal of Intelligent & Robotic Systems， 2020， 97 （2）：299-312.

[9]Jonathan Schmidt， MárioR.G.Marques， Silvana Botti & Miguel A.L. Marques.Recent advances and applications of machine learning in solid-state materialsscience[J].npjComputational Materials volume 5， Article number： 83 （2019）.

[10]Bert Heinrichs，Simon B. Eickhoff. Your evidence？ Machine learning algorithms for medical diagnosis and prediction[J]. Human Brain Mapping，2020，41（6）.

[11]張蕾，崔勇，劉靜，等.機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)空間安全研究中的應(yīng)用[J].計(jì)算機(jī)學(xué)報(bào)，2018，41（09）：1943-1975.

[12] Wu X， Kumar V， Ross Quinlan J， et al. Top 10 algorithms in data mining[J]. KnowlInfSyst， 2008， 14： 1-37.

[13]M. Rabe，M. Deininger，A.A. Juan. Speeding Up Computational Times in Simheuristics Combining Genetic Algorithms with Discrete-Event Simulation[J]. Simulation Modelling Practice and Theory，2020.

[14]王爾申，孫彩苗，黃煜峰，等.改進(jìn)粒子群優(yōu)化的衛(wèi)星導(dǎo)航選星算法[J/OL].北京航空航天大學(xué)學(xué)報(bào)：1-7[2020-08-13].https：//doi.org/10.13700/j.bh.1001-5965.2019.0644.

[15]Qiang Luo， Haibao Wang， Yan Zheng， Jingchang He. Research on path planning of mobile robot based on improved ant colony algorithm[J].Neural Computing and Applications， 2020， Vol.32 （6）， pp.1555-1566.

[16]XiaoyuSong，MingZhao，QifengYan，Shuangyun Xing. A high-efficiency adaptive artificial bee colony algorithm using two strategies for continuous optimization[J]. Swarm and Evolutionary Computation，2019，50.

[17]楊艷，周永權(quán)，羅林，等.人工螢火蟲(chóng)群優(yōu)化算法求解約束優(yōu)化問(wèn)題[J].小型微型計(jì)算機(jī)系統(tǒng)，2014，35（01）：185-188.

[18]RaoufBoutaba， Mohammad A.Salahuddin，Noura Limam， Sara Ayoubi，Nashid Shahriar， Felipe Estrada-Solano，Oscar M.Caicedo.Acomprehensive survey on machine learning for networking： evolution， applications and research opportunities[J].Journal of Internet Services and Applications， 2018， 9 （1）：1-99.

[19]余森，趙冉.粒子群算法和支持向量機(jī)的網(wǎng)絡(luò)入侵檢測(cè)[J].微型電腦應(yīng)用，2019，35（09）：143-145.

[20]劉明珍.粒子群優(yōu)化支持向量機(jī)的入侵檢測(cè)算法[J].計(jì)算機(jī)工程與應(yīng)用，2012，48（35）：71-74+105.

[21]馬占飛，楊晉，金溢，等.基于IQPSO-IDE算法的網(wǎng)絡(luò)入侵檢測(cè)方法[J].計(jì)算機(jī)工程與應(yīng)用，2019，55（10）：115-120+204.

[22]潘曉君.基于IQPSO的SVM參數(shù)優(yōu)化入侵檢測(cè)研究[J].寧夏師范學(xué)院學(xué)報(bào)，2019，40（10）：80-84.

[23]王雪松，梁昔明.改進(jìn)蟻群算法優(yōu)化支持向量機(jī)的網(wǎng)絡(luò)入侵檢測(cè)[J].計(jì)算技術(shù)與自動(dòng)化，2015，34（02）：95-99.

[24]袁琴琴，呂林濤.基于改進(jìn)蟻群算法與遺傳算法組合的網(wǎng)絡(luò)入侵檢測(cè)[J].重慶郵電大學(xué)學(xué)報(bào)（自然科學(xué)版），2017，29（01）：84-89.

[25]謝偉增.人工蜂群算法優(yōu)化支持向量機(jī)的網(wǎng)絡(luò)入侵檢測(cè)[J].微型電腦應(yīng)用，2017，33（01）：71-73.

[26]劉銘，黃凡玲，傅彥銘，等.改進(jìn)的人工蜂群優(yōu)化支持向量機(jī)算法在入侵檢測(cè)中的應(yīng)用[J].計(jì)算機(jī)應(yīng)用與軟件，2017，34（01）：230-235+246.