基于GSA 與DE 優(yōu)化混合核ELM 的網(wǎng)絡(luò)異常檢測(cè)模型

生 龍，袁麗娜，武南南，姬少培

（1.河北工程大學(xué)信息與電氣工程學(xué)院，河北 邯鄲 056038；2.河北工程大學(xué)河北省安防信息感知與處理重點(diǎn)實(shí)驗(yàn)室，河北 邯鄲 056038；3.天津大學(xué) 智能與計(jì)算學(xué)部，天津 300072；4.中國(guó)電子科技集團(tuán)公司第三十研究所，成都 610041）

0 概述

隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，特別是Internet 的普及，網(wǎng)絡(luò)安全問題受到學(xué)者的廣泛關(guān)注。作為一種新的安全防御技術(shù)，入侵檢測(cè)系統(tǒng)（IDS）可以主動(dòng)保護(hù)網(wǎng)絡(luò)系統(tǒng)免受非法外部攻擊。IDS 能夠通過檢測(cè)和響應(yīng)各種惡意行為來提高系統(tǒng)的可靠性和安全性。文獻(xiàn)［1-2］介紹了網(wǎng)絡(luò)威脅的研究現(xiàn)狀，將IDS分為異常檢測(cè)系統(tǒng)和簽名檢測(cè)系統(tǒng)兩類。異常檢測(cè)系統(tǒng)在檢測(cè)未知攻擊方面表現(xiàn)更好，但是會(huì)產(chǎn)生很高的誤報(bào)率。簽名檢測(cè)系統(tǒng)依靠特定的攻擊特征來區(qū)分正?；顒?dòng)和惡意活動(dòng)，但是這些系統(tǒng)的檢測(cè)效果受到檢測(cè)規(guī)則的直接影響。因此，提高入侵檢測(cè)系統(tǒng)的檢測(cè)精度和學(xué)習(xí)速度仍然是一項(xiàng)艱巨的任務(wù)［3］。

當(dāng)前在入侵檢測(cè)（ID）領(lǐng)域已經(jīng)有了大量研究。文獻(xiàn)［4］介紹一種有效的異常檢測(cè)方法，可以從網(wǎng)絡(luò)流量數(shù)據(jù)中提取準(zhǔn)確的和可解釋的模糊規(guī)則進(jìn)行分類。文獻(xiàn)［5］將主成分分析（PCA）法用于ID。文獻(xiàn)［6-7］介紹了K 最近鄰（KNN）方法在惡意攻擊檢測(cè)上的應(yīng)用，該方法具備高精度和高檢測(cè)率的特點(diǎn)。文獻(xiàn)［8］介紹一種基于貝葉斯理論和決策樹的新型多級(jí)混合分類器，并將其用于IDS。文獻(xiàn)［9］提出一種具有自適應(yīng)神經(jīng)模糊推理特征的策略增強(qiáng)模糊模型，該模型以較高的檢測(cè)精度和較低的誤報(bào)率來應(yīng)對(duì)與SOAP 相關(guān)的攻擊。文獻(xiàn)［10］提出一種用于自適應(yīng)入侵檢測(cè)系統(tǒng)的實(shí)時(shí)多代理系統(tǒng)的方法（RTMAS-AIDS），該方法允許IDS 進(jìn)行未知攻擊的實(shí)時(shí)檢測(cè)，并且應(yīng)用混合支持向量機(jī)（SVM）和極限學(xué)習(xí)機(jī)（ELM）來對(duì)正常行為和已知攻擊進(jìn)行分類。文獻(xiàn)［11］提出一種基于SVM 算法的入侵檢測(cè)模型，取得了很好的檢測(cè)效果。上述研究在檢測(cè)和報(bào)告惡意攻擊方面取得了較好的性能，但是在準(zhǔn)確率及模型泛化性上仍有待提高。

現(xiàn)有研究旨在提供一種能夠準(zhǔn)確有效進(jìn)行網(wǎng)絡(luò)入侵檢測(cè)的方法，需針對(duì)特定的攻擊特征以高精度和快速的學(xué)習(xí)速度來區(qū)分正?；顒?dòng)和惡意活動(dòng)。文獻(xiàn)［12］將粒子群優(yōu)化（PSO）算法用于SVM-KNN 的參數(shù)優(yōu)化，以構(gòu)建具有更優(yōu)準(zhǔn)確性的分類器。文獻(xiàn)［13］提出一種基于差分進(jìn)化（DE）的加權(quán)SVM 多類分類器。ELM［14］是進(jìn)行入侵和攻擊檢測(cè)的常用方法。文獻(xiàn)［15］提出一種具有高斯核的自適應(yīng)差分進(jìn)化極限學(xué)習(xí)機(jī)，用于進(jìn)行網(wǎng)絡(luò)入侵檢測(cè)。PSO 是一種啟發(fā)式優(yōu)化方法，需要確定的參數(shù)較少，具有收斂速度快和局部?jī)?yōu)化能力強(qiáng)的優(yōu)點(diǎn)。文獻(xiàn)［16-17］指出DE 算法也是一種啟發(fā)式優(yōu)化方法，具有很強(qiáng)的全局優(yōu)化能力與適應(yīng)性強(qiáng)的優(yōu)勢(shì)。但是PSO 和DE 算法都有其自身的缺點(diǎn)，即前者很容易陷入局部最優(yōu)，而后者的局部?jī)?yōu)化能力相對(duì)較弱。

本文在上述研究的基礎(chǔ)上，將徑向基核函數(shù)（RBF）與多項(xiàng)式核函數(shù)相結(jié)合組成混合核函數(shù)，構(gòu)建混合核函數(shù)ELM 模型（HKELM），同時(shí)將GSA、DE、KPCA 及HKELM 模型相結(jié)合，構(gòu)建基于GSA 與DE 優(yōu)化HKELM 的網(wǎng)絡(luò)入侵檢測(cè)模型KPCAGSADE-HKELM。

1 混合核函數(shù)ELM 模型

1.1 ELM 模型

極限學(xué)習(xí)機(jī)（ELM）最初針對(duì)單隱層前饋神經(jīng)網(wǎng)絡(luò)進(jìn)行訓(xùn)練，具有學(xué)習(xí)速度快、泛化能力強(qiáng)的特點(diǎn)［18］。

可簡(jiǎn)寫為：

其中：H為ELM 的隱含層輸出矩陣；Y∈RN×m為期望輸出向量；輸出矩陣β∈，為隱含層單元個(gè)數(shù)。

模型對(duì)參數(shù)ωi和bi進(jìn)行隨機(jī)賦值，即可得出輸出矩陣：

其中：H?為H的廣義逆。

1.2 HKELM 模型

雖然ELM 模型具有較好的泛化性能，但是將模型應(yīng)用于幾個(gè)未知的測(cè)試數(shù)據(jù)集時(shí)，ELM 模型的預(yù)測(cè)準(zhǔn)確性可能會(huì)相對(duì)較低。2012 年，HUANG 等［19］為提高模型的泛化能力，將核參數(shù)I/C引入到HHT中，這一ELM 模型即核函數(shù)極限學(xué)習(xí)機(jī)（KELM）。KELM 的輸出函數(shù)如下：

其中：常數(shù)C是懲罰參數(shù)；I是單位矩陣。

KELM 核函數(shù)的定義如下：

核函數(shù)的選擇會(huì)極大地影響KELM 模型的性能。因此，為KELM 模型找到合適的核函數(shù)具有重要意義。多項(xiàng)式核函數(shù)是典型的全局核函數(shù)，其對(duì)應(yīng)的KELM 模型具有較強(qiáng)的泛化能力和較弱的學(xué)習(xí)能力［20-21］。徑向基核函數(shù)RBF 是典型的局部核函數(shù)，這意味著相應(yīng)的KELM 模型具有很強(qiáng)的學(xué)習(xí)能力和弱泛化能力［20-21］。多項(xiàng)式核函數(shù)的泛化能力優(yōu)于RBF 核功能，而學(xué)習(xí)能力較差。因此，為了提高KELM 的通用性和學(xué)習(xí)能力，本文將兩個(gè)核函數(shù)相結(jié)合組建新的混合核函數(shù)作為KELM 的核函數(shù)，此時(shí)的KELM 模型即為混合核函數(shù)ELM（HKELM）模型。混合核函數(shù)的計(jì)算公式如下：

其中：常數(shù)ω是混合核函數(shù)的權(quán)重系數(shù)，ω∈[0，1]；Kpoly(x，xi)=(x·xi+b)p代表多項(xiàng)式核函數(shù)，b和p分別為常數(shù)和多項(xiàng)式核函數(shù)的指數(shù)參數(shù)；KRBF(x，xi)=代表徑向基核函數(shù)，σ是徑向基核函數(shù)的指數(shù)參數(shù)。

2 結(jié)合GSA 的差分進(jìn)化算法

2.1 引力搜索算法

引力搜索算法（Gravitational Search Algorithm，GSA）是ESMAT 提出的一種群智能優(yōu)化算法，其以萬有引力與牛頓第二定律為基礎(chǔ)［22］。

GSA 中第i個(gè)粒子的質(zhì)量Mi(t)的計(jì)算公式如下：

其中：N為粒子的總數(shù)；fiti(t)為第i個(gè)粒子在t次迭代的適應(yīng)度；best(t)和worst(t)分別為迭代時(shí)所有粒子最好和最差的適應(yīng)度；mi(t)計(jì)算粒子的質(zhì)量，為第i個(gè)粒子相對(duì)于迭代中最好和最差適應(yīng)度的比值［22］，具體如下：

其中：Rij(t)為粒子間的歐氏距離；ε是保證分母不為0 的常量；是第t次迭代時(shí)第i個(gè)粒子在第d維的位置。

隨著迭代次數(shù)的增加，引力常數(shù)G(t)的值逐漸減小，表示為：

其中：G0為初始引力；T為最大迭代次數(shù)；α為衰減系數(shù)。

算法的最優(yōu)解為反復(fù)迭代直至滿足終止條件后粒子的位置。

2.2 差分進(jìn)化算法

差分進(jìn)化（Differential Evolution，DE）算法是一種基于種群進(jìn)化的智能優(yōu)化算法［23］。

假設(shè)進(jìn)化代數(shù)T，種群規(guī)模NP，解空間維度D，第T代的種群個(gè)體vi，T=(xi1，T，xi2，T，…，xiD，T)。標(biāo)準(zhǔn)DE 算法步驟如下：

步驟1初始化種群。一般采用隨機(jī)初始化種群策略。

步驟2變異操作。變異操作是DE 算法的核心內(nèi)容，常用的變異策略為：

其中：Vi，T為第i個(gè)變異個(gè)體；xi，T為第i個(gè)父代個(gè)體；xr1，T和xr2，T是父代中2 個(gè)互不相同且不同于xi，T的個(gè)體；F為變異率。

步驟3交叉操作。交叉操作能增加種群多樣性，其表達(dá)式為：

其中：Uij，T+1為實(shí)驗(yàn)個(gè)體；Cr為交叉率；rj為在［0，1］區(qū)間的隨機(jī)數(shù)；jrand∈[1，2，…，D]為隨機(jī)選擇的一個(gè)整數(shù)。

步驟4選擇操作。選擇操作通過比較父代個(gè)體和子代個(gè)體的目標(biāo)函數(shù)值來選擇更優(yōu)的個(gè)體，其表達(dá)式為：

其中：f(·)為適應(yīng)度值。

計(jì)算公式如下：

其中：yi和分別是實(shí)際結(jié)果和預(yù)測(cè)結(jié)果。

2.3 差分進(jìn)化算法

DE 算法的全局優(yōu)化能力很強(qiáng)，可以利用差分信息準(zhǔn)確地找到搜索空間的全局最優(yōu)值，然而其局部?jī)?yōu)化能力相對(duì)較弱［24］。GSA 的局部?jī)?yōu)化能力較強(qiáng)，而其全局優(yōu)化能力相對(duì)較弱。因此，本文將GSA 和DE 算法相結(jié)合，提出結(jié)合GSA 的差分進(jìn)化算法（GSADE）。

GSADE 算法流程如圖1 所示。

圖1 GSADE 算法流程Fig.1 Procedure of GSADE algorithm

GSADE 算法的運(yùn)行步驟如下：

步驟1初始化種群粒子個(gè)數(shù)N以及粒子的初始速度與位置。初始化GSADE 的參數(shù)，包括衰減系數(shù)α、初始引力常數(shù)G0等。設(shè)置算法最大迭代次數(shù)為itermax，當(dāng)前迭代次數(shù)為t。

步驟2根據(jù)式（20）計(jì)算適應(yīng)度值。

步驟3如果迭代次數(shù)t為奇數(shù)，則運(yùn)行步驟4；否則跳轉(zhuǎn)到步驟5。

步驟4運(yùn)行GSA 算法：

1）根據(jù)式（12）計(jì)算引力常數(shù)G；

2）對(duì)于求解最小問題，根據(jù)式（10）計(jì)算最佳和最差適應(yīng)度值best(t)和worst(t)；

3）根據(jù)式（13）計(jì)算第i個(gè)粒子受到的合力；根據(jù)式（14）計(jì)算該粒子的加速度；根據(jù)式（8）計(jì)算該粒子的慣性質(zhì)量Mi(t)；

4）根據(jù)式（15）、式（16）更新第i個(gè)粒子的速度和位置；

5）如果i≤N，則返回步驟3）；否則跳轉(zhuǎn)到步驟6。

步驟5運(yùn)行DE 算法：

1）根據(jù)式（17）生成變異向量Vi，T；

2）根據(jù)式（18）生成實(shí)驗(yàn)個(gè)體Uij，T+1；

3）如果fiti(Uij，T+1)≤fiti(xi，T)，則運(yùn)行步驟4）；否則跳轉(zhuǎn)到步驟1）；

4）如果i≤N，則返回步驟1）；否則，轉(zhuǎn)到步驟6。

步驟6根據(jù)粒子的新適應(yīng)度值進(jìn)行參數(shù)更新。

步驟7如果t≤itermax，則返回步驟3；否則，轉(zhuǎn)到步驟8。

步驟8輸出更新結(jié)果作為最優(yōu)參數(shù)。

3 核主成分分析

主成分分析（PCA）是一種用于特征提取和降維的經(jīng)典方法［25］。KPCA 由SCHOLKOPF 等［26］提出，是對(duì)PCA 的改進(jìn)，可以有效地處理非線性問題。

使用非線性映射函數(shù)φ，KPCA 將非線性訓(xùn)練樣本X=[X1，X2，…，XN]T∈Rn×d映射到高維特征空間Γ：

通過使用簡(jiǎn)單的非線性映射函數(shù)φ，輸入空間中不可分割的數(shù)據(jù)在高維特征空間Γ中變得可分離，然后利用PCA 方法提取Γ中的特征，實(shí)現(xiàn)了非線性訓(xùn)練樣本的特征提取。

4 基于GSA 與DE 優(yōu)化混合核ELM 的網(wǎng)絡(luò)入侵檢測(cè)模型

本文基于上述研究，提出一種新型的網(wǎng)絡(luò)入侵檢測(cè)模型——基于GSA 與DE 優(yōu)化混合核ELM 的網(wǎng)絡(luò)入侵檢測(cè)模型（KPCA-GSADE-HKELM）。該模型的具體步驟如下：

步驟1輸入數(shù)據(jù)集及KPCA-GSADE-HKELM模型的初始參數(shù)。

步驟2使用KPCA 方法對(duì)輸入數(shù)據(jù)集進(jìn)行降維和特征提取。

步驟3運(yùn)用預(yù)處理的訓(xùn)練數(shù)據(jù)集訓(xùn)練HKELM模型；使用GSADE算法優(yōu)化HKELM 的模型參數(shù)，當(dāng)?shù)螖?shù)達(dá)到最大值itermax時(shí)，優(yōu)化過程停止，獲得最佳參數(shù)。

步驟4使用測(cè)試數(shù)據(jù)集評(píng)估獲得的最佳HKELM 模型的性能。

步驟5輸出模型檢測(cè)結(jié)果的評(píng)估指標(biāo)。

基于KPCA-GSADE-HKELM 模型的網(wǎng)絡(luò)入侵檢測(cè)流程如圖2 所示。

圖2 基于KPCA-GSADE-HKELM 模型的網(wǎng)絡(luò)入侵檢測(cè)流程Fig.2 Network intrusion detection procedure based on KPCA-GSADE-HKELM model

5 仿真實(shí)驗(yàn)

5.1 實(shí)驗(yàn)數(shù)據(jù)

本文在實(shí)驗(yàn)中選擇KDD99 數(shù)據(jù)集進(jìn)行仿真實(shí)驗(yàn)。KDD99 數(shù)據(jù)集中共包含23 種攻擊類型，可以分為四大攻擊類別：DoS，PRB，U2R 和R2L［27］。由于利用KDD99 完整的數(shù)據(jù)集在進(jìn)行機(jī)器學(xué)習(xí)算法訓(xùn)練時(shí)很復(fù)雜，因此大多數(shù)研究人員都使用了KDD99 數(shù)據(jù)集10%子集作為實(shí)驗(yàn)數(shù)據(jù)。表1 給出了數(shù)據(jù)集的詳細(xì)信息，其中訓(xùn)練數(shù)據(jù)集和兩個(gè)測(cè)試數(shù)據(jù)集分別表示為T0、T1 和T2。訓(xùn)練數(shù)據(jù)集T0 與測(cè)試數(shù)據(jù)集T1 一起用來驗(yàn)證GSADE-HKELM 和 KPCAGSADE-HKELM 模型的有效性。此外，本文還利用測(cè)試數(shù)據(jù)集T2 進(jìn)行KPCA-GSADE-HKELM 模型與其他研究模型的性能比較。

表1 KDD99 數(shù)據(jù)集詳細(xì)信息Table 1 Details of KDD99 dataset

5.2 實(shí)驗(yàn)結(jié)果評(píng)價(jià)指標(biāo)

為了評(píng)估KPCA-GSADE-HKELM 算法的性能，本文利用python 進(jìn)行仿真實(shí)驗(yàn)分析，采用精準(zhǔn)率（Precision）、召回率（Recall）和F-score 值作為每類攻擊的評(píng)估指標(biāo)；采用準(zhǔn)確率（Accuracy，Acc）、平均準(zhǔn)確率（Mean accuracy，MAcc）、平均F-score（Mean Fscore，MF）和假正例率（False Normal Rate，F(xiàn)NR）作為數(shù)據(jù)集整體的評(píng)估指標(biāo)。表2 為評(píng)估指標(biāo)的詳細(xì)解釋。在數(shù)據(jù)集中的網(wǎng)絡(luò)連接可以分為正常（標(biāo)記為0）、攻擊（標(biāo)記為1，2，…，c?1）兩大類，其中c表示網(wǎng)絡(luò)連接的類別數(shù)。

表2 評(píng)估指標(biāo)詳細(xì)解釋Table 2 Detailed explanation of evaluation indicators

5.3 實(shí)驗(yàn)結(jié)果分析對(duì)比

在實(shí)驗(yàn)中，本文利用訓(xùn)練數(shù)據(jù)集T0 和測(cè)試數(shù)據(jù)集T1 進(jìn) 行GSADE-HKELM 與DE-HKELM、GSAHKELM 模型的性能對(duì)比，以及KPCA-GSADEHKELM 模型與GSADE-HKELM 模型的性能對(duì)比；最后在數(shù)據(jù)集T2 上，將KPCA-GSADE-HKELM 方法與其他檢測(cè)方法分別進(jìn)行入侵檢測(cè)。

5.3.1 DE_KELM、GSA_KELM 與GSADE-HKELM模型的對(duì)比

由于在對(duì)HKELM 進(jìn)行訓(xùn)練時(shí)，通過人工經(jīng)驗(yàn)很難快速、準(zhǔn)確地找到最佳參數(shù)值。為此，本文引入了群智能優(yōu)化算法GSADE，以自適應(yīng)的方式獲得最佳參數(shù)值。同時(shí)，為驗(yàn)證其效果，將DE-KELM、GSA-ELM 與GSADE-HKELM 模型進(jìn)行比較。在實(shí)驗(yàn)中，DEHKELM 與GSADE-HKELM 中DE 算法的參數(shù)設(shè)置保持一致，其中種群設(shè)置大小NDE設(shè)置為20，最大迭代次數(shù)itermax設(shè)置為100；式（17）中參數(shù)F設(shè)置為0.8，式（18）中交叉率Cr設(shè)置為0.2；GSA-KELM 與GSADEHKELM 中GSA 算法的參數(shù)設(shè)置保持一致，其中種群大小NGSA設(shè)置為20，最大迭代次數(shù)itermax設(shè)置為100，式（11）中的常數(shù)ε設(shè)置為2–40，式（12）中的初始重力常數(shù)G0設(shè)置為250，衰減系數(shù)α設(shè)置為15。

表3和圖3給出了由DE-HKELM、GSA-HKELM和GSADE-HKELM 模型獲得的每個(gè)類別詳細(xì)的F-score值。從中可以看出，通過GSADE-HKELM 獲得的每個(gè)類別的F-score值均高于其他兩種方法，尤其是在U2R類數(shù)據(jù)上。而且，由DE-HKELM 獲得的平均F-score值為92.23%，GSA-HKELM 的平均F-score值為93.21%，GSADE-HKELM 的平均F-score值為94.44%。與DEHKELM 和GSA-HKELM 相比，GSADE-HKELM 的平均F-score 值分別提高了約2.11 個(gè)百分點(diǎn)和1.23 個(gè)百分點(diǎn)。

表3 DE-HKELM、GSA-HKELM 和GSADE-HKELM在T1 上獲得的每個(gè)類別數(shù)據(jù)的F-score 值Table 3 The F-score value of each category data obtained on T1 by DE-HKELM，GSA-HKELM and GSADE-HKELM %

圖3 DE-HKELM、GSA-HKELM 和GSADE-HKELM 的F-score 值和平均F-score 值Fig.3 F-score value and average F-score value of DEHKELM，GSA-HKELM and GSADE-HKELM

表4 給出了 DE-HKELM、GSA-HKELM 和GSADE-HKELM 3 種模型在數(shù)據(jù)集T1 上各種總體評(píng)估指標(biāo)值。GSADE-HKELM 的Acc、MAcc、MF 均明顯高于DE-HKELM 和GSA-HKELM，而GSADEHKELM 的FNR 值明顯低于其他兩種方法。結(jié)果表明，混合優(yōu)化算法GSADE 在確定最佳參數(shù)以提高HKELM 性能方面明顯優(yōu)于單DE 和GSA 優(yōu)化HKELM 模型，將GSA 與DE 算法結(jié)合起來進(jìn)行HKELM 模型的優(yōu)化時(shí)充分發(fā)揮了兩個(gè)算法的優(yōu)勢(shì)，克服了兩者自身存在的缺陷。

表4 DE-HKELM、GSA-HKELM 和GSADE-HKELM在T1 上的各評(píng)估指標(biāo)Table 4 Various evaluation indicators of DE-HKELM，GSA-HKELM and GSADE-HKELM on T1 %

5.3.2 GSADE-HKELM 與KPCA-GSADE-HKELM的對(duì)比

KPCA 算法的引入可以減少不重要的特征對(duì)分類結(jié)果和計(jì)算效率的影響。表5 顯示了GSADEHKELM 和KPCA-GSADE-HKELM 在數(shù)據(jù)集T1 的各種評(píng)估指標(biāo)值。在表5 中，KPCA-GSADEHKELM 的Acc、MAcc、MF 值分別為97.11%、96.08%和94.88%，分別高于GSADE-HKELM 的97.01%、96% 和94.58%。KPCA-GSADE-HKELM 的FNR 為4.15%，與GSADE-HKELM 的4.54% 相比，降低了8.59 個(gè)百分點(diǎn)。此外，GSADE-HKELM 的運(yùn)行時(shí)間為0.037 391 s，KPCA-GSADE-HKELM 的 運(yùn)行時(shí)間為0.016 379 s，與GSADEHKELM 相比，KPCAGSADE-HKELM 在時(shí)間上降低了56.19%，這表明本文所提出的KPCA-GSADE-HKELM 方法具有更高的計(jì)算效率，利用KPCA 首先進(jìn)行數(shù)據(jù)集的降維，然后通過GSADE-HKELM 方法進(jìn)行異常檢測(cè)時(shí)具有更好的檢測(cè)效果和更高的檢測(cè)效率。

表5 GSADE-HKELM 和KPCA-GSADE-HKELM 在數(shù)據(jù)集T1 上的評(píng)估指標(biāo)值Table 5 Various evaluation index values of GSADEHKELM and KPCA-GSADE-HKELM on T1

5.3.3 KPCA-GSADE-HKELM 與其他模型的對(duì)比

對(duì)于本文提出的KPCA-GSADE-HKELM 模型，下面在測(cè)試數(shù)據(jù)集T2上將其與KDDwinner［28］、CSVAC［29］、CPSO-SVM［30］、Dendron［3］分別進(jìn)行測(cè)試，結(jié)果如表6 所示。從表6可以看出，與其他模型相比，KPCA-GSADEHKELM 模型在DoS 和U2R 攻擊數(shù)據(jù)上具有更高的分類精度。KPCA-GSADE-HKELM 模型檢測(cè)結(jié)果的評(píng)估指標(biāo)Acc、MAcc和MF 的值分別為98.53%、94.91%和86.74%。KPCA-GSADE-HKELM、KDDwinner、CSVAC、CPSO-SVM、Dendron 模型的MF 值分別為86.74%、59.70%、66.53%、73.42%、84.12%；與KDDwinner、CSVAC、CPSO-SVM 和Dendron 相比，KPCA-GSADEHKELM 模型檢測(cè)結(jié)果的MF 值分別提高了約27.04、20.21、13.32 和2.62 個(gè)百分點(diǎn)。這充分說明KPCAGSADE-HKELM 模型在KDD99 數(shù)據(jù)集上具有更好的性能。

表6 KPCA-GSADE-HKELM 與其他模型在T2 上的檢測(cè)結(jié)果Table 6 Test results of KPCA-GSADE-HKELM and other models on T2 %

6 結(jié)束語

本文提出一種基于GSA 與DE 優(yōu)化混合核ELM的網(wǎng)絡(luò)入侵檢測(cè)模型KPCA-GSADE-HKELM。該模型利用能夠反映網(wǎng)絡(luò)流量模式的KDD99 數(shù)據(jù)集進(jìn)行模型評(píng)估，并將兩個(gè)核函數(shù)相結(jié)合構(gòu)建新的混合核函數(shù)HKELM 模型，以提高KELM 的通用性和學(xué)習(xí)能力。實(shí)驗(yàn)結(jié)果表明，與KDDwinner、CSVAC、CPSO-SVM、Dendron 等模型相比，KPCA-GSADEHKELM 模型具有更好的檢測(cè)性能和更高的檢測(cè)效率。下一步通過將特征嵌入技術(shù)與深度學(xué)習(xí)技術(shù)相結(jié)合進(jìn)行網(wǎng)絡(luò)異常入侵檢測(cè)［31］，并利用KDD99 數(shù)據(jù)集及網(wǎng)絡(luò)流量數(shù)據(jù)集UNSW-NB15 進(jìn)行實(shí)驗(yàn)，進(jìn)一步提高網(wǎng)絡(luò)入侵攻擊的檢測(cè)率。