基于概率神經(jīng)網(wǎng)絡(luò)的增量式入侵檢測(cè)方法

李珊珊，李兆玉，賴雪梅，陳虹羽

(1. 重慶郵電大學(xué)通信與信息工程學(xué)院，重慶 400065； 2. 重慶郵電大學(xué)移動(dòng)通信技術(shù)重慶市重點(diǎn)實(shí)驗(yàn)室，重慶 400065)

1 引言

隨著計(jì)算機(jī)和互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，網(wǎng)絡(luò)安全成為了一個(gè)越來越重要的問題。目前網(wǎng)絡(luò)攻擊量日益增長(zhǎng)，攻擊的類型和方式也呈現(xiàn)多樣化趨勢(shì)，因此入侵檢測(cè)成為了國(guó)內(nèi)外相關(guān)研究者們高度關(guān)注的焦點(diǎn)。入侵檢測(cè)是指盡力察覺網(wǎng)絡(luò)中的入侵行為及企圖，以便采取有效的措施來保障網(wǎng)絡(luò)安全的行為，具有入侵檢測(cè)功能的系統(tǒng)叫做入侵檢測(cè)系統(tǒng)[1]。

近年來，深度學(xué)習(xí)獲得了越來越多的研究者的青睞，基于深度學(xué)習(xí)的入侵檢測(cè)也得到了很大的發(fā)展。入侵檢測(cè)中常用的深度學(xué)習(xí)模型有卷積神經(jīng)網(wǎng)絡(luò)(CNN)[2]、自組織增量神經(jīng)網(wǎng)絡(luò)(SOINN)[3]、循環(huán)神經(jīng)網(wǎng)絡(luò)(RNN)[4]、自組織映射網(wǎng)絡(luò)(SOM)[5]、徑向基函數(shù)神經(jīng)網(wǎng)絡(luò)(RBF)[6]、長(zhǎng)短期記憶網(wǎng)絡(luò)(LSTM)[7]等。其中，SOM和SOINN都是增量式神經(jīng)網(wǎng)絡(luò)，具有自適應(yīng)、自學(xué)習(xí)、自組織的特點(diǎn)，可以很好地應(yīng)用于實(shí)際的入侵檢測(cè)中。其中，楊雅輝等[8]開發(fā)了一個(gè)基于增量式GHSOM模型的在線網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，可以在線檢測(cè)過程中動(dòng)態(tài)更新模型，但是算法的準(zhǔn)確率容易受到噪聲影響。Han[9]等提出了一種基于前饋神經(jīng)網(wǎng)絡(luò)的增量式訓(xùn)練算法，較大地提升了網(wǎng)絡(luò)的泛化性能，但是當(dāng)隱單元增加時(shí)，網(wǎng)絡(luò)收斂速度會(huì)隨之減慢。還有一些將增量式學(xué)習(xí)與網(wǎng)絡(luò)集成結(jié)合起來的入侵檢測(cè)算法，如Learn++算法和負(fù)相關(guān)算法[10]，但是這種網(wǎng)絡(luò)增長(zhǎng)的速度非?？?，實(shí)用性不大。

針對(duì)上述問題，本文提出了一種基于概率神經(jīng)網(wǎng)絡(luò)的增量式入侵檢測(cè)方法，在SOINN中引入了可能性理論[11]，將得到的原型向量與概率神經(jīng)網(wǎng)絡(luò)(PNN)[12]結(jié)合構(gòu)建PS-PNN網(wǎng)絡(luò)，采用增量學(xué)習(xí)的方式進(jìn)行入侵檢測(cè)研究，在不影響之前學(xué)習(xí)結(jié)果的情況下，在檢測(cè)的同時(shí)完成新內(nèi)容的學(xué)習(xí)。本方法抗噪性能較強(qiáng)，復(fù)雜度較低，且在大數(shù)據(jù)量場(chǎng)景中穩(wěn)定性較高。

2 相關(guān)工作

2.1 可能性理論

在實(shí)際的互聯(lián)網(wǎng)數(shù)據(jù)流中存在著大量數(shù)據(jù)缺失和不確定的現(xiàn)象，具有一定的隨機(jī)性，所以直接用傳統(tǒng)方法進(jìn)行評(píng)估不夠嚴(yán)密，導(dǎo)致結(jié)果不精確。因此，本文考慮引入可能性理論來解決該問題。

經(jīng)典集合中樣本從屬某個(gè)集合的概率僅取“0”或“1”，可能性理論對(duì)概率的取值擴(kuò)展，將其定義為可能性隸屬度，即μij∈[0，1]，代表樣本xj屬于第i類的可能性。

(1)

ω

(2)

(3)

2.2 自組織增量神經(jīng)網(wǎng)絡(luò)

SOINN是一種可以對(duì)數(shù)據(jù)進(jìn)行在線聚類的兩層神經(jīng)網(wǎng)絡(luò)，可以輸出表征數(shù)據(jù)特征的原型向量與拓?fù)浔硎尽１疚闹皇褂昧薙OINN的第一層，并對(duì)其進(jìn)行了精簡(jiǎn)，使其更加適合在線的增量式學(xué)習(xí)。

SOINN的第一步是將原始數(shù)據(jù)集輸入第一層網(wǎng)絡(luò)，生成原型向量(也就是神經(jīng)元節(jié)點(diǎn))來表示數(shù)據(jù)的分布。網(wǎng)絡(luò)對(duì)原型向量的調(diào)整分為類內(nèi)插入和類間插入兩部分。類內(nèi)節(jié)點(diǎn)插入的目的是減小節(jié)點(diǎn)的量化誤差，插入的方式是在網(wǎng)絡(luò)每經(jīng)歷一個(gè)學(xué)習(xí)周期后，找出當(dāng)前節(jié)點(diǎn)中累積量化誤差最大的兩個(gè)點(diǎn)，在其中插入一個(gè)新的節(jié)點(diǎn)，同時(shí)更新累計(jì)量化誤差值。類間節(jié)點(diǎn)插入的目的是生成之前沒有出現(xiàn)過的數(shù)據(jù)模式，網(wǎng)絡(luò)為每一個(gè)節(jié)點(diǎn)設(shè)置一個(gè)相似度閾值T，利用相似性度量函數(shù)(通常使用歐式距離)判斷新到來的樣本是否為新的模式，如果相似性度量函數(shù)值相差較大，就在樣本的位置上生成一個(gè)神經(jīng)元節(jié)點(diǎn)代表可能的新數(shù)據(jù)模式。

SOINN的拓?fù)浣Y(jié)構(gòu)使用競(jìng)爭(zhēng)Hebb學(xué)習(xí)規(guī)則[13]建立，每輸入一個(gè)數(shù)據(jù)樣本，在特征空間中找出距離其最近的兩個(gè)獲勝節(jié)點(diǎn)，然后把它們連接起來，每條連接都通過一個(gè)參數(shù)age來記錄經(jīng)歷的輸入數(shù)據(jù)的次數(shù)。當(dāng)一條邊連接的兩個(gè)原型向量被同時(shí)激活，將age重置歸零。若age大于規(guī)定的閾值，則該連接將會(huì)被刪除。

最后，SOINN通過周期性刪除密度較低區(qū)域的少量節(jié)點(diǎn)執(zhí)行去噪過程，這使得網(wǎng)絡(luò)在噪聲環(huán)境中具有較強(qiáng)的魯棒性。

2.3 概率神經(jīng)網(wǎng)絡(luò)

概率神經(jīng)網(wǎng)絡(luò)(PNN)常用于模式分類，如圖1所示，PNN一共包括四層，第一層是輸入層，作用是接收數(shù)據(jù)點(diǎn)的輸入；第二層是樣本層，特點(diǎn)是神經(jīng)元個(gè)數(shù)與訓(xùn)練樣本個(gè)數(shù)相同，負(fù)責(zé)計(jì)算輸入向量與中心的距離，第i類模式的第j個(gè)神經(jīng)元的關(guān)系如式(4)所示

(4)

其中，xij為每個(gè)輸入數(shù)據(jù)與樣本之間的歐氏距離。

第三層是求和層，目的是對(duì)屬于同一類別的神經(jīng)元的輸出做加權(quán)平均，如式(5)所示

(5)

其中，vi表示第i類別的輸出，L表示第i類神經(jīng)元的個(gè)數(shù)。

第四層是輸出層，輸出類別是求和層中值最大的一項(xiàng)，如式(6)所示

y=arg max(vi)

(6)

3 基于概率神經(jīng)網(wǎng)絡(luò)的增量式入侵檢測(cè)方法

SOINN是一種無監(jiān)督的增量式競(jìng)爭(zhēng)學(xué)習(xí)網(wǎng)絡(luò)，通常與有監(jiān)督學(xué)習(xí)結(jié)合用于分類。本文將P-SOINN中得到的原型向量作為PNN中樣本層的訓(xùn)練樣本進(jìn)行入侵檢測(cè)。

3.1 P-SOINN網(wǎng)絡(luò)

在SOINN類間節(jié)點(diǎn)插入的過程中，使用可能性隸屬度作為新類別的判別標(biāo)準(zhǔn)來構(gòu)建P-SOINN網(wǎng)絡(luò)。假設(shè)輸入數(shù)據(jù)為樣本Xi，計(jì)算每個(gè)新到來的神經(jīng)元節(jié)點(diǎn)Xi屬于已有類別的可能性，尋找可能性隸屬度最大的兩個(gè)節(jié)點(diǎn)s1和s2分別作為獲勝點(diǎn)和第二獲勝點(diǎn)，如式(7)和式(8)所示

(7)

(8)

若μ(s1，i)>Ts1且μ(s2，i)>Ts2則認(rèn)為Xi與已有類別的差異性過大，在Xi的位置上生成一個(gè)新的節(jié)點(diǎn)代表這個(gè)可能的新類別；若不滿足節(jié)點(diǎn)插入的條件，則根據(jù)式(21)更新s1和s2的權(quán)值。

其中相似性閾值T應(yīng)大于類內(nèi)平均距離同時(shí)小于類間平均距離。若N為所有節(jié)點(diǎn)的集合，Ni為節(jié)點(diǎn)i的鄰居節(jié)點(diǎn)集合且不為空，則Ti的公式如式(9)和式(10)所示

(9)

(10)

P-SOINN的目標(biāo)函數(shù)如式(11)所示，計(jì)算每一個(gè)種類的類內(nèi)加權(quán)平均并求和，然后求6+其最小值來計(jì)算可能性隸屬度和權(quán)值的更新公式。

(11)

其中，m為模糊指標(biāo)，根據(jù)文獻(xiàn)[14]，m取值1.5將會(huì)得到較好的效果；dij為Xi和Wj之間的歐氏距離，μij為Xi屬于第j個(gè)種類的可能性，即

基于約束條件μij∈[0，1]，引入一個(gè)關(guān)于μij的函數(shù)正則項(xiàng)f(U)，當(dāng)μij→0+時(shí)，在目標(biāo)函數(shù)中添加一個(gè)正懲罰值使其避免出現(xiàn)無意義的平凡零解。采用文獻(xiàn)[15]中選用的懲罰項(xiàng)

(12)

所以P-SOINN的目標(biāo)函數(shù)調(diào)整為

(13)

由最速下降法可得

(14)

(15)

如果用上式來計(jì)算Wij，需要知道n的確切值，然而P-SOINN是一個(gè)增量學(xué)習(xí)算法，無法得到n的確切值，所以本文考慮使用一種增量法來計(jì)算。

(16)

則，Wij與W(i+1)j之間的關(guān)系為

W(i+1)j=Wij+ΔW(i+1)j

(17)

由(13)可得

(18)

所以，ΔW(i+1)j可以用式(19)計(jì)算

(19)

然而ΔW(i+1)j并不能用式(19)更新，因?yàn)榉帜钢行枰?jì)算所有的輸入樣本Xi屬于j類的可能性μij，對(duì)于增量式學(xué)習(xí)來說難度很大。本文引入加權(quán)指數(shù)進(jìn)行近似計(jì)算，使得過去輸入樣本的權(quán)向量Wij呈指數(shù)遞減。

(20)

其中，fv∈[0，1]，fv為加權(quán)指數(shù)，表示過去輸入數(shù)據(jù)的遺忘因子，式(19)可以改寫為：

(21)

3.2 PS-PNN網(wǎng)絡(luò)

PNN屬于有監(jiān)督學(xué)習(xí)，網(wǎng)絡(luò)學(xué)習(xí)過程簡(jiǎn)單并且具有準(zhǔn)確率高、對(duì)噪聲魯棒性好的優(yōu)點(diǎn)，但是樣本層中的訓(xùn)練樣本需要有極高的代表性。P-SOINN得到的原型向量正好符合這個(gè)標(biāo)準(zhǔn)，將其添上標(biāo)簽作為PNN的樣本層，對(duì)訓(xùn)練集進(jìn)行訓(xùn)訓(xùn)練，然后對(duì)測(cè)試集進(jìn)行判別。這一過程為無監(jiān)督學(xué)習(xí)和有監(jiān)督學(xué)習(xí)的結(jié)合。PS-PNN的總流程圖如圖2所示。

PS-PNN的偽代碼如下所示。

算法1：PS-PNN

輸入：序列點(diǎn)集{X}，邊集Ε=Φ

輸出：原型向量集合{A}和測(cè)試集數(shù)據(jù)的分類結(jié)果

1)初始化點(diǎn)集N={c1，c2}，c1和c2為最初2個(gè)數(shù)據(jù)點(diǎn)；

2)for{X}do

尋找N中與X最相似的兩個(gè)神經(jīng)元s1和s2

3) ifs1

thenN=N∪{X}

else 更新s1和s2的權(quán)值

endif

4)ifs1和s2之間不存在連接then

Ε=Ε∪{(s1，s2)}

age(s1，s2)=0

endif

5)age(s1，i)=age(s1，i)+1

6)foralledgeage(i，j)>agemaxdo

Ε=Ε{si，sj}

7) if 輸入的數(shù)據(jù)樣本量是λ的整數(shù)倍

then 執(zhí)行去噪過程

end if

end for

8)return 原型向量集合{A}

9)將集合{A}作為PNN的樣本層訓(xùn)練網(wǎng)絡(luò)

10)輸入測(cè)試集數(shù)據(jù)，進(jìn)行入侵檢測(cè)的分類

3.3 復(fù)雜度分析

PS-PNN網(wǎng)絡(luò)的構(gòu)建分為兩個(gè)階段，據(jù)此分別計(jì)算每個(gè)階段的時(shí)間復(fù)雜度。

1)在P-SOINN中，當(dāng)一個(gè)新的樣本X輸入時(shí)，需要找到獲勝點(diǎn)s1和s2，計(jì)算X屬于每一個(gè)節(jié)點(diǎn)的可能性隸屬度，其時(shí)間復(fù)雜度是O(N)。在s1和s2沒有鄰居節(jié)點(diǎn)的情況下，最多需要再次掃描所有節(jié)點(diǎn)，因此時(shí)間復(fù)雜度增加到O(N2)。

2)更新所有和勝利節(jié)點(diǎn)s1相連的節(jié)點(diǎn)的權(quán)值向量Wij時(shí)，最差情況下，即所有節(jié)點(diǎn)都和s1相連時(shí)，時(shí)間復(fù)雜度為O(N)。

3)掃描所有節(jié)點(diǎn)執(zhí)行噪音清除工作，時(shí)間復(fù)雜度為O(N)。

因此，P-SOINN網(wǎng)絡(luò)處理一個(gè)輸入樣本的總時(shí)間復(fù)雜度如式(22)所示

Θ′=O(N2+N+N)=O(N2)

(22)

4)在第二階段的PNN中，設(shè)輸入數(shù)據(jù)為M維，樣本層的訓(xùn)練樣本個(gè)數(shù)為N，在樣本層進(jìn)行M*N次運(yùn)算，時(shí)間復(fù)雜度為O(M*N)。因此，整個(gè)網(wǎng)絡(luò)的時(shí)間復(fù)雜度如式(23)所示

Θ=O(N2)+O(M*N)

(23)

綜上所述，PS-PNN網(wǎng)絡(luò)整體的時(shí)間復(fù)雜度相對(duì)較低，適用于數(shù)據(jù)量較大的網(wǎng)絡(luò)環(huán)境下的入侵檢測(cè)。

4 實(shí)驗(yàn)與分析

4.1 實(shí)驗(yàn)數(shù)據(jù)集

本文使用NSL-KDD數(shù)據(jù)集進(jìn)行實(shí)驗(yàn)，訓(xùn)練集中含有22種攻擊類型，測(cè)試數(shù)據(jù)集中含有17種攻擊類型，攻擊類型主要分為四類：Dos、Probe、U2R、U2L。各類型數(shù)據(jù)在數(shù)據(jù)集中的數(shù)量和占比如表1所示。

表1 NSL-KDD數(shù)據(jù)集

4.2 數(shù)據(jù)預(yù)處理

數(shù)據(jù)預(yù)處理的第一步是符號(hào)型特征數(shù)值化，NSL-KDD數(shù)據(jù)集中含有41個(gè)特征，其中protocol＿type、service和flag三個(gè)特征是類別特征。利用獨(dú)熱編碼對(duì)離散數(shù)據(jù)進(jìn)行處理，將字符型特征轉(zhuǎn)化為數(shù)值型特征。

第二步是數(shù)值規(guī)范化，包括數(shù)據(jù)標(biāo)準(zhǔn)化和數(shù)值歸一化兩個(gè)部分，這一過程可以使各個(gè)特征處于相同的量級(jí)范圍，對(duì)分類結(jié)果起到相同的貢獻(xiàn)作用。

計(jì)算各屬性特征的平均值，如式(24)所示

(24)

計(jì)算各屬性特征的標(biāo)準(zhǔn)差，如式(25)所示

(25)

對(duì)屬性特征進(jìn)行標(biāo)準(zhǔn)化度量，如式(26)所示。

(26)

接下來，將標(biāo)準(zhǔn)化的結(jié)果歸一化到[0，1]區(qū)間，如式(27)所示

(27)

最后，利用主成分分析(PCA)對(duì)數(shù)據(jù)特征進(jìn)行降維操作，這一方法利用正交變換把由線性相關(guān)變量表示的數(shù)據(jù)轉(zhuǎn)換為少數(shù)由線性無關(guān)變量表示的數(shù)據(jù)[16]。

4.3 評(píng)價(jià)指標(biāo)

根據(jù)入侵檢測(cè)的結(jié)果，可將分類情況總結(jié)為四條：真正例，指真實(shí)值為正例且預(yù)測(cè)值為正例的數(shù)量；假正例，指真實(shí)值為反例且預(yù)測(cè)值為正例的數(shù)量；假反例，指真實(shí)值為正例且預(yù)測(cè)值為反例的數(shù)量；真反例，指真實(shí)值為反例且預(yù)測(cè)值為反例的數(shù)量。這四種情況構(gòu)成了混淆矩陣，如表2所示。

表2 混淆矩陣

由混淆矩陣可以得出準(zhǔn)確率(Accuracy)、精確率(Precision)、召回率(Recall)和F值(F-measure)四個(gè)性能指標(biāo)，分別如式(28)、(29)、(30)與(31)所示

(28)

(29)

(30)

(31)

4.4 實(shí)驗(yàn)分析

4.4.1 參數(shù)選擇分析

本文在P-SOINN算法中引入了遺忘因子，遺忘因子取值不同，分類結(jié)果會(huì)受到影響。由于遺忘因子取0.5以下時(shí)，最終的入侵檢測(cè)準(zhǔn)確率很低，所以本文的實(shí)驗(yàn)中遺忘因子從0.5到1取值，每隔0.02取一點(diǎn)，每個(gè)點(diǎn)進(jìn)行20次實(shí)驗(yàn)，得到的結(jié)果如圖3所示。

通過圖3可以得知，當(dāng)遺忘因子逐漸增大，入侵檢測(cè)的四個(gè)檢測(cè)標(biāo)準(zhǔn)的曲線也逐漸走高。當(dāng)遺忘因子大于0.9時(shí)，入侵檢測(cè)的準(zhǔn)確率均在90%以上。圖4為遺忘因子從0.9到1之間的實(shí)驗(yàn)結(jié)果條形圖，可以更直觀地看出當(dāng)遺忘因子為0.99時(shí)，準(zhǔn)確率、精確率和F值均達(dá)到最高，所以在本文的P-SOINN網(wǎng)絡(luò)中遺忘因子取0.99。

4.4.2 實(shí)驗(yàn)結(jié)果分析

將預(yù)處理后的NSL-KDD數(shù)據(jù)集分別輸入P-SOINN和SOINN中，實(shí)驗(yàn)30次后得到每個(gè)類別的原型向量的平均數(shù)量如圖5所示。

由圖5可見，P-SOINN的類別數(shù)量折線分布比SOINN更窄，每個(gè)類別的原型向量的數(shù)量更多，說明改進(jìn)后的P-SOINN比SOINN更加穩(wěn)定。訓(xùn)練集數(shù)據(jù)包含22種攻擊類型，加上Normal類型一共23種，在P-SOINN網(wǎng)絡(luò)中，訓(xùn)練集數(shù)據(jù)的原型向量被分成了23個(gè)類別，對(duì)其進(jìn)行標(biāo)記，用于后續(xù)的有監(jiān)督學(xué)習(xí)。

將PS-PNN同隨機(jī)森林(RF)、決策樹(DT)和高斯樸素貝葉斯(GaussianNB)等三種常用的機(jī)器學(xué)習(xí)方法進(jìn)行二分類對(duì)比實(shí)驗(yàn)。結(jié)果如圖6所示，可以看出PS-PNN的準(zhǔn)確率、召回率和F值均高于對(duì)比算法，證明了PS-PNN的有效性。

接下來進(jìn)行五分類對(duì)比實(shí)驗(yàn)，本文主要對(duì)比了算法的召回率，因?yàn)檎倩芈蕦?shí)際上是指檢出率，可以很直觀地看出每個(gè)類型的檢出結(jié)果中預(yù)測(cè)正確的比例。對(duì)比結(jié)果如表3所示，可以看出與傳統(tǒng)的機(jī)器學(xué)習(xí)算法相比，PS-PNN對(duì)U2R和R2L兩種稀疏攻擊類型的檢出率有較大提升，說明網(wǎng)絡(luò)對(duì)小樣本攻擊有強(qiáng)大的檢測(cè)能力。其次，PS-PNN對(duì)其它三種類型的檢出率也遠(yuǎn)遠(yuǎn)高于DT和GaussianNB，對(duì)于Normal和DOS的檢出率僅次于RF。綜合來看，PS-PNN對(duì)比另外三種算法有更大的優(yōu)勢(shì)。

表3 與機(jī)器學(xué)習(xí)算法的召回率對(duì)比

將PS-PNN同S-PNN、生長(zhǎng)型分層自組織映射神經(jīng)網(wǎng)絡(luò)(GHSOM)[18]和CNN、RNN等四種神經(jīng)網(wǎng)絡(luò)方法進(jìn)行二分類對(duì)比試驗(yàn)。其中S-PNN為SOINN和PNN網(wǎng)絡(luò)的結(jié)合，和PS-PNN與GHSOM同為增量式神經(jīng)網(wǎng)絡(luò)，CNN和RNN為傳統(tǒng)神經(jīng)網(wǎng)絡(luò)。結(jié)果如圖7所示，可以看出增量式神經(jīng)網(wǎng)絡(luò)的準(zhǔn)確率、精確度、召回率和F值均高于對(duì)比的兩個(gè)傳統(tǒng)神經(jīng)網(wǎng)絡(luò)算法，說明增量式神經(jīng)網(wǎng)絡(luò)用于入侵檢測(cè)領(lǐng)域時(shí)有很大的優(yōu)勢(shì)。PS-PNN和S-PNN、GHSOM的對(duì)比，說明了本文將可能性理論引入SOINN中增加了網(wǎng)絡(luò)輸出原型向量的精確度，進(jìn)而提升了入侵檢測(cè)的準(zhǔn)確率，從仿真結(jié)果上看，效果優(yōu)于其它兩個(gè)增量式神經(jīng)網(wǎng)絡(luò)。

接下來進(jìn)行五種算法的五分類對(duì)比實(shí)驗(yàn)，每種類型的召回率如表4所示?？梢钥闯觯隽渴缴窠?jīng)網(wǎng)絡(luò)的優(yōu)勢(shì)是對(duì)稀疏攻擊類型的檢出率有較大的提升。PS-PNN對(duì)U2R的檢出率僅次于GHSOM，對(duì)R2L的檢出率均高于對(duì)比算法，在其它三種類型上的檢出率都具有極大的優(yōu)勢(shì)，證明了PS-PNN算法的有效性。

表4 與神經(jīng)網(wǎng)絡(luò)方法的召回率對(duì)比

4.4.3 網(wǎng)絡(luò)穩(wěn)定性分析

由于本網(wǎng)絡(luò)是基于在線學(xué)習(xí)的競(jìng)爭(zhēng)型神經(jīng)網(wǎng)絡(luò)，此類網(wǎng)絡(luò)的結(jié)果會(huì)因?yàn)閿?shù)據(jù)的輸入次序改變而不同。為了驗(yàn)證算法的穩(wěn)定性，一共進(jìn)行五組實(shí)驗(yàn)，每組10次，得到的結(jié)果如表5所示，可以看出每組實(shí)驗(yàn)的準(zhǔn)確率基本一致，雖然有微小的變化，但是在誤差范圍內(nèi)，這表明PS-PNN受到輸入次序的影響很小，驗(yàn)證了算法在實(shí)際入侵檢測(cè)時(shí)具有較高的穩(wěn)定性。

表5 分組準(zhǔn)確率對(duì)比

5 結(jié)束語

本文介紹了一種基于概率神經(jīng)網(wǎng)絡(luò)的增量式入侵檢測(cè)方法，通過構(gòu)建增量式神經(jīng)網(wǎng)絡(luò)P-SOINN獲取用于表征數(shù)據(jù)分布的原型向量，并將其作為PNN的樣本層進(jìn)行入侵檢測(cè)。本網(wǎng)絡(luò)可以在不影響之前學(xué)習(xí)結(jié)果的情況下，在線動(dòng)態(tài)學(xué)習(xí)數(shù)據(jù)集中的新模式，且復(fù)雜度低，適用于現(xiàn)今互聯(lián)網(wǎng)高速大流量場(chǎng)景下的入侵檢測(cè)。通過相關(guān)仿真實(shí)驗(yàn)表明，該算法能夠有效地提高入侵檢測(cè)精度且總體性能優(yōu)于對(duì)比算法，尤其對(duì)于稀疏攻擊類型具有較高的檢出率?；诖耍绾螌?duì)PS-PNN網(wǎng)絡(luò)中相似性閾值進(jìn)行優(yōu)化選取將作為下一步主要工作。