改進遺傳算法優化的BP神經網絡入侵檢測研究

周貴旺，孫 敏

(山西大學 計算機與信息技術學院，山西 太原 030006)

隨著Internet的飛速發展，網絡應用的種類不斷增加，網絡入侵手段也不斷更新，網絡安全問題已經成為信息社會所面臨的最重要的問題之一。入侵檢測作為網絡與信息安全技術中新的研究領域和成果之一，必將對保障網絡與信息的安全起到重要作用。目前國內外IDS(Intrusion Detection System)研究中所涉及的一些技術和方法主要有：基于神經網絡的入侵檢測技術、基于專家系統的入侵檢測技術、基于Agents的入侵檢測技術和基于模型推理的入侵檢測技術等。其中，基于神經網絡的入侵檢測技術是近幾年網絡安全問題研究的熱點之一[1]。

在基于神經網絡的入侵檢測技術中，反向傳播BP(Back Propagation)神經網絡是比較常用的神經網絡模型。BP算法本質上屬于梯度下降算法，雖然具有自學習能力、尋優精確等特點，但如果初始連接權值取值不當，就會導致網絡振蕩、收斂速度慢、容易陷入局部極值等問題。針對BP算法存在的這些缺點，目前有一種解決方法是用具有全局搜索能力的遺傳算法GA(Genetic Algorithm)優化BP神經網絡，將其應用于入侵檢測。

普通GA的適應度函數不靈敏，其選擇方法易產生隨機誤差，通用性較差，影響算法的性能。本文對GA的適應度函數和選擇方法進行改進，用其優化BP神經網絡，并應用在入侵檢測中。

1 BP神經網絡及遺傳算法簡介

1.1 BP神經網絡簡介

BP神經網絡模型是由一個輸入層、一個或多個隱含層和一個輸出層組成的一種多層前饋型網絡，并用BP算法進行訓練，是一種有導師的學習方法，利用梯度下降法對權值進行修正。在實際應用和研究中通常一個隱含層就能滿足要求。

BP 算法的過程可以分為兩個階段。第一階段是由輸入層開始逐層計算各層神經元的輸入和輸出，直到輸出層為止。第二階段是由輸出層開始逐層計算各層神經元的輸出誤差，并根據誤差梯度下降原則來調節各層的連接權值和節點閾值，使修改后的網絡的最終輸出能接近期望值[2]。如果一次訓練以后還達不到精度要求，可以重復訓練，直到滿足訓練精度為止。BP神經網絡模型流程圖如圖1所示[3]。

圖1 BP算法流程圖

1.2 遺傳算法簡介

遺傳算法是由DARWIN的生物進化論和MENDEL的遺傳理論發展而來的一種高效的全局搜索算法，它模擬自然選擇和遺傳中發生的繁殖、交配和突變現象，從初始種群出發，根據適應度函數計算出的適應度函數值，通過選擇、交叉和變異這3個操作，產生新的更適應環境的個體(問題的解)，使群體進化到搜索空間中越來越接近問題的最優解的區域。這樣一代一代不斷進化，最后收斂到最適應環境的個體上，即求得問題的最優解。圖2為遺傳算法示意圖。

圖2 遺傳算法示意圖

在遺傳算法求解問題時，個體的優劣程度是由適應度函數值的大小來判定的。通常對高于平均適應度值的個體做交叉，而對低于平均適應度值的個體進行變異，從而一代一代地提高群體的平均適應度值。對于同一種群而言，采用不同的適應度函數，平均適應度值就會不同，優于平均適應度值的個體數目也不同，即求解問題的能力有差別。由此可見，適應度函數在遺傳算法求解問題的過程中起著至關重要的作用。

遺傳算法中的選擇、交叉和變異這3個操作是實現優勝劣汰進化的關鍵過程。理想情況下，如果每次選擇操作選取的都是最適合解決問題的那些解，那么最后得到的解即為最優解。因而，選擇方法在遺傳算法優化過程中是非常重要的。常見的選擇方法有輪盤賭選擇法、錦標賽選擇法和隨機遍歷選擇法，這些方法各有特點，按照收斂速度由快到慢依次為：錦標賽選擇法、隨機遍歷選擇法和輪盤賭選擇法。然而，錦標賽選擇法和隨機遍歷選擇法在選擇的時候由于具有很大的隨機性，容易產生隨機誤差，均不易找到全局最優解而陷入局部最優解。而輪盤賭選擇法雖能找到全局最優解，但是收斂速度很慢。因此，遺傳算法有必要進行改進。

2 遺傳算法的改進

2.1 適應度函數

根據設計適應度函數的規范性、合理性、計算量和通用性等規則，本文采用參考文獻[4]中設計的適應度函數：

在理想情況下，b的值是fmin(x)=y*，當適應度值為0.5時，α是f(x)到fmin(x)的距離。考慮到適應度函數的不同應用場合，本文將β值取為2，將α值分別取為1、1.5、0.5。

式(1)中的a和b隨遺傳算法的下一代進化而不斷地修正。b可取當前第i代中的最小值，即b=f(x)×i，而a用公式：

2.2 基于種群交流的選擇方法

基于種群交流的選擇方法就是利用兩種或兩種以上的選擇方法，綜合各種選擇方法的優點，既能保證找到全局最優解，又能保證以一個相對較快的速度收斂，所以其性能通常較好。本文采用的基于種群交流的選擇方法綜合運用輪盤賭選擇法和錦標賽選擇法。

以群體A和群體B為例詳細說明基于種群交流選擇方法的基本思想[5](如圖3所示)。群體A和群體B是兩個不同的種群。在進化中，群體A第一代中的a11與群體B第一代中的b12產生的后代a11′和 a12′進入到群體 A中的第二代；群體 B第一代中的b11與群體 A第一代中 a12產生的后代 b11′和 b12′進入到群體B中的第二代。而群體A第一代中剩余的個體進行輪盤賭選擇，群體B第一代中剩余的個體進行錦標賽選擇。以后的每一代都按照上述的方式進化，直至達到最大進化代數N[5]。

圖3 基于種群交流的選擇方法

從圖3中可以看出，在遺傳算法進化過程中如果對每一個種群的每一代都進行種群間交流，當最大進化代數N很大時會嚴重影響算法的執行效率，而且效果也不一定好。所以在該方法具體應用過程中，以一定的概率 (稱為種群交流概率)隨機對某兩個種群進化過程中的某些代進行交流。這樣既能發揮種群交流的優點，又有助于提高算法的效率。

3 基于改進遺傳算法優化的BP神經網絡原理

用遺傳算法來優化神經網絡可以分為三種：優化神經網絡權值、優化神經網絡結構和優化神經網絡學習規則。因為神經網絡的全部思想都體現在權值上，所以采用遺傳算法優化神經網絡權值，能夠更好地提高神經網絡的整體性能。用遺傳算法優化神經網絡權值的主要思想是改善神經網絡的初始權值和節點閾值[6]。

本文用改進的遺傳算法優化BP神經網絡權值的主要思想是：初始化神經網絡權值后，首先用BP神經網絡進行訓練，如果能滿足精度要求就結束；如果不能滿足精度，再用改進的遺傳算法對BP神經網絡權值進行優化，在解空間中找出一個較好、較小的搜索空間；然后，用BP算法在這個較小的解空間中搜索出最優解[7]。該算法的主要步驟如下：

(1)初始化連接權值和節點閾值，先用BP神經網絡進行訓練。若滿足訓練精度，則停止訓練；否則，將這些初始權閾值初始化為一個初始種群，用改進的遺傳算法進行優化。

(2)編碼，在遺傳算法中，編碼影響著算法的性能和種群的多樣性。二進制編碼和實數編碼相比較而言，二進制編碼比實數編碼搜索能力更強，而實數編碼在變異操作上能更好地保持種群的多樣性。本文采用這兩種編碼相結合的方式[8]，對網絡結構采用二進制編碼，對權閾值范圍、學習速率和動量因子采用實數編碼[9]。

(3)用適應度函數計算出各初始種群對應的適應度函數值。

(4)選擇，采用基于種群交流的選擇方法。

(5)交叉，將選擇后得到的新的群體按照預先確定的交叉率用均勻交叉的方式進行交叉。

(6)變異，依據預先給定的變異率進行變異操作。

(7)重復進行步驟(4)、(5)、(6)，直至滿足達到最大進化代數后結束。

(8)將得到的權值再次用BP神經網絡訓練判斷是否滿足精度要求。若滿足，則算法結束；否則，繼續對該權值進行訓練，直至達到精度要求為止。算法流程圖如圖4所示。

圖4 遺傳神經網絡算法流程圖

4 入侵檢測MATLAB仿真

4.1 數據獲取

將本文提出的入侵檢測方法用Matlab 7.6進行仿真，驗證其性能。樣本數據采用美國麻省理工學院林肯實驗室提供的網絡攻擊評估數據[10]。數據集中的每條記錄包含了41個特征量，根據實驗環境和研究需要，選擇每條記錄的持續時間、協議類型、服務類型、目的端發送到源端的字節數、連接狀態等10個特征作為研究對象，共選取1 200條記錄。為了使神經網絡能夠處理非數值型數據，對數據特征中數值特征和非數值特征統一進行數值編碼，并進行歸一化處理。

4.2 參數設置

整個神經網絡輸入層節點為10，隱含層節點為15，輸出層為1；隱含層傳遞函數為tansig，輸出層傳遞函數為 logsig，訓練函數為 traingda，目標精度為 0.001，最大訓練周期為1 000；遺傳算法初始種群大小為 200，最大進化代數為200，選擇概率為 0.9，交叉率為0.8，變異率為0.09，種群交流概率為 0.6。

4.3 仿真結果比較

將所選取的數據應用到遺傳算法優化的神經網絡和改進的遺傳算法優化的神經網絡，并用Matlab 7.6對兩種神經網絡分別進行入侵檢測仿真，所得結果如圖5和圖6所示。

圖5 基于遺傳算法優化的BP神經網絡入侵檢測仿真結果

圖6 基于改進遺傳算法優化的BP神經網絡入侵檢測的仿真結果

表1為對圖5和圖6的仿真結果進行的比較和分析，可以看出：基于改進遺傳算法優化的BP神經網絡入侵檢測取得較好的效果。采用基于遺傳算法優化的BP神經網絡入侵檢測在最初收斂很快，在50 Epochs后明顯變緩，在1 000 Epochs時仍未收斂，所用的時間比較長；而采用改進遺傳算法優化的BP神經網絡入侵檢測在開始50 Epochs里收斂比較慢，但在50 Epochs后收斂速度明顯加快，在502 Epochs時收斂。在檢測效果上，由表1可以看出，基于遺傳算法優化的BP神經網絡入侵檢測的檢測率為89.67%，而改進的遺傳算法優化的BP神經網絡入侵檢測的檢測率為96.58%，其誤差、漏報率和誤報率也明顯提高。由此可見，采用改進遺傳算法優化BP神經網絡的入侵檢測，訓練精度、漏報率、誤報率和檢測率都明顯提高，時間也比前者縮短了一半以上，性能較好。

表1 仿真結果比較表

本文主要是對遺傳算法的適應度函數和選擇方法進行改進，用改進的遺傳算法優化BP神經網絡，并將其應用在入侵檢測中。有效克服了BP神經網絡容易陷入局部極值和收斂速度慢等問題，增強了全局搜索能力，提高了訓練精度、漏報率、誤報率和檢測率，縮短了訓練時間，從而提升入侵檢測的性能。

[1]王永全.入侵檢測系統(IDS)的研究現狀和展望[J].通信技術，2008，41(11)：139-146.

[2]欒慶林，盧輝斌.基于神經網絡與遺傳算法的入侵檢測研究[J].電子測量技術，2008，31(5)：70-74.

[3]戴天虹.基于遺傳神經網絡的入侵檢測研究[J].中國安全科學學報，2006，16(2)：103-108.

[4]劉英.遺傳算法中適應長函數的研究[J].蘭州工業高等專科學校學報，2006，13(3)：1-4.

[5]魏全新，劉賢鋒，黃鏘，等.遺傳算法選擇方法的比較分析[J].通信和計算機，2008，5(8)：61-65.

[6]LAMHK.Tuningofthestructureandparametersofneuralnetwork using an improved genetic algorithm [C].Industrial Electronics Society，Denver，CO，USA： IECON’01，2001.

[7]欒慶林，盧輝斌.改進遺傳算法在神經網絡權值優化中的應用研究[J].遙測遙控，2008，29(1)：51-54.

[8]YE N G G，LU H.Hierarchical genetic algorithm based neuralnetwork design [C].2000 IEEE Symposium on Combinations ofEvolutionamy Computation and Neural Networks， 2000： 168-175.

[9]馬海峰，宋井峰，岳新.遺傳算法優化的混合神經網絡入侵檢測系統[J].通信技術，2009，42(9)：106-108.

[10]http：//www.ll.mit.edu./IST/ideval/data/2000/LLS-DDOS-2.0.0.html.2001-06-01.