基于深度自編碼網絡的安全態勢要素獲取機制

朱 江，明 月，王 森

(重慶市移動通信重點實驗室(重慶郵電大學)，重慶 400065) (*通信作者電子郵箱mingy455@163.com)

基于深度自編碼網絡的安全態勢要素獲取機制

朱 江，明 月*，王 森

(重慶市移動通信重點實驗室(重慶郵電大學)，重慶 400065) (*通信作者電子郵箱mingy455@163.com)

針對大規模網絡態勢要素獲取時間復雜度較高和攻擊樣本不平衡導致小類樣本分類精度不高的問題，提出一種基于深度自編碼網絡的態勢要素獲取機制。在該機制下，利用優化后的深度自編碼網絡作為基分類器，識別數據類型。一方面，在自編碼網絡的逐層訓練中，提出一種結合交叉熵(CE)函數和反向傳播(BP)算法的訓練規則，克服傳統的方差代價函數更新權值過慢的缺陷；另一方面，在深度網絡的微調和分類階段，提出一種主動在線采樣(AOS)算法應用于分類器中，通過在線選擇用于更新網絡權值的攻擊樣本，達到總樣本的去冗余和平衡各類攻擊樣本數量的目的，從而提高小類攻擊樣本的分類精度。經對實例數據的仿真分析，該方案有較好的態勢要素獲取精度，并能有效減少數據傳輸時的通信開銷。

網絡安全；態勢要素；深度自編碼網絡；交叉熵函數；主動學習

0 引言

網絡的大規模化、異構化和復雜化使得網絡入侵和攻擊行為具有分布化、海量、多屬性等特點，這對現有的單一的安全產品提出巨大挑戰，管理員很難對整個網絡有全面認識。態勢感知[1]是一種通過提取整個網絡中多源異構的安全要素進行主動、實時評估和預測網絡狀況的安全防御機制，態勢要素獲取是評估和預測的前提，是指在大量的網絡安全數據中獲取對網絡產生影響的因素，并對其進行識別，經統計分析形成態勢要素，其核心就是攻擊數據的分類識別問題。

目前，相關技術還不成熟，態勢要素獲取研究仍具有重要意義。解決態勢要素獲取問題的關鍵就是找到一種方法識別海量的多源異構數據，如文獻[2]利用粒子群優化(Particle Swarm Optimization, PSO)算法優化BP(Back Propagation)神經網絡建立態勢要素獲取模型，可以取得很高的分類精度；文獻[3]提出一種新的事件聚類模型和系統結構來解決跨組織的信息安全事件融合問題；文獻[4] 利用神經網絡并行學習的優勢對大量安全數據分類，該算法對大類樣本數據檢測具有較高的精度，但是這些方法大多在網絡安全數據量較少的情況下能獲得較好的精度，并且需要人工特征提取，也沒有解決目前網絡數據的海量和多屬性特征導致的識別精度相對較低、時間復雜度較高，以及攻擊類型多樣性且收集的樣本往往類別不平衡導致小類樣本訓練得少、識別精度遠遠低于大類樣本的問題。

深度學習[5]模擬了人腦的多層結構，能夠提取數據的高層特征，消除無關屬性的影響，在關聯分析上比傳統的神經網絡更有優勢。為此，針對目前信息安全保障呈現出來的網絡復雜化、實時化等特點，本文提出基于深度自編碼網絡的安全態勢要素獲取方法，充分利用深度學習在處理大數據方面的優勢[6]。為了降低時間復雜度，利用交叉熵(Cross Entropy， CE)作為代價函數取代傳統的均方誤差(Mean Square Error, MSE)函數，通過增加動量因子來進一步提高收斂性能;同時，為了解決由已標記攻擊樣本數不均衡引起的小類攻擊樣本精度較低的狀況，從整體上提高樣本的分類精度，還提出一種主動在線采樣算法應用于分類器中以在線選擇樣本，更新網絡權值。

1 態勢要素獲取模型

現有的網絡分布廣、節點多，所采用的網絡設備和提供的應用服務具有多樣性的特點，因此本文采用層次化態勢要素獲取模型，其結構如圖1所示。主要原理是先局部后整體，通過對各個分塊區域分別部署異構傳感器來實現分布式網絡的全局、動態、實時的網絡安全事件采集。

圖1 層次化態勢要素獲取架構

要素獲取層負責對從傳感器層采集的大量的安全數據進行分析，并實現對網絡攻擊類型的學習；全局分析模塊將各個分塊區域收集的網絡數據整合，統一學習，將學習的分類規則下發至局部模塊，指導局部網絡的安全數據的識別分類。本文利用改進的深度自編碼網絡對預處理后的信息進行分類學習，得到相應的分類規則，經統計分析后生成態勢要素。

使用該框架不僅能夠得到全局的態勢要素，還能實時提取各個局部的態勢要素。根據網絡安全態勢感知結果了解不同局部網絡的信息，從而在網絡出現威脅時，能快速找到相應的網絡。

2 態勢要素獲取方法

在態勢要素獲取模型中，本文側重于要素獲取層，其核心的分類學習模塊采用深度自編碼網絡，其具體的深度架構如圖2所示。

深度自編碼網絡由若干層自編碼器(Auto-Encoder, AE)和一層softmax組成[7]。其中，多層AE堆疊而成棧式自編碼器(Stacked Auto-Encoder, SAE)，分層地學習輸入數據的特征。其訓練過程主要分為兩步：1)分別對每一層AE進行無監督訓練，將訓練得到的權值作為初始權值；2)將最后一層AE的輸出作為softmax的輸入進行有監督學習，同時微調深度網絡。通過這種訓練方法可以從底層學習更多能表示數據隱含特征的抽象特征[8]，從而將合適的特征值用于模式分類。根據最近的一些研究[9]表明，深層模型比淺層模型在實現非線性函數逼近問題上效果更好。

圖2 深度自編碼網絡

從深度學習的結構和訓練過程可以看出，分類精度和訓練時間與其訓練方法相關，因此，考慮網絡安全感知實時性要求和攻擊數據中樣本不平衡的情況，在分層訓練AE時設計了一種結合交叉熵和反向傳播算法的分層訓練規則，在softmax進行訓練和微調時采用本文所提的AOS算法進行采樣選擇更新網絡權值的樣本。

2.1 基于CE-BP的分層訓練規則

傳統的訓練方法是利用均方誤差作為損失函數，當數據量較大時訓練時間較長，因此本文通過推導發現當激活函數為sigmoid函數時，利用交叉熵函數作為損失函數可以實現快速收斂。

自編碼器是SAE的核心組件之一，由編碼器、解碼器以及激活函數f組成，其結構如圖3所示。

圖3 自編碼器結構

編碼器是輸入X到隱含層H的映射，解碼器將數據重構回Y，假設輸入數據為N維，隱含層節點數為M，則表示為：

H=f(WhX+bh)

(1)

Y=f(WyH+by)

(2)

(3)

其中:權值矩陣Wh∈RM*N,Wy∈RN*M;bh∈RM和by∈RN為偏置向量;非線性激活函數f(·)采用sigmoid函數。

設輸入的樣本集為x=[x1,x2,…,xm]，即神經網絡的輸入有m個樣本，每個樣本有n個元素，xk=[v1,v2,…,vn](k=1,2,…,m)，則損失函數為：

(4)

其中:i∈[1,m]，表示第i個輸入樣本;k∈[1,n]，表示某個輸入樣本的第k個元素;xik表示第i個輸入樣本的第k個元素;yik表示第i個輸出樣本的第k個元素。

最小化輸入數據和輸出數據之間的誤差來訓練權值和偏置值，即：

(5)

利用梯度下降法求式(5)的最優解，不同于文獻[10]通過直接求式(4)對權值和偏置值的二次倒數，本文采用反向傳播法算法。由上面的討論可知，AE可以看成兩層的感知機結構，因此將敏感度反向傳遞用以自頂向下修正網絡的權值參數。

設p1=whx+bh，則編碼器的實際輸出為：

h=f(p1)=sigmoid(p1)，且p2=wyh+by

則解碼單元的敏感度為：

(6)

由重構層得出隱含層的敏感度：

(7)

f′(x)=f(x)[1-f(x)]

(8)

式(6)中:xik為第i個樣本的第k個元素的輸入，也即目標輸出。從式(6)可以看出，重構層的訓練不受f′(x)的影響，只與誤差有關，所以當誤差較大時，權值更新快；當誤差較小時，權值更新慢。為了提高收斂性能，防止算法在發散時來回震蕩，引入動量因子γ來平滑收斂時的震蕩，所以參數更新公式為：

Δwl(d+1)=γΔwl(d)-(1-γ)ηsl(yl-1)T

(9)

Δbl(d+1)=γΔbl(d)-(1-γ)ηsl

(10)

其中:yl-1為前一層網絡的輸出，η是學習速度。

2.2 基于AOS-softmax的微調和分類

采用傳統的softmax網絡對整個特征向量進行訓練，當樣本數不平衡時訓練過程更偏向于大類樣本，導致小類樣本的分類精度不高，同時大量的冗余數據浪費了訓練時間，因此本文提出一種主動在線采樣算法，通過分析數據本身的信息量來動態地選擇用于訓練softmax網絡和微調深度網絡的樣本。

2.2.1softmax網絡

softmax網絡[11]是一種有監督分類器，它作為深度自編碼網絡的最后一層用于將自編碼網絡提取的態勢數據特征向量進行分類并微調整個網絡。softmax保證每個輸出單元的總和為1，所以可以把輸出視為條件概率。假設給定輸入矢量R，即R為多層自編碼網絡的輸出，則輸入屬于類別的概率為：

(11)

其中：W和b是logistic邏輯回歸層的權重和偏置值，i為類別標簽。

2.2.2AOS算法

為了解決樣本不均衡問題，常見的方法包括過采樣[12]和欠采樣[13]，這類方法容易造成數據冗余或者丟失了部分信息。后來，主動學習方法[14-15]被用于樣本的抽樣，它通過選擇決策邊界的樣本來訓練分類器，取得了很好的效果。鑒于此，本文設計了一種主動在線采樣算法用于解決樣本不平衡的問題，它運用主動學習思想并結合樣本分布對數據進行采樣，根據每條數據的信息量來選擇微調的樣本，去除冗余的數據，保留更有用的數據。

假設將態勢要素分成m類，則分類器輸出節點數為m。對于一個a類樣本x，其目標輸出為t={ti|ta=1,tj|j≠a=0}。

1)pa遠大于pk:樣本x被學習得好，所含信息量少。

2)pa接近于pk:樣本x以一定的概率被誤判，所含信息量大。

3)pa小于pk:樣本x分類錯誤，需要重新訓練，所含信息量大。

不難看出，第1)種情況已經能獲得準確的類別，因此訓練時應該更偏向于選擇第2)和第3)種情況的樣本。根據softmax網絡前向傳播，定義如下置信度函數：

C=pa-pk

(12)

由式(12)可知，C越大，表示樣本被網絡學習得越好，信息量就越少，網絡權值被更新的可能性就越小；C<0時，說明樣本被錯誤地分類。考慮到C∈[0,1]，C與選擇概率成反比關系，因此根據式(12)設置如下選擇函數：

z=-ln(C)

(13)

運用式(13)可以解決數據冗余的問題，但是對于樣本數分布不平衡的問題還沒有解決。考慮到攻擊數據中大類樣本與小類樣本差距太大，因此，在滿足大樣本分類精度的前提下提高小類樣本被選擇的概率，重新定義選擇函數如下：

(14)

其中:ra為第a類樣本的樣本數量，rmax為最大樣本的數量。C<0時，說明樣本被錯誤地分類，因此取z=+∞。由式(14)可以看出，新的選擇函數根據樣本數量變化：對于小類樣本，選擇函數增大一定的比例；而對于大類樣本，選擇函數沒有變化。將z與預先設定的閾值ε相比較：z>ε，則選擇樣本x反向微調網絡；z≤ε，則樣本x被遺棄。

通過分析上述選擇機制，可以得出如下結論：

1)在當前迭代次數下，被網絡錯誤分類的樣本將被用于網絡權值的更新；

2)在當前迭代次數下，被網絡正確分類的樣本中，置信度越低的樣本被選擇更新網絡權值的概率就越大；

3)在當前迭代次數下，被網絡正確分類的樣本中，選擇函數更偏向于小類樣本；

4)在當前迭代次數下，被遺棄的樣本仍可用于下一次迭代。

主動在線采樣類似于欠采樣，都是通過減少大類樣本的樣本數來提高小類樣本的精度，但是不同之處在于它是在訓練過程中在線采樣；而與主動學習相比，它考慮了樣本類別，而主動學習只考慮樣本信息量，在選定樣本后才對其進行類別判定。

2.2.3 面向softmax網絡的主動在線采樣算法

深度網絡的分類和微調階段是網絡學習的關鍵部分，本文根據主動在線采樣算法和初始化后的網絡構造學習器，其算法如下。其中，樣本xi為最后一層自編碼網絡的輸出特征；softmaxF(xi)為對樣本xi按式(11)進行前向傳輸得到屬于每一類的概率值。

算法1 面向softmax網絡的主動在線采樣算法。

3 態勢要素獲取算法流程

本文對采集的安全數據進行分類識別，綜合網絡安全數據的特點，采用深度網絡作為分類器，同時在深度網絡逐層訓練階段利用交叉熵代替均方誤差損失函數，提出一種主動在線采樣算法應用于softmax網絡訓練和微調階段。假設深度自編碼網絡的層數為K，算法流程如圖4所示。

圖4 態勢要素獲取算法流程

4 仿真及結果分析

影響網絡運行的主要因素是攻擊行為，因此態勢要素獲取層主要負責對攻擊數據的識別，本文使用KDDcup99數據集，它主要將攻擊分為四類：DenialofService(DoS)攻擊、User-to-Root(U2R)攻擊、Remote-to-Local(R2L)攻擊和Probe攻擊，其余的正常數據歸Normal，每類樣本都有相應的標簽。

4.1 數據預處理

KDDcup99數據有41維特征，其中9維離散特征，32維連續特征。對于離散特征采取賦值的方法,而對于連續特征進行標準化和歸一化處理。設處理前的數據為Xij，處理后的數據為X″ij。

4.1.1 數值標準化

對原始特征采用z-score標準化處理,如式(16)所示：

(16)

其中：Xij為第i條記錄的第j個屬性，Avgj為第j個屬性的平均值，Stadj為平均絕對偏差。

4.1.2 數值歸一化

采用Min-max方法進行歸一化處理，如式(17)所示：

(17)

本文按照一定比例隨機抽取KDDcup99中10%訓練數據集的部分數據作為訓練數據，并按同樣的方法抽取KDDcup99測試子集中的數據。數據具體情況如表1所示。

表1 實驗數據

4.2 仿真實驗

4.2.1 網絡的收斂性

首先檢驗自編碼網絡的收斂性，同時比較本文采用的交叉熵(CE)損失函數與傳統的均方誤差(MSE)在自編碼網絡訓練時的誤差變化趨勢，訓練過程中自編碼網絡的誤差相對權值更新次數變化情況如圖5所示。由圖5可知，隨著迭代次數的增加，誤差都單調下降，網絡是逐漸收斂的，可以明顯看出采用交叉熵損失函數收斂更快。

圖5 誤差隨迭代次數變化曲線

4.2.2 深度網絡結構對分類精度的影響

文獻[16]指出，隱含層的節點數和網絡的深度對分類效果有重要影響，網絡層數的增加可以增強深度自編碼網絡的建模能力，但層數過多也可能降低網絡的泛化能力。文獻[17]已驗證，3層自編碼網絡已經足夠取得良好的效果，所以，采用本文所提的深度自編碼網絡，比較深度為2層和3層自編碼網絡下不同隱含層節點數對分類精度的影響，實驗結果如圖6。

選用trainData1作為訓練數據，testData1作為測試數據。輸入維數為41，分類器的輸出維數為5，權重衰減參數為1E-4，動量因子γ=0.9，迭代次數為800。為了確定隱含層節點數對分類效果的影響，固定其他參數，修改網絡隱含層節點數。

容易看出，2層自編碼網絡和3層自編碼網絡均在隱含層節點數為20時分類效果最好。這是因為在KDDcup99數據集的前41維屬性中，并不是所有屬性都適合作為特征，而經過降維后的特征向量對數據潛在特征的挖掘更有效。綜合考慮時效性和精確度，確定網絡結構為41—20—20—5。

4.2.3AOS算法對小類樣本數據的影響

通過對比U2R類攻擊的精確度來驗證AOS算法對小樣本的分類精度的影響。其中，閾值ε=3.5，選用trainData2作為訓練數據，testData2作為測試數據。實驗結果如圖7所示。

圖7 AOS對小樣本態勢要素獲取精確度影響

其中，SAE算法和AOS-SAE算法的自編碼網絡都采用交叉熵損失函數，由圖7可以看出，不同隱含層節點數，AOS對小樣本態勢要素獲取是有效的，提高了小樣本態勢要素獲取的精確度。

4.2.4 與其他分類方法精確度比較

結合4.2.2節的結果，確定深度自編碼網絡的結構，各層都采用梯度下降算法。以每一類別的檢測率和整體的檢測率來衡量網絡的性能，同時將本文算法(AOS-SAE)與未經主動在線采樣的深度自編碼網絡(SAE)、支持向量機(SupportVectorMachine，SVM)、BP神經網絡和經主動在線采樣的BP網絡相比較。其中深度自編碼網絡中AE均采用本文的訓練規則，BP神經網絡也采用三層感知機結構，以均方誤差作為損失函數，sigmoid為激活函數，迭代次數和學習速度與深度自編碼網絡相同，SVM的核函數采用高斯函數，正則化參數設置為默認值1。trainData2作為訓練數據，testData2作為測試數據，檢測結果見表2。

由表2可以看出，本文算法的總體精確度明顯高于其他方法，對小類樣本U2R類攻擊本文算法的檢測率較未經主動在線采樣的SAE提高了23.8%，對R2L類樣本的檢測率相比SAE也提高了4.2%。這說明經主動在線采樣后的深度自編碼網絡由于縮小了各個樣本數量的比例，對小類樣本的檢測率大幅度提高;同時對Probe類樣本的檢測率相比未經主動在線采樣的深度網絡卻下降了1.7%，這是由于Probe類攻擊與R2L類攻擊較相似，抽樣后的樣本檢測時發生混淆。

表2 不同方案態勢要素獲取精確度 %

4.2.5 算法時間復雜度分析

由于態勢感知分析越來越重視時效性，因此必須在保證精確度的同時減少花費的時間。本實驗通過比較分層訓練中使用均方誤差損失函數的深度自編碼網絡(MSE-SAE)、使用交叉熵損失函數的深度自編碼網絡(CE-SAE)和本文所提的分層訓練時使用交叉熵損失函數并結合AOS算法進行微調和分類的深度自編碼網絡(AOS-SAE)的時間復雜度來說明本文方案在滿足實時性上的優勢。

由表3可以看出，結合AOS算法和交叉熵函數的深度自編碼網絡在時效性上有明顯的優勢。采用交叉熵作為誤差函數來更新網絡權值時避免了網絡對激活函數的求導運算，從而使網絡運行時間減少一半以上。利用AOS算法選取特征向量中更有效的數據，去掉相似的特征向量，避免重復學習，從而減少了用于訓練softmax分類器和微調整個網絡的輸入向量個數，縮短了網絡運行的時間。

表3 三種SAE算法時間復雜度對比

5 結語

針對網絡安全態勢要素獲取問題，本文提出了一種基于深度自編碼網絡的獲取方法。借鑒傳統深度學習架構，考慮到sigmoid函數特點，結合交叉熵損失函數和反向傳播算法更新網絡權值，減少網絡收斂時間，提高分類的準確度;同時為了有效提高小樣本的分類精度，在softmax分類器進行有監督訓練時采用主動在線采樣算法來選擇用于更新網絡的連接權值的樣本。選擇樣本的標準考慮類別不平衡的情況和每個樣本的難易程度，從而使得改進后的網絡能夠同時滿足小類的樣本和更難被分類的樣本，由于去除了一些對網絡權值更新作用不大的數據，因此大幅度縮短了網絡的訓練時間。通過對KDDcup99數據的測試，得到了較好的效果，驗證了態勢獲取模型的有效性。在下一步工作中，同時考慮到網絡數據不斷變化的特點，將增量式學習運用到態勢要素獲取中，提高網絡的適應性。

)

[1]CORONATOA,DEPIETROG.Situationawarenessinapplicationsofambientassistedlivingforcognitiveimpairedpeople[J].MobileNetworksandApplications, 2013, 18(3): 444-453.

[2] 郭文忠, 林宗明, 陳國龍. 基于粒子群優化的網絡安全態勢要素獲取[J]. 廈門大學學報:自然科學版, 2009, 48(2):202-206. (GUOWZ,LINZM,CHENGL.NetworksecuritysituationelementsextractionbasedonPSO[J].JournalofXiamenUniversity(NaturalScienceEdition), 2009, 48(2): 202-206.)

[3]SKOPIKF,WURZENBERGERM,SETTANNIG,etal.Establishingnationalcybersituationalawarenessthroughincidentinformationclustering[C]//Proceedingsofthe2015InternationalConferenceonCyberSituationalAwareness,DataAnalyticsandAssessment.Piscataway,NJ:IEEE, 2015: 1-8.

[4] 劉衍珩, 田大新, 余雪崗,等. 基于分布式學習的大規模網絡入侵檢測算法[J]. 軟件學報, 2008, 19(4):993-1003. (LIUYH,TIANDX,YUXG,etal.Large-scalenetworkintrusiondetectionalgorithmbasedondistributedlearning[J].JournalofSoftware, 2008, 19(4): 993-1003.)

[5] 王知音,禹龍,田生偉,等.基于棧式自編碼的水體提取方法[J].計算機應用,2015,35(9):2706-2709. (WANGZY,YUL,TIANSW,etal.Waterbodyextractionmethodbasedonstackedautoencoder[J].JournalofComputerApplications, 2015, 35(9): 2706-2709.)

[6]ZHANGQ,YANGLT,CHENZ.Deepcomputationmodelforunsupervisedfeaturelearningonbigdata[J].IEEETransactionsonServicesComputing, 2016, 9(1):161-171.

[7]SCH?LKOPFB,PLATTJ,HOFMANNT.Greedylayer-wisetrainingofdeepnetworks[M]//AdvancesinNeuralInformationProcessingSystems19:Proceedingsofthe2006Conferences.Cambridge,MA:MITPress, 2007: 153-160.

[8]BENGIOY,COURVILLEA,VINCENTP.Representationlearning:areviewandnewperspectives[J].IEEETransactionsonPatternAnalysisandMachineIntelligence, 2012, 35(8): 1798-1828.

[9]LEROUXN,BENGIOY.Deepbeliefnetworksarecompactuniversalapproximators[J].NeuralComputation, 2010, 22(8): 2192-2207.

[10]CHENY,LINZ,ZHAOX,etal.Deeplearning-basedclassificationofhyperspectraldata[J].IEEEJournalofSelectedTopicsinAppliedEarthObservations&RemoteSensing, 2014, 7(6): 2094-2107.

[11] 汪海波,陳雁翔,李艷秋.基于主成分分析和Softmax回歸模型的人臉識別方法 [J].合肥工業大學學報(自然科學版),2015,38(6):759-763.(WANGHB,CHENYX,LIYQ.FacerecognitionmethodbasedonprincipalcomponentanalysisandSoftmaxregressionmodel[J].JournalofHefeiUniversityofTechnology(NaturalScience), 2015, 38(6): 759-763.)

[12]PEREZ-ORTIZM,GUTIERREZPA,HERVAS-MARTINEZC,etal.Graph-basedapproachesforover-samplinginthecontextofordinalregression[J].IEEETransactionsonKnowledge&DataEngineering, 2015, 27(5): 1233-1245.

[13]NGUYENHM,COOPEREW,KAMEIK.Acomparativestudyonsamplingtechniquesforhandlingclassimbalanceinstreamingdata[C]//Proceedingsofthe6thInternationalConferenceonSoftComputingandIntelligentSystems,andthe13thInternationalSymposiumonAdvancedIntelligenceSystems.Piscataway:IEEE, 2012: 1762-1767.

[14]QIY,ZHANGG.Strategyofactivelearningsupportvectormachineforimageretrieval[J].IETComputerVision, 2015, 10(1): 87-94.

[15]HASANM,ROY-CHOWDHURYAK.Acontinuouslearningframeworkforactivityrecognitionusingdeephybridfeaturemodels[J].IEEETransactionsonMultimedia, 2015, 17(11): 1909-1922.

[16]LAROCHELLEH,BENGIOY,LOURADOURJ,etal.Exploringstrategiesfortrainingdeepneuralnetworks[J].JournalofMachineLearningResearch, 2009, 10: 1-40.

[17]LVY,DUANY,KANGW,etal.Trafficflowpredictionwithbigdata:adeeplearningapproach[J].IEEETransactionsonIntelligentTransportationSystems, 2015, 16(2): 865-873.

ThisworkispartiallysupportedbytheNationalNatureScienceFoundationofChina(61271260, 61301122 ),theNaturalScienceFoundationofChongqingScienceandTechnologyCommission(cstc2015jcyjA40050).

ZHU Jiang, born in 1977, Ph. D., associate professor. His research interests include communication theory and technology, information security.

MING Yue, born in 1992, M. S. candidate. Her research interest include network security situational awareness.

WANG Sen, born in 1990, M. S. candidate. His research interest include network security situational awareness.

Mechanism of security situation element acquisition based on deep auto-encoder network

ZHU Jiang, MING Yue*, WANG Sen

(ChongqingKeyLaboratoryofMobileCommunicationsTechnology(ChongqingUniversityofPostsandTelecommunications),Chongqing400065,China)

To reduce the time complexity of situational element acquisition and cope with the low detection accuracy of small class samples caused by imbalanced class distribution of attack samples in large-scale networks, a situation element extraction mechanism based on deep auto-encoder network was proposed. In this mechanism, the improved deep auto-encoder network was introduced as basic classifier to identify data type. On the one hand, in the training of the auto-encoder network, the training rule based on Cross Entropy (CE) function and Back Propagation (BP) algorithm was adopted to overcome the shortcoming of slow weights updating by the traditional variance cost function. On the other hand, in the stage of fine-tuning and classification of the deep network, an Active Online Sampling (AOS) algorithm was applied in the classifier to select the samples online for updating the network weights, so as to eliminate redundancy of the total samples, balance the amounts of all sample types, improve the classification accuracy of small class samples. Simulation and analysis results show that the proposed scheme has a good accuracy of situation element extraction and small communication overhead of data transmission.

network security; situation element; deep auto-encoder network; cross-entropy function; active learning

2016- 08- 04;

2016- 09- 12。

國家自然科學基金資助項目(61271260,61301122); 重慶市科委自然科學基金資助項目(cstc2015jcyjA40050)。

朱江(1977—),男,湖北荊州人,副教授,博士,主要研究方向:通信理論與技術、信息安全; 明月(1992—),女,重慶人,碩士研究生,主要研究方向:網絡安全態勢感知; 王森(1990—),男,重慶人,碩士研究生,主要研究方向為:網絡安全態勢感知。

1001- 9081(2017)03- 0771- 06

10.11772/j.issn.1001- 9081.2017.03.771

TP393.08

A