基于神經網絡的BP算法研究及在網絡入侵檢測中的應用

羅俊松

摘 要： 通過分析BP神經網絡用于檢測系統存在的問題，在傳統BP算法基礎上，采用自動變速率學習法，引入遺忘因子、隨機優化算子，并將其用于網絡入侵檢測系統。仿真實驗結果表明，改進的BP神經網絡算法用于入侵檢測，速度快、易收斂，目標精度0.02很快達到。改進的BP神經網絡算法的檢測率、漏測率、誤報率分別為96.17%，3.83%，4.15%，檢測率比未改進的BP算法要高出11.65%，漏測率比未改進的BP算法要低10.66%，誤報率比未改進的BP算法要低4.07%，改進算法優越性明顯。

關鍵詞： BP算法； 入侵檢測； 神經網絡； 隨機優化算子

中圖分類號： TN915.08?34； TP393.08 文獻標識碼： A 文章編號： 1004?373X（2017）11?0091?04

Research on BP algorithm based on neural network and its application

in network intrusion detection

LUO Junsong

（College of Information Science and Technology， Chengdu University of Technology， Chengdu 610059， China）

Abstract： By analyzing the problems of BP neural network applied to the detection system， the automatic variable?rate learning method， forgetting factor and random optimization operator are introduced into the BP algorithm on the basis of traditional BP algorithm. The BP algorithm is applied to the network intrusion detection system. The simulation results show that the improved BP neural network algorithm applied to intrusion detection has the characteristics of fast speed and easy convergence， and can quickly obtain the target accuracy of 0.02. The detection rate， missed detection rate and false alarm rate of the improved BP neural network algorithm can reach up to 96.17%， 3.83% and 4.15% respectively， whose detection rate is 11.65% higher than that of the traditional BP algorithm， the missed detection rate is 10.66% lower than that of the traditional BP algorithm， and the false alarm rate is 4.07% lower than that of the traditional BP algorithm. The superiority of the algorithm is obvious.

Keywords： BP algorithm； intrusion detection； neural network； random optimization operator

0 引 言

隨著通信技術和計算機技術的快速發展，計算機的網絡規模越來越大，通信系統也越來越復雜，由于計算機網絡本身具有漏洞，同時還有黑客對網絡進行攻擊，因此計算機網絡受到的威脅和攻擊日益增加[1?3]。網絡安全形勢越來越嚴峻。通過入侵檢測技術可收集計算機網絡中的若干關鍵點信息，同時對這些信息進行分析，并對網絡是否遭到襲擊、是否存在違反安全策略行為進行檢查，并做出及時響應，對網絡連接進行切斷并報警等[4?6]。目前傾向于通過入侵檢測技術結合人工智能算法進行相關研究，對于各種入侵行為，采用人工智能算法通過自學習、自適應能力進行識別、檢測[7]。

作為一種重要的模式識別方法，人工神經網絡具有自學習、自組織、推廣能力強等特點[8]。在入侵檢測系統中，應用人工神經網絡方法可使系統能較好地識別已知攻擊，同時還具有對未知攻擊進行檢測的能力[9]。但是在異常入侵檢測系統中，應用標準BP算法存在收斂局部極小值、學習速度慢等缺點，這在很大程度上影響了入侵檢測系統的性能[10]。本文在對原有BP神經網絡算法進行改進的基礎上，研究了優化的神經網絡BP算法及其在網絡入侵檢測中的應用。

1 BP神經網絡

BP神經網絡是一種多層前饋神經網絡，包括輸入信號前向傳遞和誤差反向傳播兩個過程，在結構上一般由輸入層、隱含層、輸出層三層構成，每一層的神經元狀態只影響下一層神經元狀態。它被廣泛應用在BP神經網絡預測模型中。網絡結構一般只需單個隱含層就能以任意精度逼近任意有理函數。訓練樣本的輸入、輸出向量的維數分別決定了網絡的輸入、輸出層神經節點個數，典型的只有單個隱含層、單個輸出的BP神經網絡結構如圖1所示。

圖1 BP神經網絡拓撲結構

圖1中，為BP神經網絡的一組輸入向量；為網絡的目標輸出值；為輸入層與隱含層之間的連接權值；為隱含層與輸出層之間的連接權值；分別為隱含層和輸出層的節點閾值。若設隱含層節點個數為則在前向傳遞中，輸入信號向量從輸入層經隱含層逐層傳輸，最后到輸出層，通過各層連接權值矢量、閾值矢量和每一層相應的激勵函數進行計算。得到輸出層的預測輸出值若預測值與目標值之間有誤差，則誤差部分轉入反向逐層傳遞，沿誤差減小方向調整網絡各層連接的權值、閾值。反復執行以上過程，使得BP神經網絡的預測值不斷逼近實際輸出值。

2 入侵檢測算法

網絡入侵檢測通過分析系統數據，一旦有網絡攻擊行為、非授權網絡訪問時，入侵檢測系統就會報警，同時對入侵線路進行切斷。入侵檢測系統應具有監視系統、用戶的活動，對系統、用戶活動進行分析，對異常行為模式進行分析，對已知進攻模式進行識別，審計系統弱點、構造，跟蹤管理系統審計，對系統、數據文件完整性進行評估，對用戶違反安全策略行為進行識別。常見的攻擊手段目前包括非授權獲得權限、非授權訪問、探測、拒絕服務等。在實際中，這些攻擊手段變異很大，入侵檢測難度較大。BP神經網絡具有較強的自學習和自組織能力，經過訓練后，對以前觀察到的入侵檢測行為模式，BP神經網絡會進行歸納和總結，可識別出已觀察到的攻擊和已知攻擊變異的新攻擊，圖2為網絡的入侵檢測過程。

3 改進的BP神經網絡入侵檢測

3.1 BP神經網絡用于檢測系統存在的問題

BP神經網絡采用分布式存儲，但傳統的BP算法存在一些不足，包括極小的局部，較慢的學習收斂速度，缺乏理論隱含層節點的選取，已經學完樣本會受到新加入樣本的影響，每次樣本的輸入必須具有確定相同的特征數目。

在入侵檢測中，BP神經網絡的實現方式主要是與現有系統結合進行，BP神經網絡與應用模式識別系統相結合使用，例如與專家系統結合。在這種方式中，BP神經網絡可作為系統組成部分，通常是作為信息過濾模塊或信息預處理模塊，當信息輸入系統后，神經網絡會對信息做過濾處理。另外，神經網絡可規則自動生成模塊，進而更新入侵檢測系統規則庫、模式庫。這種方式的優點是能將入侵檢測系統的工作性能提高，缺點是這種方式神經網絡的真正優勢不能得到充分發揮。

3.2 改進的神經網絡算法

在信號檢測、非線性處理、模式識別等領域，人工神經網絡應用較多，這是因為人工神經網絡自組織性、自適應性非常好，同時其非線性特性明顯，信息存儲為分布式模式、可進行大規模的并行處理。實質上BP神經網絡算法屬于非線性優化的梯度算法，在收斂性上，該算法存在不足，也就是說該算法的學習結果有可能落入到均方誤差全局最小點，也有可能落入到局部極小點，造成算法不收斂，使工作模式陷入錯誤。

入侵檢測系統的主要功能是對入侵計算機網絡的行為和計算機系統進行檢測，包括數據聚類、數據采集、分析判斷行為、對入侵行為進行響應、報警等。BP網絡各層神經元僅連接相鄰層神經元；在各層內部，神經元間無連接；同時各層神經元間也無反饋連接。在信號輸入后，傳播到隱節點經變換函數再將信息傳播到輸出節點，經過處理，輸出結果。本文將改進的BP 神經網絡用于入侵檢測系統，其檢測模型見圖3。

3.2.1 采用自動變速率學習法

傳統BP算法在梯度基礎上，采用最陡下降法LMS學習問題，學習步長為一個較小值，并且這個值是固定不變的，對網絡收斂無益處。因而選擇基于梯度方向自動對學習速率進行調節。通過梯度對學習方向做最終確定，在梯度方向上，學習步長由速率決定。若相鄰兩次梯度方向是相同的，表明該方向的收斂有利；若相鄰兩次梯度方向是相反的，表明該方向的收斂不穩定。根據這個規律，通過兩次相對梯度的變化確定學習步長。當兩次梯度為相同方向時，學習步長增大，該方向上學習速度要加快；在兩次梯度為相反方向時，學習步長減小，整個網絡收斂速度要加快，自適應速率調節方法如下：

（1）

（2）

式中表示在時刻和時刻梯度的乘積。

3.2.2 引入遺忘因子

根據相鄰兩次梯度變化，通過自適應變速率學習法對學習步長算法進行確定。變化單純學習速率，這時收斂速度不能完全保證，但不會有振蕩產生，因此考慮變速率學習法，在權值調節量上，加一個量，這個量正比于前幾次的加權，權值調節量采用式（3）計算：

（3）

式中：表示遺忘因子，引入遺忘因子項，在學習過程中可通過對學習速率進行等效微調的效果進行說明。遺忘因子的作用是緩沖平滑，并使調節的平均方向朝底部變化。

3.2.3 引入隨機優化算子

BP神經網絡算法在引入遺忘因子，采用自動變速率學習法后，雖然可微調學習速率，但BP神經網絡的不足和限制仍存在，為了進一步對BP神經網絡進行優化，本文引入隨機優化算子，當網絡權值誤差迭代達到一定次數后，收斂不明顯或連續幾次發生系統誤差函數梯度變化，這種情況表明網絡進入疲乏狀態，要借助外界推動力對網絡進行激活。當出現這兩種情況時，與權值維數相同的隨機數就產生了，直接將權值和隨機數相加，對系統誤差變化進行判斷，若誤差未降低，繼續產生隨機數，進行權值修改，當誤差出現減少時停止，然后再從新權值繼續開始BP算法，隨機優化算子可隨機變化搜索方向，局部極小點就擺脫掉了，圖4為改進的BP算法流程圖。

4 仿真實驗

本文的仿真實驗在Matlab 7.0實驗平臺進行，以此來驗證提出改進的BP神經網絡算法是否能達到較好的效果，本文同時給出采用未改進的BP算法網絡入侵檢測和改進的BP神經網絡算法網絡入侵檢測模型仿真實驗結果。

圖5為兩種算法得到的訓練精度。從兩種算法的實驗仿真結果可看出，將改進的BP神經網絡算法用于入侵檢測，速度快、易收斂，目標精度0.02很快達到。在規定周期內，未改進的BP算法不能達到規定的目標精度，易陷入局部極小，本文提出的改進的BP算法所用訓練周期較短，學習時間縮短顯著，效果良好。

評價檢測模型的標準為漏報率、誤報率、檢測率，其定義分別如下：

表1為未改進的BP算法與改進的BP算法的比較結果，從表1中可看出，改進的BP神經網絡算法的檢測率、漏報率、誤報率分別為96.17%，3.83%，4.15%，檢測率比未改進的BP算法要高出11.65%，漏報率比未改進的BP算法要低10.66%，誤報率比未改進的BP算法要低4.07%。

表1 兩種算法的入侵檢測結果

[算法 訓練周期 /s 檢測率 /% 漏報率 /% 誤報率 /% 基本BP算法 480 84.52 14.49 8.22 改進的BP算法 480 96.17 3.83 4.15 ]

5 結 語

本文在對原有BP 神經網絡算法進行改進的基礎上，研究了改進優化的BP神經網絡算法及其在網絡入侵檢測中的應用。通過分析BP神經網絡用于檢測系統存在的問題，在傳統BP算法基礎上，采用自動變速率學習法，引入遺忘因子、隨機優化算子，并將其用于網絡入侵檢測系統。仿真實驗表明，改進的BP神經網絡算法用于入侵檢測，速度快易收斂，目標精度0.02很快達到。本文算法具有明顯的優越性，各種入侵行為檢測率得到明顯提高，系統誤報率也降低了，入侵檢測系統性能得到有效改進，本文算法優越性明顯。

參考文獻

[1] 宋玲，常磊.變異粒子群優化的BP神經網絡在入侵檢測中的應用[J].智能系統學報，2013，8（6）：558?563.

[2] 劉伉伉，謝福，郭雪雪.基于BP神經網絡的云計算入侵檢測技術研究[J].計算機與數字工程，2014（12）：2357?2361.

[3] 黃煜坤.基于BP神經網絡算法的入侵檢測技術[J].電子制作，2015（10）：60?62.

[4] 沈夏炯，王龍，韓道軍.人工蜂群優化的BP 神經網絡在入侵檢測中的應用[J].計算機工程，2016，42（2）：190?194.

[5] 王玲.基于BP 算法的人工神經網絡建模研究[J].裝備制造技術，2014（1）：162?164.

[6] 王俊士，李江濤.一種改進的BP神經網絡算法在入侵檢測中的應用[J].電腦知識與技術，2014，10（3）：614?617.

[7] 顏謙和，顏珍.遺傳算法優化的神經網絡入侵檢測系統[J].計算機仿真，2011，28（4）：141?144.

[8] 汪潔.基于神經網絡的入侵檢測系統的設計與實現[J].計算機應用與軟件，2013（5）：320?322.

[9] 胡明霞.基于BP神經網絡的入侵檢測算法[J].計算機工程，2012，38（6）：148?151.

[10] 夏淑華.基于BP神經網絡的入侵檢測系統設計[J].計算機與現代化，2011（4）：47?50.