基于改進蝙蝠算法的工業控制系統入侵檢測

, ,

(1.華東理工大學化工過程先進控制和優化技術教育部重點實驗室,上海 200237; 2.中國信息安全測評中心,北京 100085)

基于改進蝙蝠算法的工業控制系統入侵檢測

李金樂1,王華忠1,陳冬青2

(1.華東理工大學化工過程先進控制和優化技術教育部重點實驗室,上海200237;2.中國信息安全測評中心,北京100085)

針對蝙蝠算法(BA)易陷入局部極小的缺點,提出了兩點改進:(1)在蝙蝠位置更新時考慮了當前局部最優解分布對算法的影響;(2)將差分進化算法(DE)中的變異操作遷移到蝙蝠算法中,采用隨機性變異的方式增加了種群多樣性,提升了算法局部搜索能力,并通過典型測試函數驗證了本文算法的優越性。將該算法用于工業控制系統(ICS)入侵檢測中支持向量機(SVM)分類器的參數優化,使用工控入侵檢測標準數據集進行仿真研究。結果表明,與DE、粒子群算法(PSO)和遺傳算法(GA)等優化算法相比,其優化的SVM入侵檢測模型在檢測率、漏報率和誤報率等指標上都有顯著提升。

改進蝙蝠算法; 最優解分布; 差分進化算法; 支持向量機; 工業控制系統; 入侵檢測

“震網”病毒[1]敲響了工業控制系統(Industry Control System,ICS)信息安全的警鐘。2016年11月3日工信部下發了《工業控制系統信息安全防護指南》,強調了構建ICS信息安全防御體系的重要性。工業防火墻因其無法抵擋來自局域網內部的攻擊,使得防御顯得被動。入侵檢測作為繼防火墻之后的第2道防線[2],能夠起到主動防御的作用,因此,研究ICS入侵檢測技術成為信息安全領域的一個熱點[3-5]。

入侵檢測在本質上可以歸類為模式識別中的分類問題[4],常用的入侵檢測分類算法有神經網絡、支持向量機(SVM)、決策樹等[6]。其中,SVM作為一種統計學習方法,以其優越的分類性能被廣泛應用于入侵檢測系統的構建,但其分類性能主要依賴于懲罰常數C和核函數參數g的選擇[3],參數選取的適當與否直接關系到入侵檢測分類效果的優劣。因此,SVM入侵檢測分類器參數C和g的優化成為研究的重點和難點。隨著智能優化算法的迅猛發展,一些隨機優化算法如遺傳算法(GA)、粒子群算法(PSO)等[7]被應用于工業控制系統入侵檢測領域并發揮了重要作用。王華忠等[7]應用改進的PSO算法優化SVM入侵檢測分類器的參數,構建了PSO-SVM工控入侵檢測框架并取得了良好的效果。尚文利等[8]使用PSO對單類支持向量機(OCSVM)的參數進行優化,提出了PSO-OCSVM的工業控制系統入侵檢測算法,通過仿真驗證了算法的有效性。

蝙蝠算法[9](BA)是通過模擬蝙蝠利用回聲定位進行搜索和捕食的特性模擬出的一種實數編碼型全局隨機搜索算法。BA算法模型簡單,需要調節的參數少且在低維空間尋優效果好,因此特別適合用于SVM入侵檢測分類器的參數尋優。BA與其他隨機優化算法一樣也容易陷入局部極小[10],因此本文對基本蝙蝠算法提出了兩點改進:(1)不僅考慮當前全局最優解在算法中的作用,也考慮當前局部最優解的分布對算法的影響,使得算法向潛在的全局最優方向搜索;(2)因BA缺乏變異機制,故將差分進化算法 (DE)[11]的變異引入BA,采用隨機性變異的方法增加算法的種群多樣性,增強了算法的局部搜索能力。將改進蝙蝠算法(IBA)用于工業系統入侵檢測中對SVM分類器參數進行尋優,使用密西西比州立大學(MSU)工控入侵檢測標準數據集[2]進行驗證,在MATLAB平臺下進行仿真測試,結果驗證了本文算法的有效性。

1 改進的蝙蝠算法

1.1基本蝙蝠算法

fi=fmin+(fmax-fmin)β

(1)

(2)

(3)

其中:fi為第i只蝙蝠的脈沖發射頻率;fmin和fmax分別為脈沖發射頻率的最大和最小值;β為[0,1]的隨機數;x*為當前全局最優解。基本蝙蝠算法通過從最優解集中隨機選取一個解然后施加隨機擾動來獲得一個新的解,如式(4)所示。

xnew=xold+εAt

(4)

其中:At是當前蝙蝠種群響度的平均值;ε是在[-1,1]上服從均勻分布的隨機值。

響度Ai和脈沖速率Ri的更新公式分別為式(5)和式(6):

(5)

(6)

其中α∈(0,1) ,γ>0。由公式可知,在迭代過程中Ai逐步遞減,Ri逐漸遞增。

基本蝙蝠算法的迭代過程如下:

Step 1 對算法參數fmin、fmax、γ、最大響度A、響度衰減因子α、最大脈沖頻率R0、最大迭代次數IterMax等參數初始化,種群速度和位置進行初始化并計算機每個個體的適應度得到初始化的最優解x*。

Step 5 算法是否達到終止條件或者最大迭代步數,如果是,則算法結束;若否,則返回Step 2繼續迭代。

1.2改進的蝙蝠算法

蝙蝠算法和其他優化算法一樣都易于陷入局部極小而導致算法的優化性能下降,改進的蝙蝠算法(IBA)主要包括以下兩點:

(1) 針對算法的全局和局部搜索能力進行改進,考慮了當前局部極值點的分布對算法搜索的影響。

(7)

令λ1+λ2=1且λ1>0,λ2≥0。

圖1 局部極小值分布曲線Fig.1 Local minimum distribution curve

我們期望算法在迭代早期具有較強的全局搜索能力能夠跳出局部極小,而在迭代后期以當前全局最優為主進行局部搜索。可以令

(8)

λ1=1-λ2

(9)

(10)

其中:Iter是當前迭代次數;ξ是[0,1]的1個實數。可以分析出隨著迭代次數的增大,λ2線性遞減,而λ1則從1-ξ線性遞增到1。λ1和λ2的變化規律符合預期設想:即迭代初期考慮局部最優解的分布對算法的

影響增強全局搜索能力;迭代后期,以當前全局最優解為主導進行局部搜索,使得算法具有自適應性。同時對速度更新公式采用線性權重遞減策略(式(10)),ωmax和ωmin分別為慣性權重的最大和最小值。

(2) 考慮到蝙蝠算法因缺乏變異機制而導致局部搜索能力不強的缺陷,將DE中的變異機制引入BA中,使用隨機性變異策略增強種群多樣性,提升算法局部搜索能力。本文采用標準DE/rand/1/bin[11]進行變異操作,公式如下:

η=e1-IterMax/(IterMax-Iter+1)

(11)

F=F0×2η

(12)

xnew=xr1+F(xr2-xr3)

(13)

其中:η為變異算子;F為縮放因子;F0為縮放因子的初始值;xr1,xr2,xr3是從當前最優解集中隨機選出的3個解。針對這一改進,則將1.1節算法流程中Step 3變更如下:

在改進算法中,無論條件rand1>Ri是否滿足,總有新解xnew的產生,增強了種群多樣性,進而強化了算法的局部搜索能力,提升了算法的優化效果。

1.3改進蝙蝠算法的驗證測試

通過比較改進蝙蝠算法(IBA)與DE、PSO和基本BA算法對標準測試函數的優化效果,驗證了改進算法的有效性,測試函數見表1。上述幾種算法的種群數量均為50,迭代次數為500,其中IBA和BA的參數取值均相同。由于篇幅限制,本文僅給出Girewank函數和Rosenbrock函數[12]在維度為30時的仿真結果,分別如圖2和圖3所示。從仿真結果可以看出,IBA的函數優化性能遠好于基本BA,且IBA的總體優化效果也優于PSO、DE等算法。

表1 測試函數

圖2 Girewank函數優化效果Fig.2 Girewank function optimization results

圖3 Rosenbrock函數優化效果Fig.3 Rosenbrock function optimization results

2 基于IBA-SVM的工業控制系統入侵檢測算法

2.1SVM算法原理

SVM[3]算法的核心思想是使用VC維理論和結構化風險最小化原理[6],在有限數量的樣本上獲取具有最佳泛化能力的模型。通過將低維空間的樣本數據映射到高維空間進而求解最優分類超平面。SVM通過使用核函數方法,能夠有效避免在高維空間的運算,把求解高維空間最優超平面問題簡化為原樣本空間上的凸二次型尋優問題。SVM有效地解決了樣本特征的維數問題且算法的復雜度與維數無關。

假設樣本空間為{(x1,y1),(x2,y2),…,(xm,ym)},其中輸入xi∈Rn,類標簽yi∈{-1,1},m為樣本數量,n為輸入特征維數。使用SVM進行分類,目標函數以及約束如下:

(14)

(15)

其中:k(xi,xj)為核函數;αi為拉格朗日乘子,最終得到分類結果為

(16)

SVM可選用多種核函數包括多項式核、線性核、高斯核以及傅里葉核等[3]。本文使用高斯核函數,即

(17)

本文使用IBA算法對參數C和g進行優化。此外,傳統SVM分類器只針對兩分類問題進行求解,本文需對多種入侵形式進行識別,故用一對一方式(one-versus-one,1-v-1 SVMS)構造k(k-1)/2個 SVM分類器(k為分類類別數目),采用最大贏投票法(Max-Wins Voting)實現ICS網絡攻擊形式的多類分類。

2.2基于IBA-SVM的工控入侵檢測算法

采用離線訓練的方式構建IBA-SVM入侵檢測算法模型,應用工控入侵檢測標準數據集進行仿真研究,在訓練過程中使用IBA算法搜索SVM入侵檢測分類器的最優懲罰常數C和最優高斯核函數參數g,然后使用訓練好的SVM入侵檢測模型在測試集上進行測試評估,以驗證IBA對入侵檢測算法模型的參數優化的有效性。IBA-SVM入侵檢測模型構建流程如圖4所示。算法描述如下:

Step 1 將仿真數據劃分為測試數據和訓練數據,并進行歸一化處理。

Step 2 初始化IBA算法的相關參數(迭代次數、慣性權重最大最小值、搜索邊界值、縮放因子初始F0、ξ、γ、頻率fmin和fmax、響度衰減因子α、響度A和脈沖速率R)。

Step 3 將SVM參數C和g作為優化對象,使用訓練集對SVM模型進行訓練,取5折交叉驗證意義下的分類精度的相反數作為適應度。

Step 4 根據適應度最小準則,使用IBA算法進行迭代搜索并進行必要的越界處理,找出各個蝙蝠個體的最優解和當前種群的全局最優解。

Step 5 判斷是否滿足算法終止條件。若迭代已達到最大迭代次數,或者個體的最佳適應度已經達到指定精度,算法結束迭代,轉至Step 6;否則返回Step 3循環進行迭代。

Step 6 選擇全局適應度最佳的參數C-best和g-best建立SVM分類器模型,最終得到基于IBA-SVM的ICS網絡入侵檢測模型。

圖4 IBA-SVM入侵檢測算法流程圖Fig.4 Flowchart of IBA-SVM intrusion detection algorithm

3 仿真實驗

3.1數據集和預處理

本文使用的數據集是由MSU基礎設施保護中心于2014年建立的工控入侵檢測標準數據集[2],數據源為天然氣管道ICS網絡層數據,數據經過數值化處理,共包含4種類別的攻擊:命令注入攻擊(Command Injection)、響應注入攻擊(Response Injection)、拒絕服務攻擊(Denial of Service,DoS)、偵察攻擊(Reconnaissance)。這4種攻擊類別分別對應不同的攻擊形式。X=(x1,x2,…,xn,y)為數據集中每一條數據記錄的存儲形式,其中x1,x2,…,xn為每條數據的n個特征,y為攻擊類別標簽值。數據集中每條數據包含26個特征和1個標簽值。攻擊形式和對應的分類標簽如表2所示。

表2 攻擊形式及仿真分類標簽

3.2仿真參數設置

所有算法都由MATLAB語言編程實現,仿真平臺:Intel i7-4720 CPU,內存8 GB,Win10 64位操作系統。首先將入侵檢測數據集劃分為訓練集和測試集,從6 000組數據中抽取4 000組作為訓練集,余下2 000組作為測試集。IBA算法群初始化:種群大小設置為20,最大迭代次數IterMax=50,搜索維數d=2,F0=0.5,ξ=0.6,fmin=0,fmax=10,γ=0.85,A=5,α=0.95,R0=1,ωmax和ωmin分別為0.9和0.2。本文中PSO、DE、GA等算法迭代次數和種群數量和IBA算法相同。

使用IBA對SVM懲罰常數C和核函數參數g進行迭代尋優,C和g采用實數編碼且尋優范圍都是0.000 01～10 000。取SVM分類器對4 000組訓練數據在5折交叉驗證意義下得到的準確率的相反數作為適應度,選取訓練過程適應度最優(最小)的SVM入侵檢測模型對2 000組測試數據進行分類,評價算法的尋優效果。

3.3仿真結果

3.3.1 訓練結果分析 為比較算法的優化效果,除了對基本BA和IBA進行仿真以外,也對DE、PSO及GA的SVM參數尋優進行了評估,種群數量和迭代次數都與IBA算法相同。選擇每種算法每代的最佳適應度個體作為當前全局最優解,則迭代尋優過程中,各代最優適應度曲線如圖5所示,算法的運行時間和最終的優化精度如表3所示。

圖5 不同算法訓練精度曲線圖Fig.5 Training accuracy curves of each algorithm

表3 訓練時間和訓練精度

從表3和圖5可以看出,IBA算法對SVM訓練參數的尋優精度最高為96.84%,GA的尋優能力最弱,訓練精度僅為93.20%,PSO和DE尋優精度相當。從算法的收斂速度上看,BA的收斂速度最快,第5代左右就收斂到最優,IBA的收斂代數僅次于BA,但IBA在訓練精度上占據絕對優勢。

從表3可看出,雖然IBA每一代都會有xnew產生,但是對IBA算法的運行時間影響并不是很大,IBA-SVM訓練用時比BA-SVM僅增加了0.87% (11 s),因此在算法運行時間層面上并不會影響IBA算法的正常應用,并且IBA與DE、PSO等算法的運行時間基本保持在同一水平上。GA-SVM的訓練時間比本文所列的其他算法都要長許多。

3.3.2 測試結果分析

(1) 總體檢測效果分析。檢測率、誤報率、漏報率是評價入侵檢測分類器性能的主要指標[10],基于訓練過程中優化得到的SVM的訓練參數構建的SVM入侵檢測分類器,用2 000組數據進行測試,得到整體的檢測率、漏報率、誤報率如表4所示。

表4 總體入侵檢測結果

IBA-SVM的檢測率為97.2%,在所有算法中檢測率最高,而BA-SVM的檢測率僅為94.6%;同時,IBA-SVM的誤報率僅為0.26%,漏報率也僅為1.74%,遠遠低于其他算法的誤報率和漏報率。結合表3可以發現,IBA優化的SVM具有很好的泛化性能,而GA的泛化能力最差,訓練精度為93.20%,測試精度僅為88.3%。同時本文也比較了其他算法對該數據集的評估結果,如Naive Bayes算法[7]和標準SVM算法[13]。

(2) 各攻擊類別檢測效果分析。MSU工控入侵檢測標準數據集[2]包含4種類別、7種形式的攻擊,針對上述算法的仿真結果統計出各個算法在4種攻擊類別上的識別準確率如圖6所示。

圖6 各個攻擊類別的檢測率曲線Fig.6 Detection rate curves for each attack category

從圖6可以非常明顯地看出IBA算法的優越性,IBA-SVM在響應注入攻擊、命令注入攻擊、拒絕服務攻擊和偵察攻擊4個方面檢測效果都明顯高于BA、PSO、DE、GA算法,尤其在命令注入攻擊和拒絕服務攻擊的檢測上性能提升尤為顯著。

各個算法針對8種攻擊形式(包括正常數據)的檢測準確率如圖7所示。從整體來看,IBA-SVM針對每種攻擊形式的檢測率基本上都是最高的,尤其是在NMRI、MFCI、DoS這3種攻擊檢測性能上,IBA較之于其他幾種優化算法優化的SVM入侵檢測模型,分類性能提升十分顯著。同時也可以看出,各個算法對Normal、CMRI、RECO等類別的數據檢測率都非常高,尤其是對RECO,各算法對該攻擊都有接近100%的檢測率。

圖7 各個攻擊形式的檢測率曲線Fig.7 Detection rate curves for each attack form

圖8所示為IBA-SVM入侵檢測模型對測試集中2 000組數據的實際分類結果和理論分類結果的對比結果,從圖中可以直接觀察出測試集數據的分布和錯誤分類數據的分布情況。

圖8 IBA-SVM測試數據分類結果Fig.8 IBA-SVM classification results of test data

4 結束語

蝙蝠算法是一種新興的全局隨機搜索算法,但具有易陷入局部最優、局部深度搜索能力弱、優化精度低等缺陷。本文針對這些缺陷,提出了2點改進。首先考慮隨機局部最優點對算法搜索的影響,在速度更新公式加入隨機局部最優解的作用,讓算法具有自適應性:即在迭代初期考慮全局性,迭代后期專注于局部深度搜索。其次是將差分變異引入BA算法中,采用DE/rand/1/bin模式進行變異操作,增加了種群多樣性和局部深度搜索能力,從而提高了算法的優化精度。基于IBA,本文建立了基于IBA-SVM的ICS入侵檢測模型,用IBA算法對SVM的參數C和g進行尋優。使用MSU的ICS入侵檢測標準數據集進行仿真研究,結果表明:IBA-SVM入侵檢測精度最高,且誤報率、漏報率等各項指標均優于經BA、PSO、DE及GA等算法優化的SVM入侵檢測模型,驗證了IBA在實際工程應用場景中的有效性,拓展了IBA的應用領域。

[1] JIANG J,YASAKETHU L.Anomaly detection via one class svm for protection of scada systems[C]// 2013 International Conference on Cyber-Enabled Distributed Computing and Knowledge Discovery (Cyber C).USA:IEEE,2013:82-88.

[2] NADER P,HONEINE P,BEAUSEROY P.One-class classification for intrusion detection in SCADA systems [J].IEEE Transactions on Industrial Informatics,2014,10(4):2308-2317.

[3] YOO H,SHON T.Novel approach for detecting network anomalies for substation automation based on IEC 61850[J].Multimedia Tools and Applications,2015,74(1):303-318.

[4] BERE M,MUYINGI H.Initial investigation of industrial control system (ICS) security using artifiicial inmue system (AIS)[C]//Internation Conference on Emerging Trends in Networks and Computer Communication.USA:IEEE,2015:79-84.

[5] GAO W,MORRIS T,REAVES B,etal.On SCADA control system command and response injection and intrusion detection[C]//eCrime Researchers Summit (eCrime),2010.USA:IEEE,2010:1-9.

[6] BEAVER J M,BORGES-HINK R C,BUCKNER M A.An evaluation of machine learning methods to detect malicious SCADA communications[C]//International Conference on Machine Learning and Applications.USA:IEEE,2013:54-59.

[7] 王華忠,楊智慧,顏秉勇,等.融合PCA和PSO-SVM方法在工控入侵檢測中的應用[J].科技通報,2016(1):80-85.

[8] 尚文利,李琳,萬明,等.基于優化單類支持向量機的工業控制系統入侵檢測算法[J].信息與控制,2015,44(6):678-684.

[9] 鄭云水,岳小雪,林俊亭.帶有高斯變異的混合蛙跳蝙蝠算法[J].計算機應用研究,2015,32(12):3629-3633.

[10] 劉羿.蝙蝠算法優化神經網絡的網絡入侵檢測[J].計算機仿真,2015,32(2):311-314.

[11] 肖輝輝,段艷明.基于DE算法改進的蝙蝠算法的研究及應用[J].計算機仿真,2014,31(1):272-277.

[12] 龍文,張文專.求解約束優化問題的改進蝙蝠算法[J].計算機應用研究,2014,31(8):2350-2353.

[13] GAO W.Cyberthreats attacks and intrusion detection in supervisory control and data acquistion networks[M].[s.l.]:Dissertations & Theses-Gradworks,2013.

IntrusionDetectionofIndustrialControlSystemBasedonImprovedBatAlgorithm

LIJin-le1,WANGHua-zhong1,CHENDong-qing2

(1.KeyLaboratoryofAdvancedControlandOptimizationforChemicalProcesses,MinistryofEducation,EastChinaUniversityofScienceandTechnology,Shanghai200237,China;2.ChinaInformationTechnologySecurityEvaluationCenter,Beijing100085,China)

Aiming at the local minima problem of the standard bat algorithm (BA),this paper makes two improvements.Firstly,the current local optimal solution distribution is considered during the updating of bats’ positions.Secondly,the random variation operation in differential evolution (DE) algorithm is introduced into BA to increase the diversity of the population and enhance the local search ability of the BA algorithm.Besides,the superiority of the proposed algorithm is illustrated by means of typical test functions.Moreover,the proposed algorithm is applied to the parameters optimization of support vector machine (SVM) classifier in industrial control system (ICS) intrusion detection model.The simulation results from the standard dataset for industrial system intrusion detection show that,compared with DE,particle swarm optimization (PSO) and genetic algorithm (GA),the optimized SVM intrusion detection model via the proposed algorithm can effectively improve the detection rate,false negative rate,and false alarm rate.

improved bat algorithm; optimal solution distribution; DE; SVM; ICS; intrusion detection

TP309

A

1006-3080(2017)05-0662-07

10.14135/j.cnki.1006-3080.2017.05.010

2016-11-15

李金樂(1990-),男,安徽滁州人,碩士生,主要研究方向為工業系統信息安全。E-mail:1148523890@qq.com

王華忠,E-mail:hzwang@ecust.edu.cn