云環(huán)境中改進(jìn)FCM和規(guī)則參數(shù)優(yōu)化的網(wǎng)絡(luò)入侵檢測(cè)方法

張春琴，謝立春

?

云環(huán)境中改進(jìn)FCM和規(guī)則參數(shù)優(yōu)化的網(wǎng)絡(luò)入侵檢測(cè)方法

張春琴1,2，謝立春1

（1. 浙江工業(yè)職業(yè)技術(shù)學(xué)院，浙江 紹興 312000；2. 浙江工業(yè)大學(xué)，浙江 杭州 310014）

針對(duì)云環(huán)境中的網(wǎng)絡(luò)入侵檢測(cè)問(wèn)題，提出一種基于模糊推理的網(wǎng)絡(luò)入侵檢測(cè)方法。首先，利用互信息特征選擇對(duì)樣本特征進(jìn)行降維。然后，利用提出的改進(jìn)模糊均值聚類（IFCM）方法對(duì)訓(xùn)練樣本集進(jìn)行聚類，根據(jù)各樣本特征與集群的對(duì)應(yīng)關(guān)系獲得初始模糊規(guī)則庫(kù)。接著，對(duì)每個(gè)規(guī)則的前件參數(shù)和后件參數(shù)進(jìn)行調(diào)優(yōu)，以此獲得準(zhǔn)確的規(guī)則庫(kù)。最后，基于規(guī)則庫(kù)對(duì)輸入連接數(shù)據(jù)進(jìn)行模糊推理，對(duì)其進(jìn)行分類以實(shí)現(xiàn)入侵檢測(cè)。在云入侵檢測(cè)數(shù)據(jù)集上的實(shí)驗(yàn)結(jié)果表明，該方法能夠準(zhǔn)確檢測(cè)出網(wǎng)絡(luò)入侵，具有可行性和有效性。

云環(huán)境；網(wǎng)絡(luò)入侵檢測(cè)；互信息特征選擇；改進(jìn)模糊均值聚類；模糊規(guī)則庫(kù)優(yōu)化

1 引言

在云計(jì)算環(huán)境中，用戶通過(guò)遠(yuǎn)程連接來(lái)訪問(wèn)所需的計(jì)算、存儲(chǔ)、應(yīng)用等資源，且數(shù)據(jù)通常存放在共享環(huán)境中。在實(shí)際情況中可能會(huì)存在一些惡意用戶對(duì)數(shù)據(jù)進(jìn)行竊取或篡改。為了提高云環(huán)境中的數(shù)據(jù)安全性，有必要對(duì)云平臺(tái)中的網(wǎng)絡(luò)用戶訪問(wèn)數(shù)據(jù)流進(jìn)行實(shí)時(shí)主動(dòng)的監(jiān)控和防御[1]。目前，網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)（intrusion detection system，IDS）主要可分為兩類[2]：基于數(shù)據(jù)挖掘的IDS和基于機(jī)器學(xué)習(xí)的IDS。其中，機(jī)器學(xué)習(xí)方法是基于對(duì)數(shù)據(jù)的智能學(xué)習(xí)來(lái)構(gòu)建分類器，其檢測(cè)性能較好，但計(jì)算量較大，很難滿足實(shí)時(shí)檢測(cè)的要求[3]。基于數(shù)據(jù)挖掘的IDS是通過(guò)對(duì)歷史數(shù)據(jù)進(jìn)行數(shù)據(jù)分析，獲得一定的規(guī)律來(lái)檢測(cè)入侵。其結(jié)構(gòu)簡(jiǎn)單、執(zhí)行速度快，然而其基于一些固定的規(guī)則，適應(yīng)能力較差。為此，學(xué)者在數(shù)據(jù)挖掘中融入了模糊推理[4]，即通過(guò)訓(xùn)練數(shù)據(jù)集挖掘出網(wǎng)絡(luò)連接數(shù)據(jù)特征與類別相對(duì)應(yīng)的模糊規(guī)則，以此對(duì)輸入連接數(shù)據(jù)進(jìn)行推理來(lái)判別是否為入侵行為。

對(duì)于基于模糊推理的入侵檢測(cè)方法，其有效性很大程度上依賴于模糊規(guī)則庫(kù)。模糊規(guī)則庫(kù)的構(gòu)建通常分為基于神經(jīng)網(wǎng)絡(luò)和基于聚類技術(shù)的方法[5]。其中，基于神經(jīng)網(wǎng)絡(luò)的方法結(jié)構(gòu)復(fù)雜，且與網(wǎng)絡(luò)表達(dá)的規(guī)則存在沖突。基于聚類的方法是通過(guò)對(duì)樣本數(shù)據(jù)集進(jìn)行聚類，獲得的每個(gè)集群對(duì)應(yīng)一個(gè)模糊規(guī)則。均值（-means）聚類算法[6]是常用的聚類算法，然而，其聚類中心數(shù)量和位置的初始值直接影響聚類效果。為此，參考文獻(xiàn)[7]提出了一種改進(jìn)-means聚類算法，用來(lái)獲得模糊規(guī)則，其通過(guò)一個(gè)半徑函數(shù)來(lái)自適應(yīng)選擇聚類中心，一定程度上解決了初始值的問(wèn)題。參考文獻(xiàn)[8]在初始聚類中融入了模糊理論，提出了一種基于模糊均值（fuzzy-means，F(xiàn)CM）聚類算法的規(guī)則構(gòu)建方法，利用模糊均值聚類對(duì)訓(xùn)練樣本進(jìn)行聚類，根據(jù)各集群來(lái)生成模糊規(guī)則。然而，傳統(tǒng)FCM仍然存在初始聚類中心選擇的問(wèn)題。另外，現(xiàn)有的基于聚類技術(shù)獲得模糊規(guī)則的方法中，通常獲得的模糊規(guī)則較為粗糙，為此需要對(duì)其進(jìn)行細(xì)化，以提高規(guī)則的準(zhǔn)確性。

基于上述分析，提出一種新型的模糊規(guī)則生成方法，并將其應(yīng)用到云環(huán)境的入侵檢測(cè)中。首先，根據(jù)訓(xùn)練樣本聚類構(gòu)建規(guī)則庫(kù)。然后，基于獲得的模糊規(guī)則庫(kù)，對(duì)網(wǎng)絡(luò)連接數(shù)據(jù)進(jìn)行推理，以判定其類別，實(shí)現(xiàn)入侵檢測(cè)。提出方法的主要?jiǎng)?chuàng)新點(diǎn)在于：提出一種改進(jìn)型FCM（improved FCM，IFCM）聚類算法，融于一個(gè)聚類中心近似度量因子來(lái)解決傳統(tǒng)FCM聚類中的初始聚類中心選擇問(wèn)題，以此對(duì)樣本進(jìn)行精確聚類，構(gòu)建初始模糊規(guī)則集；為了提高規(guī)則的準(zhǔn)確性，提出了一種規(guī)則優(yōu)化方法，即通過(guò)調(diào)優(yōu)每個(gè)規(guī)則的前件參數(shù)和后件參數(shù)來(lái)對(duì)其進(jìn)行優(yōu)化。在一個(gè)最新的云入侵檢測(cè)數(shù)據(jù)集（cloud intrusion detection dataset，CIDD）中的實(shí)驗(yàn)表明，提出方法的檢測(cè)率能夠達(dá)到98%以上，具有有效性。

2 提出方法的框架

本文提出一種用于云環(huán)境中網(wǎng)絡(luò)入侵的檢測(cè)系統(tǒng)，可部署在實(shí)際云平臺(tái)中各物理服務(wù)器上，用來(lái)監(jiān)控用戶遠(yuǎn)程訪問(wèn)。檢測(cè)系統(tǒng)分為訓(xùn)練和測(cè)試階段，其基本框架如圖1所示。

訓(xùn)練階段主要用來(lái)獲得模糊規(guī)則。首先，由于原始數(shù)據(jù)集中的特征較多且存在冗余，所以先通過(guò)基于互信息的特征選擇方法來(lái)降低特征維度。然后，利用提出的模糊聚類方法對(duì)訓(xùn)練數(shù)據(jù)進(jìn)行聚類，用來(lái)確定模糊輸入/輸出的關(guān)系，從而獲得模糊規(guī)則。接著，通過(guò)一個(gè)動(dòng)態(tài)優(yōu)化學(xué)習(xí)算法，根據(jù)規(guī)則所涉及的前件和后件參數(shù)來(lái)優(yōu)化模糊規(guī)則，構(gòu)建最終的模糊規(guī)則庫(kù)。

在測(cè)試階段中，根據(jù)收集的網(wǎng)絡(luò)連接數(shù)據(jù)和模糊規(guī)則庫(kù)，推理輸入數(shù)據(jù)與各類的相似度來(lái)進(jìn)行分類，以此實(shí)現(xiàn)入侵檢測(cè)。

3 基于互信息的特征選擇

網(wǎng)絡(luò)連接數(shù)據(jù)具有大量的特征，冗余特征不僅增加了分類器的計(jì)算時(shí)間，而且還會(huì)降低檢測(cè)準(zhǔn)確率。為此，在輸入分類器進(jìn)行檢測(cè)之前，需要對(duì)其進(jìn)行特征降維。目前，特征選擇方法主要有歐氏距離法、余弦相似度法、互信息（mutual information，MI）法等[9]。其中，互信息法是衡量?jī)蓚€(gè)隨機(jī)變量之間相關(guān)性的一種有效方法。

3.1 互信息

互信息是兩個(gè)隨機(jī)變量之間關(guān)系的對(duì)稱度量，輸出為一個(gè)非負(fù)值，其中，零表示兩個(gè)變量是統(tǒng)計(jì)獨(dú)立的[10]。

3.2 互信息特征選擇

4 提出的入侵檢測(cè)方法

4.1 傳統(tǒng)FCM聚類

FCM聚類算法是一種考慮樣本模糊歸屬的軟劃分方法，其根據(jù)每個(gè)樣本對(duì)所有聚類中心的隸屬度進(jìn)行自動(dòng)聚類。

4.2 改進(jìn)型FCM聚類

4.3 初始規(guī)則庫(kù)構(gòu)建

4.4 規(guī)則庫(kù)優(yōu)化

在通過(guò)聚類技術(shù)生產(chǎn)的規(guī)則中可能存在冗余，且規(guī)則的準(zhǔn)確性不高。為此，本文通過(guò)細(xì)化所涉及的前件和后件參數(shù)提高規(guī)則的精確度。

這個(gè)階段最終構(gòu)建一個(gè)緊湊的模糊規(guī)則庫(kù)。當(dāng)云用戶請(qǐng)求訪問(wèn)云服務(wù)時(shí)，該系統(tǒng)會(huì)將用戶的連接樣本作為模糊推理的輸入，通過(guò)模糊規(guī)則推理出該用戶是否為入侵者。

4.5 基于規(guī)則庫(kù)的入侵分類

5 實(shí)驗(yàn)及分析

5.1 實(shí)驗(yàn)設(shè)置

在Intel酷睿i5處理器、2.5 GHz主頻、8 GB內(nèi)存和Windows 7平臺(tái)上，通過(guò)MATLAB實(shí)現(xiàn)提出的入侵檢測(cè)方法。由于條件有限，無(wú)法在實(shí)際云平臺(tái)上進(jìn)行實(shí)驗(yàn)。為此文本選擇了一個(gè)云入侵檢測(cè)數(shù)據(jù)集[15]進(jìn)行仿真實(shí)驗(yàn)，其由用戶遠(yuǎn)程訪問(wèn)云平臺(tái)時(shí)可能存在的攻擊數(shù)據(jù)和正常訪問(wèn) 數(shù)據(jù)組成。

表1 特征降維后的特征集

CIDD數(shù)據(jù)集中共包含四大類攻擊，即拒絕服務(wù)（denial of service，DoS）攻擊、探測(cè)（probe）攻擊、遠(yuǎn)程到本地（remote to login，R2L）攻擊和非授權(quán)訪問(wèn)（user to root，U2R）攻擊。每個(gè)連接記錄具有41個(gè)特征，用于描述總共24種子攻擊類型。原始數(shù)據(jù)集大小為744 MB，擁有4 940 000條記錄。

隨機(jī)選擇了20 000條記錄作為實(shí)驗(yàn)數(shù)據(jù)集，其中，12 000條為正常數(shù)據(jù)，8 000條為入侵?jǐn)?shù)據(jù)，入侵?jǐn)?shù)據(jù)包含了24種子攻擊類型，且每種攻擊的數(shù)據(jù)記錄不少于100條。將其中的60%數(shù)據(jù)作為訓(xùn)練集，剩下的40%數(shù)據(jù)作為測(cè)試集。基于訓(xùn)練集獲得模糊規(guī)則，并存儲(chǔ)在模糊規(guī)則庫(kù)中。在測(cè)試階段，對(duì)于從用戶發(fā)送到云的服務(wù)請(qǐng)求數(shù)據(jù)，基于模糊規(guī)則庫(kù)的推理決定是否允許該請(qǐng)求。

5.2 特征選擇

若使用網(wǎng)絡(luò)連接數(shù)據(jù)中的所有41個(gè)特征構(gòu)建IDS模型，會(huì)大大增加計(jì)算量。此外，數(shù)據(jù)集中包含不相關(guān)的特征，則會(huì)影響入侵檢測(cè)的準(zhǔn)確性。因此，需要通過(guò)特征選擇算法降低特征維度。本文使用MIFS算法將原始特征數(shù)量減少到12個(gè)，見(jiàn)表1。

另外，數(shù)據(jù)集中的特征具有不同的數(shù)據(jù)形式，因此需要對(duì)特征進(jìn)行預(yù)處理，將其規(guī)范化到[0,1]。

5.3 驗(yàn)證實(shí)驗(yàn)

首先，在整個(gè)訓(xùn)練集和測(cè)試集上對(duì)提出的方法進(jìn)行驗(yàn)證性實(shí)驗(yàn)，入侵分類的混淆矩陣見(jiàn)表2和表3（其中normal指正常類），其中所列結(jié)果為3次實(shí)驗(yàn)的平均值。可以看出，提出的方法在訓(xùn)練集上的平均檢測(cè)率達(dá)到了98.93％，在測(cè)試集上達(dá)到了98.48％。其中，平均檢測(cè)率為5種攻擊類別正確分類率的平均值。由于檢測(cè)模型是根據(jù)訓(xùn)練集訓(xùn)練獲得，所以在訓(xùn)練集上的檢測(cè)率略微較高。實(shí)驗(yàn)結(jié)果證明了提出方法的有效性。

表2 訓(xùn)練集上分類的混淆矩陣

此外，為了驗(yàn)證提出方法在不同樣本數(shù)量下的檢測(cè)性能。選擇數(shù)量為5 000~20 000的樣本集，其中各樣本集里都包含與完整樣本集中同比例的各種攻擊樣本，同樣將其中60%作為訓(xùn)練集，其他40%作為測(cè)試集。平均檢測(cè)率見(jiàn)表4。可以看出，在樣本數(shù)量較小時(shí)，檢測(cè)率較低，隨著樣本數(shù)量的增加，檢測(cè)率有所提高并趨于穩(wěn)定。

表3 測(cè)試集上分類的混淆矩陣

表4 不同大小樣本集下的平均檢測(cè)率

5.4 比較實(shí)驗(yàn)

為了進(jìn)一步證明提出方法的優(yōu)越性，將其與現(xiàn)有基于聚類技術(shù)構(gòu)建模糊規(guī)則集的入侵檢測(cè)方法進(jìn)行比較。分別為基于傳統(tǒng)均值聚類、參考文獻(xiàn)[7]提出的改進(jìn)均值聚類和參考文獻(xiàn)[8]提出的模糊均值聚類的入侵檢測(cè)方法。為了公平比較，在訓(xùn)練和測(cè)試過(guò)程中，都采用MIFS進(jìn)行特征選擇。在樣本集數(shù)量為5 000~20 000的條件下，各種方法在訓(xùn)練集和測(cè)試集上的檢測(cè)率如圖2和圖3所示。

圖2 各種方法在訓(xùn)練集上的檢測(cè)率比較

圖3 各種方法在測(cè)試集上的檢測(cè)率比較

可以看出，在不同樣本數(shù)量下，提出方法都獲得了最高的檢測(cè)率。這是因?yàn)椋瑐鹘y(tǒng)均值聚類算法對(duì)初始聚類中心敏感，致使其聚類效果不好，從而在此基礎(chǔ)上獲得的模糊規(guī)則準(zhǔn)確性也較差。參考文獻(xiàn)[7]提出的改進(jìn)型均值聚類算法在一定程度上解決了初始值問(wèn)題，所以其性能比傳統(tǒng)均值聚類優(yōu)越。然而，均值聚類是一種硬性聚類方法，由于在實(shí)際應(yīng)用中，某些對(duì)象不是絕對(duì)的只屬于某一集群，還可能屬于其他集群，某個(gè)對(duì)象與某個(gè)集群的關(guān)系是模糊的。所以基于均值聚類的方法沒(méi)有參考文獻(xiàn)[8]采用的模糊均值聚類的性能好。本文方法同樣采用了模糊均值聚類，但融入了聚類中心相似度量因子，解決了其初始聚類中心選擇問(wèn)題，所以能夠提高其聚類性能。另外，本文方法還對(duì)通過(guò)聚類獲得的模糊規(guī)則集進(jìn)行了優(yōu)化，構(gòu)建了一個(gè)更為準(zhǔn)確的規(guī)則集，所以獲得了最佳的入侵檢測(cè)性能。

6 結(jié)束語(yǔ)

本文提出一種基于IFCM和模糊推理的網(wǎng)絡(luò)入侵檢測(cè)方法。利用提出的IFCM聚類方法對(duì)訓(xùn)練樣本集進(jìn)行聚類，獲得初始模糊規(guī)則庫(kù)。通過(guò)對(duì)每個(gè)規(guī)則的前件參數(shù)和后件參數(shù)進(jìn)行調(diào)優(yōu)以此優(yōu)化規(guī)則庫(kù)。基于規(guī)則庫(kù)對(duì)輸入連接數(shù)據(jù)進(jìn)行入侵檢測(cè)。在云入侵檢測(cè)數(shù)據(jù)集上，將提出的方法與現(xiàn)有的幾種聚類方法進(jìn)行了比較，結(jié)果表明，提出方法在檢測(cè)率方面具有優(yōu)越性。

[1] 羅亮, 吳文峻, 張飛. 面向云計(jì)算數(shù)據(jù)中心的能耗建模方法[J].軟件學(xué)報(bào), 2014, 25(7): 1371-1387.

LUO L, WU W J, ZHANG F. Energy modeling based on cloud data center[J]. Journal of Software, 2014, 25(7): 1371-1387.

[2] FOSSACECA J M, MAZZUCHI T A, SARKANI S. MARK-ELM: application of a novel multiple kernel learning framework for improving the robustness of network intrusion detection[J]. Expert Systems with Applications, 2015, 42(8): 4062-4080.

[3] 石云, 陳鐘, 孫兵. 基于均值聚類分析和多層核心集凝聚算法相融合的網(wǎng)絡(luò)入侵檢測(cè)[J]. 計(jì)算機(jī)應(yīng)用研究, 2016, 32(2): 518-520.

SHI Y, CHEN Z, SUN B. Networks intrusion detection based on integrating k-mean clustering analysis and multilayer core-set agglomerative algorithm[J]. Computer Applications and Software, 2016, 32(2): 518-520.

[4] 陸婷婷, 韓旭. 面向MANET報(bào)文丟棄攻擊的模糊入侵檢測(cè)系統(tǒng)[J]. 電信科學(xué), 2016, 32(10): 124-129.

LU T T, HAN X. Fuzzy intrusion detection system for MANET packet dropping attack[J]. Telecommunications Science, 2016, 32(10): 124-129.

[5] SHAMSHIRBAND S, AMINI A, ANUAR N B, et al. D-FICCA: a density-based fuzzy imperialist competitive clustering algorithm for intrusion detection in wireless sensor networks[J]. Measurement, 2014, 55(9): 212-226.

[6] 李洪成, 吳曉平, 陳燕. MapReduce框架下支持差分隱私保護(hù)的-means聚類方法[J]. 通信學(xué)報(bào), 2016, 37(2): 124-130.

LI H C, WU X P, CHEN Y.-means clustering method preserving differential privacy in MapReduce framework[J]. Journal on Communications, 2016, 37(2): 124-130.

[7] TIAN L, JIANWEN W. Research on network intrusion detection system based on improved-means clustering algorithm[C]//International Forum on Computer Science-Technology and Applications, Dec 25-27, 2009, Chongqing, China. Piscataway: IEEE Press, 2009: 76-79.

[8] XIE L, WANG Y, CHEN L, et al. An anomaly detection method based on fuzzy-means clustering algorithm[J]. Proceedings of the International Symposium on Networking & Netwo, 2014, 24(5): 56-63.

[9] 魏莎莎, 陸慧娟, 金偉, 等. 基于云平臺(tái)的互信息最大化特征提取方法研究[J]. 電信科學(xué), 2013, 29(10): 38-42.

WEI S S, LU H J, JIN W, et al. Maximum mutual information feature extraction method based on the cloud platform[J]. Tele

communications Science, 2013, 29(10): 38-42.

[10] 徐峻嶺, 周毓明, 陳林, 等. 基于互信息的無(wú)監(jiān)督特征選擇[J].計(jì)算機(jī)研究與發(fā)展, 2012, 49(2): 372-382.

XU J L, ZHOU Y M, CHEN L, et al. An unsupervised feature selection approach based on mutual information[J]. Journal of Computer Research and Development, 2012, 49(2): 372-382.

[11] AMIRI F, REZAEI YOUSEFI M, LUCAS C, et al. Mutual information-based feature selection for intrusion detection systems[J]. Journal of Network & Computer Applications, 2011, 34(4): 1184-1199.

[12] SONG J, ZHU Z, SCULLY P, et al. Selecting features for anomaly intrusion detection: a novel method using fuzzy C means and decision tree classification[J]. Cyberspace Safety and Security, 2013, 8(3): 299-307.

[13] 琚春華, 鮑福光, 戴俊彥. 一種融入公眾情感投入分析的微博話題發(fā)現(xiàn)與細(xì)分方法[J]. 電信科學(xué), 2016, 32(7): 97-105.

JU C H, BAO F G, DAI J Y. Discovery and segmentation method in micro-blog topics based on public emotional engagement analysis[J]. Telecommunications Science, 2016, 32(7): 97-105.

[14] LIU X, QIN Y, WU L. Fast and direct Karnik-Mendel algorithm computation for the centroid of an interval type-2 fuzzy set[C]//IEEE International Conference on Fuzzy Systems, June 10-15, 2012, Brisbane, QLD, Australia. Piscataway: IEEE Press, 2012: 1-8.

[15] KHOLIDY H A, BAIARDI F. CIDD: a cloud intrusion detection dataset for cloud computing and masquerade attacks[C]//Ninth International Conference on Information Technology-New Generations, April l16-18, 2012, Las Vegas, NV, USA. Piscataway: IEEE Press, 2012: 397-402.

Network intrusion detection method based on improved FCM and rule parameter optimization in cloud environment

ZANG Chunqin1,2, XIE Lichun1

1. Zhejiang Industry Polytechnic College, Shaoxing 312000, China 2. Zhejiang University of Technology, Hangzhou 310014, China

Aiming at the network intrusion detection problem in cloud environment, a method of network intrusion detection based on fuzzy inference was proposed. Firstly, it used the mutual information feature selection to reduce the feature of the sample. Then, the improved fuzzy-means clustering method was used to cluster the training sample set, and the initial fuzzy rule base was got by the correspondence between each sample feature and cluster. After that, the refine parameter and consequent parameters of each rule were tuned to obtain an exact rule base. Finally, fuzzy inference was carried out on the input connection data based on the rule base, and it was classified to realize intrusion detection. Experimental results on the cloud intrusion detection dataset show that this method can detect the network intrusion accurately, and it is feasible and effective.

cloud environment, network intrusion detection, mutual information feature selection, improved fuzzy-means clustering, fuzzy rule base optimization

TP393

A

10.11959/j.issn.1000?0801.2018005

2017?06?22；

2017?09?25

國(guó)家自然科學(xué)基金青年科學(xué)基金資助項(xiàng)目（No.61603211）

The Young Science Foundation of National Natural Science Foundation of China (No.61603211)

張春琴（1977?），女，浙江工業(yè)職業(yè)技術(shù)學(xué)院副教授，浙江工業(yè)大學(xué)訪問(wèn)學(xué)者，主要從事網(wǎng)絡(luò)安全、云計(jì)算方面的研究工作。

謝立春（1974?），男，浙江工業(yè)職業(yè)技術(shù)學(xué)院副教授，入選浙江省“151人才工程”，主要從事網(wǎng)絡(luò)安全方面的研究工作。