改進WOA算法優化SVM的網絡入侵檢測

徐 慧， 付迎春， 付朝川， 葉志偉

(湖北工業大學 計算機學院， 武漢 430068)

0 引 言

隨著信息技術的發展，計算機網絡已成為人們生活和工作中的一部分。然而，計算機病毒和惡意的網絡攻擊等使得網絡安全面臨著巨大的挑戰[1]。

支持向量機(Support Vector Machine, SVM)是一種分類模型，它在解決小樣本、非線性及高維模式識別中具有許多特有的優勢，且可以保持很好的分類準確率，用于網絡入侵檢測[2-3]。網絡入侵檢測中常用的檢驗標準是準確率，而準確率的好壞與SVM的參數具有很大的關系，當SVM參數取值不當時，所得到的分類準確率就會有所影響，甚至極差。關于如何才能得到SVM中的最優參數值，學者們更多地是采用了一些智能算法對其進行優化，比如：粒子群算法、蟻群算法，螢火蟲算法與人工蜂群算法等智能算法都可以用于優化SVM的網絡入侵檢測，且在網絡入侵檢測的準確率上都有明顯的提高[4-10]。

與網絡入侵檢測的傳統檢測方法以及常用的檢測算法(KNN算法、模糊聚類和貝葉斯算法等)相比，融合智能優化算法的網絡入侵檢測方法在識別入侵攻擊時，具有特殊的處理方式。雖然這些融合智能優化算法的研究在一定程度上都取得了不錯的實驗效果，但智能優化算法的本身還是存在著一定的局限性。比如：遺傳算法的過早收斂問題；蟻群算法的搜索時間長、容易出現停滯現象；粒子群的精度較低、易發散等缺點；鯨魚優化算法存在著收斂速度慢和容易陷入局部最優的缺點[11-12]。

為了改善鯨魚優化算法(Whale Optimization Algorithm，WOA)的不足，學者做了一些相關研究。許瑜飛等[13]提出一種基于結合差分進化和精英反向學習的改進的WOA，提高WOA的收斂速度和跳出局部最優能力。牛培峰等[14]提出一種反向學習自適應的WOA，結果證明其具有更好的收斂速度。針對WOA的不足，前期工作已經提出一種改進二進制鯨魚優化算法(Improved Binary WOA，IBWOA)[15]，該算法采用非線性收斂因子來平衡全局和局部搜索能力，更新機制中融入粒子群優化策略保證種群多樣性，來提高它的收斂速度和降低陷入局部最優的概率。

為了改善因SVM參數值設置不當導致網絡入侵檢測的分類性能下降的問題，本文在先前工作的基礎上提出改進二進制鯨魚算法優化SVM(IBWOA-SVM)的網絡入侵檢測。IBWOA-SVM方法通過對WOA算法中的收斂因子和更新機制的改進，來彌補WOA算法容易陷入局部最優和收斂精度慢的不足。針對SVM參數的尋優問題，IBWOA-SVM方法通過對隨機生成的參數群不斷的更新迭代，并由評價函數的評判標準找到SVM的最優參數來建立最優的分類器，以達到提高網絡入侵檢測分類準確率的目的。

1 相關理論知識

1.1 SVM

SVM是Cortes等提出的一種分類模型，它是建立在統計學習理論的VC 維理論和結構風險最小原理基礎上的。SVM的分類思想是盡最大努力使分開的兩個類別有最大間隔，這樣對于未知的新樣本才能達到很好的分類預測能力。

為了將樣本進行有效地分類，SVM需要尋找一個線性函數——超平面。對于給定的訓練集樣本(xi,yi),i=1,2,…,n,x∈Rd,yi∈{-1,1}，它分類的超平面為：

y=ωT·x+b

(1)

式中：ω為分類超平面的系數向量；b為偏移向量。

為了發現目標函數的全局最小值，可以將式(1)轉化為一個凸二次規劃優化問題：

式中：ξi為松弛向量；C為懲罰參數。引入Lagrange乘子將式(2)轉化為對偶問題

(4)

(5)

式中：k(xi,xj)為核函數；αi為Lagrange乘子。基于上述公式可得到相應的分類模型：

(6)

式中：sgn()函數用來判斷樣本的類別。由于不同的核函數將建立不同的SVM分類模型，本文采用RBF函數作為SVM核函數，其公式如下：

(7)

式中，g為核參數。

1.2 鯨魚優化算法

WOA在狩獵過程中包含了：環繞包圍獵物、隨機搜索狩獵、螺旋軌跡狩獵。其中，用參數A來判斷座頭鯨的狩獵行為是環繞包圍獵物還是隨機搜索獵物。

(1) 環繞包圍獵物。當|A|<1時，在鯨魚種群中，選擇最好的鯨魚個體X*作為獵物，其余的鯨魚個體會向這個位置逐步靠近包圍獵物。其位置更新公式如下：

D=|C·X*(t)-X(t)|

(8)

X(t+1)=X*(t)-A·D

(9)

式中：t表示當前迭代次數；X為當前鯨魚個體的位置;A和C為系數矢量:

A=2a·r-a

(10)

C=2r

(11)

r為[0,1]內的隨機數；a表示從2～0呈線性變化的值：

(12)

max_t為最大迭代數。

(2) 隨機搜索狩獵。當|A|≥1時，在當前的種群中隨機選擇一個鯨魚個體Xrand作為種群最優解來更新其它鯨魚個體的的位置：

(3) 螺旋軌跡狩獵。當鯨魚在尋找獵物時，會針對獵物的位置通過一個螺旋形方程式作為運動軌跡來捕獲食物，其更新公式如下：

式中：b為常數；l為[-1,1]之間的隨機數。

2 基于改進二進制WOA的SVM參數優化

2.1 改進的二進制WOA

為了改善WOA算法在搜索過程中的收斂速度慢和陷入局部最優的缺點，提出一種改進二進制鯨魚優化算法(IBWOA)。

(1) 非線性收斂因子策略。為了更好地協調算法的全局搜索和局部搜索，本文提出一種新的非線性收斂因子策略，

(17)

(2) 更新機制中引入粒子群優化策略。在WOA算法的更新機制中，為了降低WOA算法陷入局部最優解的概率，本文采用粒子群優化策略對種群進行多樣性操作。通過粒子群中的ω權重使算法快速跳出局部極值，使得種群更具有多樣性。

v(t+1)=ω·v(t)+r1c1(X*(t)-X(t))+

r2c2(Xg(t)-X(t))

(18)

X(t+1)=X(t)+v(t+1)

(19)

式中：Xg為個體最優位置；ω是速度慣性權重；c1,c2表示學習因子；v(t+1)是t+1次迭代時第i個粒子的速度。

為了實現鯨魚個體位置在0和1之間的更新轉換，本文采用的二進制更新轉換函數[9]如下：

(20)

(21)

式中：Xij表示第i個鯨魚個體第j維的特征；rand()為[0,1]內的隨機數。

2.2 IBWOA-SVM方法

SVM的分類性能關鍵在于參數的設置，只有選擇合適的SVM參數，才能得到高維空間的最優分類模型。關于對SVM參數的選取，目前研究最熱的是采用智能優化算法來優化SVM參數方法，比如：粒子群、蟻群和人工蜂群等。但是，這些智能算法存在著收斂速度慢以及容易陷入局部最優等不足。因此，本文在前期工作的基礎上，提出一種IBWOA-SVM方法，用來優化SVM的兩個重要參數(懲罰參數C和核參數g)，進而提高分類的準確率。

2.2.1 流程圖

圖1所示為IBWOA-SVM方法的流程圖。

圖1 IBWOA-SVM方法的流程圖

IBWOA-SVM方法的具體優化步驟如下:

(1) 數據預處理，設置種群數量n、最大迭代次數max_t、設定C和g的取值范圍。

(2) 將SVM的參數設定為每個鯨魚個體，初始化種群。

(3) 由K折交叉驗證法計算每個鯨魚個體的適應度值，記錄當前個體及種群最優值。

(4) 采用改進后的IBWOA算法對種群個體進行位置更新。

(5) 再次計算適應度值，通過適應度值的比較，更新個體最優解及種群最優解，并獲取新的種群。

(6) 判斷算法是否滿足終止條件；若滿足，則轉到(7)；否則，轉到(4)。

(7) 獲取最優參數(C,g)。

(8) 采用最優參數對訓練樣本進行訓練建模。

(9) 采用建好的模型對測試樣本進行檢測。

(10) 輸出最優參數(C,g)及分類準確率。

2.2.2 偽代碼

算法1IBWOA-SVM。

輸入： 最大迭代次數max_t，種群數n，C和g的取值區間。

輸出： 最優參數及分類準確率。

1. 初始化種群。

2. 計算個體的適應度值，得到個體最優及種群最優。

3. WHILE 是否滿足終止條件。

4. 更新a,l,A,C, 其中a為改進的非線性收斂因子。

5. FOR。

6. WOA算法更新當前種群。

7. 采用粒子群優化策略更新當前種群。

8. END FOR。

9. 再次計算個體的適應度值，更新個體最優及種群最優。

10. 采用最優參數(C,g)對訓練樣本進行訓練建模。

11. 采用建好的模型對測試樣本進行檢測。

12. END WHILE。

返回最優參數(C,g)及分類準確率。

如算法1的偽代碼所示，在IBWOA-SVM的搜索過程中，對參數a采用非線性收斂因子策略，來協調算法的全局搜索和局部搜索；在更新機制中引入粒子群優化策略，來保證種群的多樣性，進而提高網絡入侵的分類性能。

3 實驗分析

3.1 實驗設置與環境

為了驗證IBWOA-SVM優化方法的有效性，本文分別采用GA-SVM、PSO-SVM、WOA-SVM和IBWOA-SVM方法在多個數據集(機器學習數據庫UCI)上的對比實驗。

實驗采用MATLAB R2014a編程；種群數量n=20，迭代次數max_t=50，K折交叉驗證倍數為10，實驗次數為50。GA的交叉因子為0.8，變異因子為0.05；PSO的學習因子設置為1.5，慣性權重為[0.3,0.9]。

本文的評價函數如下：

(22)

式中:accuracy分類準確率；cn是正確分類樣本數；sn是數據集樣本總數。

3.2 UCI數據集實驗對比分析

為了驗證該優化方法的分類性能，本文采用GA-SVM、PSO-SVM、WOA-SVM和IBWOA-SVM方法在表1所示的4種UCI數據集上各自運行50次進行測試實驗，實驗將每個數據集的70%作為訓練集，30%作為測試集。

表1 UCI數據集

圖2所示為各算法在UCI數據集上適應度值的進化曲線。由圖2可見，在各數據集上，IBWOA-SVM算法的最好適應度值與其他3種算法相比都有所提高。在4種數據集上，IBWOA-SVM的最好適應度值比GA-SVM、PSO-SVM均提高了2%以上；與WOA-SVM相比，雖然IBWOA-SVM算法的最好適應度值提高的幅度不是很大，但它在迭代過程中的變化較快，可以很大程度地跳出局部最優的可能性，確保得到的解是最優解。

表2是各算法在UCI數據集上的分類準確率以及SVM最優參數值。基于表2和圖2的實驗結果可知，IBWOA-SVM優化方法在UCI數據集上分類準確率的有效性。因此，進一步將IBWOA-SVM優化方法應用到網絡入侵檢測中來驗證它的可行性。

3.3 KDD CUP 99數據集實驗對比分析

KDD CUP 99數據集[16]是網絡入侵檢測中的常用數據集。本文實驗的數據集樣本為3 196條，其中每條數據包含41維特征向量和1維類標簽。該標簽可分為5類，包括：DOS、U2R、R2L、PROBE和NORMAL。由于每條數據都含有字符型特征，所以需要將數據集進行預處理[17]。

表3所示為各算法在KDD CUP 99數據集上的分類結果。圖3所示為各算法在KDD CUP 99數據集上適應度值的進化曲線。圖中:x軸為迭代次數;y軸為適應度值(最好適應度值和平均適應度值)，以及SVM的最優參數值(C,g)和最好分類準確率。

由圖3可知，GA-SVM、PSO-SVM和WOA-SVM方法的適應度值在迭代過程中無明顯變化，說明此時種群可能陷入局部最優，找到的解可能為局部最優解。

(a) Wine

(b) Ionosphere

(c) Glass Identification

(d) Breast Cancer Wisconsin

圖2 各算法在UCI數據集上適應度值的進化曲線

(a) GA-SVM

(c) WOA-SVM

(d) IBWOA-SVM

圖3 各算法在KDD CUP 99數據集上適應度值的進化曲線

IBWOA-SVM方法的最優個體在前、中、后期適應度值都有所波動[見圖3(d)]，說明IBWOA-SVM方法在尋優過程中避免陷入局部最優的困境，且IBWOA-SVM(99.906 1%)最好適應度值比GA-SVM(99.342 7%)、PSO-SVM(99.342 7%)和WOA-SVM(99.718 3%)的最好適應度值都高。

綜上所述，IBWOA-SVM優化方法在迭代過程中適應度值的進化效果較為明顯，它很好地避免了陷入局部最優的可能且在優化SVM的參數上分類準確率的效果較優，證明了IBWOA-SVM優化方法在KDD CUP 99數據集上參數優化的有效性。

4 結 語

本文提出基于IBWOA-SVM方法的網絡入侵檢測。IBWOA-SVM方法采用非線性收斂因子和更新機制中融入粒子群優化策略，來改善在SVM參數優化中WOA算法的搜索能力以及種群的多樣性，得到較優的SVM參數來建立分類模型，進而提高SVM的分類性能。

實驗將IBWOA-SVM方法在多種數據集上進行驗證，并與GA-SVM、PSO-SVM和WOA-SVM方法進行比較，最后在KDD CUP 99數據集上驗證其在網絡入侵檢測中的可行性。實驗結果表明，將IBWOA-SVM方法應用于優化SVM網絡入侵檢測時，在分類準確率和適應度值方面都有所提高，取得了較好的效果。