機器學習在校園安全中的應用研究

（安徽三聯學院計算機工程學院 安徽 合肥 230601）

0.引言

互聯網技術的迅猛發展，使其逐漸滲透至各個領域之中，尤其是在數據采集、處理與傳輸等方面，互聯網技術具有其他技術所無比擬的應用優勢。隨著互聯網技術在各個領域中的普及與應用，互聯網安全問題也已成為民眾關注的焦點，而校園作為教書育人的重要場所，其校園安全更應得到人們的重視。如何在校園中建立健全而完善的網絡安全保護機制，防范校園中重要數據的丟失與竊取，需要校園予以高度的重視。而機器學習在校園安全中更是發揮著至關重要的作用。

1.機器學習概述

機器學習是人工智能技術中的核心內容，其能夠對人類行為進行有效模擬，學習人類的行為來賦予計算機更多地功能，豐富計算機的數據庫，使計算機變得更加智能，從而優化計算機的結構性能。機器學習可以看作是一種智能化的處理過程，其能夠使機器像人類一樣進行學習，但其是怎樣學習的呢，對于這一點，許多學者都從不同角度進行了研究，并且至今尚未形成一個統一的意見。不過，總體來說，機器學習和推理過程之間具有十分密切的聯系，這也得到了許多專家和學者的肯定與認同，因此，對于機器學習來說，可按照其策略性的不同將其劃分為以下幾類，包括事例學習、機械學習、類比學習以及傳授學習等，考慮到計算機有著復雜的功能，因此對于機器學習來說，其所涵蓋的范圍也比較廣泛，通過不同知識、不同技術的結合運用，從而使機器具有學習能力，在這些知識和技術中，概率論、算法復雜度理論、凸分析以及統計學等都是機器學習所涉及到的專業學科，按照機器學習的類別，大致可將其劃分成五種，第一種是根據學習策略來進行分類，如類比學習、歸納學習、示教學習、機械學習等，第二種是根據獲取到的知識來進行分類，例如決策樹、形式邏輯表達式、過程編碼、產生式規則，計算機程序、代數表達式參數等，第三種是根據機器學習的應用領域來進行分類，例如數據挖掘、自然語言、信息服務、專家系統等都是機器學習的應用領域，第四種是綜合性分類，例如遺傳算法、歸納學習、增強學習等都屬于綜合性分類，第五種是按照學習形式來進行分類，例如監督與非監督式學習便是以學習形式來分類的。

2.機器學習在校園安全中的技術種類與應用

面對校園網絡安全形勢愈發嚴峻的現狀，為了進行有效應對，防止校園網絡安全問題的頻繁發生，就必須要在計算機中應用相應的安全防護技術，這對于確保校園安全具有非常重要的意義。機器學習是校園安全中的核心技術之一，其能夠有效保護校園網絡不會遭受到惡意攻擊，由于機器學習能力直接決定著校園網絡系統的安全防護能力，因此在應用機器學習來對校園網絡進行安全檢測時，其功能模塊主要分為數據采集模塊、數據處理模塊和機器學習模塊，在此過程中，機器學習模塊在其中發揮著至關重要的作用，數據采集模塊能夠對校園網絡的安全情況進行實時動態的追蹤與檢測，判斷外部網絡中是否存在惡意信息或惡意攻擊，并通過TCP/IP來對網絡信息進行截取與判斷，這也是大部分校園在網絡安全檢測中的基礎技術。數據處理模塊則能夠對數據采集模塊所截取到的信息進行相應的處理，使截取信息中含有的重復數據與錯誤信息得到有效的過濾和篩選，以此確保校園網絡系統的運行高效性，確保安全檢測功能的完善。對于機器學習模塊，其也是校園安全檢測系統中的核心模塊，該模塊發揮著至關重要的功能，通過該模塊可記憶和學習入侵與攻擊，從而實現對網絡攻擊和非法入侵進行有效檢測的目的。在校園安全檢測系統中，其主要由五個組成部分組成，分別是數據源、數據采集、數據預處理、機器學習和處理結果反饋。無論是在數據處理，還是在數據反饋，機器學習都表現出良好的兼容性，而且在安全檢測中有著巨大的應用潛力，這也使機器學習成為校園網絡安全防護中的核心技術，并得到了迅猛的發展。

3.機器學習在校園安全中的關鍵應用技術

3.1 決策樹

在校園安全檢測中，決策樹作為機器學習中的一種關鍵應用算法，其有著廣泛的使用范圍，并且應用效果較好，并在校園安全檢測中得到了廣泛的應用。以決策樹為核心算法的機器學習，可使網絡中的惡意信息被有效攔截，然后以從根節點至葉子節點的原則來排列惡意信息，使其成為一個二叉樹式，對于后續可能產生的網絡入侵，可通過分支葉子節點來與之進行逐一對應。當校園網絡受到攻擊或入侵時，機器學習可評測入侵或攻擊的形式特征，掌握其后續發展，然后結合校園網絡的實際安全情況來測試節點的屬性，并將節點當作根來進行子樹重復。對于決策樹算法在1986年時便已經提及，在那個時期所提出的ID3算法和現代所研究出的二叉樹算法總體上是比較接近的，其都是通過節點運算來進行安全檢測的算法，不過，ID3算法則屬于決策樹中一種頗具代表性和典型性的算法，不過因ID3算法在安全檢測中難以滿足其數據規格的要求，并且所面臨的數據種類多種多樣，這也使人們在ID3算法的基礎上研究出C4.5算法，該算法可以看成是ID3算法的另一種延續，并且其更能有效用于安全檢測，現如今在許多校園中都已開始應用C4.5算法來進行網絡安全檢測。

3.2 神經網絡

在互聯網與現代化信息技術的發展下，神經網絡已經成為校園安全中一種用于安全檢測的重要技術手段，其也是所有技術中復雜性最高的一種技術。神經網絡可模擬人腦的部分功能，利用運作單元對人腦中用于處理信息的神經元進行代替，通過對大量的運作單元附加高度權值，以此形成相應的神經網絡結構，考慮到神經網絡中包含著海量的運作單元，因此在對神經網絡進行構建時，需要利用權值或邏輯關系將各個運作單元連接起來，這樣在應用神經網絡來進行安全檢測時，神經網絡能夠快速識別和預處理校園網絡中存在的各類信號，從而在校園網絡出現安全事件時能夠做到迅速止損。現如今，神經網絡已經成為校園安全中一種直觀而有效的方法。神經網絡能夠利用誤差補償機制來發揮其有效性，當校園安全檢測過程中發現存在惡意信息時，會使神經網絡對信息的輸入與輸出發生失衡，此時神經網絡會自動調節和運作各個神經單元，使節點網絡得到及時有效的補充。

3.3 支持向量機

支持向量機可以看成是一種分類器，需要在特征空間內探尋對應的超平面，利用超平面來對兩個類進行分割，同時還要確保各個類有著最大的邊緣距離。一般來說，支持向量機屬于一種二分類模型，其機器學習的策略是進行最大間隔，從而使復雜的問題被轉化成凸二次規劃問題，通過求解凸二次規劃問題來達到間接解決復雜問題的目的。支持向量機在進行分類時所遇到的問題主要包括三種，分別是線性不可分問題、近似線性可分問題以及線性可分問題。其中，線性不可分問題指的是無法利用單獨的線性分類器來對單個數據集進行分類，在應用支持向量機來進行機器學習時，往往會經常產生線性不可分問題，例如在利用支持向量機進行人臉識別時，便是非常典型的線性不可分問題。在應用支持向量機來解決問題時，核函數是其常用的解決方法，通過在高維空間中對樣例特征進行映射，可能會出現因映射維度過高而造成計算過于復雜，而通過使用核函數，則可對樣例特征進行映射之前，對其進行低維計算，然后在高維上來表現分類效果，這樣便可使計算復雜程度得到有效簡化。相比于神經網絡來說，支持向量機在機器學習中能夠將復雜問題用凸優化問題進行表示，然后通過現有的算法來對凸優化問題的目標函數中存在的全局最小值進行求解。而神經網絡則是通過貪心學習的方式來對局部最優解進行求解的。在校園安全中應用支持向量機時，即使沒有豐富的先驗知識，支持向量機也能獲得良好的分類正確率，而且其推廣能力非常強。所謂推廣能力，是指結合以往的經驗可推斷出其規律，并根據學習到的規律來預測校園網絡中未知行為的發展。

3.4 貝葉斯理論

相比于決策樹、神經網絡，貝葉斯理論并不依賴于硬件系統的檢測性能與算法的優劣性，貝葉斯理論的應用效果是由推理理論和概率手段所決定的，目前在校園安全檢測中已經普遍采用貝葉斯理論來進行假設和推理，這也使其成為機器學習中的一種非常重要的方法，并且為不同機器學習算法在校園安全中的有效應用提供了大量的理論依據。考慮到貝葉斯理論在邏輯性上會有著一定的寬容性，這也使貝葉斯理論能夠在校園安全形勢不確定的情況下提供可靠的理論支撐。貝葉斯理論在機器學習中是一種不需要進行監督的理論體系，其能夠根據已發生的安全事件來按照相應的序列進行排列和分析，并對已知序列采取細致的分析和類比。在現代化信息技術不斷發展的今天，在校園安全問題檢測中，貝葉斯理論有著其獨特的生存依據。

4.機器學習在校園安全中的應用分析

4.1 安全入侵檢測

機器學習在校園安全中有效應用于校園網絡的安全入侵檢測，機器學習在應用過程中不會對校園網絡的性能造成影響，也不會影響用戶對計算機的操作與使用，其能夠分析與檢測校園網絡中的安全日志與運行數據等信息，進而分析校園網絡的安全狀況，判斷是否存在安全威脅，從而使校園網絡得到實時的安全防護。機器學習具有智能化的特點，將其應用于安全入侵檢測中，可大大增強安全入侵檢測的準確率與靈敏度，從而使系統能夠在很短的時間內對潛在的安全威脅進行準確的檢測，并針對安全威脅的危害程度進行有針對性的防護，從而最大限度的降低惡意攻擊給校園網絡造成的不利影響。在校園安全入侵檢測中，人們還普遍應用神經網絡來實現系統的入侵檢測功能，神經網絡具有較強的適應性，其能夠對用戶的系統操作行為進行實時記錄，并能夠較好的檢測出校園網絡所面臨的入侵種類，然后及時向安全管理人員反饋檢測結果。因神經網絡不會依賴于假設的已知數據類型，這也使其往往能夠在誤用檢測中進行應用，并取得較為理想的應用效果。在應用神經網絡算法進行校園安全入侵檢測時，其能夠記錄和分類用戶行為所產生的各種基本特征，以此判斷用戶的行為特征是否具有合法性，如果用戶的行為特征不合法，則系統會自動將該操作行為判定為非法行為，然后觸發入侵檢測。神經網絡正是憑借該應用機理，使其被廣泛應用于校園安全入侵檢測工作中。除了神經網絡之外，還可通過貝葉斯理論來對校園安全入侵行為進行檢測，其甚至還可檢測到與校園安全入侵行為有關聯的其他行為或事件。貝葉斯理論在機器學習中具有非常強的學習能力，這也使其同樣適用于校園安全入侵檢測。

4.2 垃圾郵件檢測

在校園安全中，機器學習也可以應用于垃圾郵件檢測，機器學習對垃圾郵件的檢測可以當作是一種分類問題，其可將校園中的郵件在｛-1，1｝中進行整體定義，其中垃圾郵件由1來進行表示，而非垃圾郵件則由-1進行表示，郵件檢測主要步驟如圖1所示：

圖1 郵件檢測主要步驟

針對垃圾郵件的文本分類問題，可借助于相應的數值來表達垃圾郵件中含有的文本信息，從而使不同消息能夠用來表示向量，對于垃圾郵件來說，其特征值通常在不同特征向量中進行集中表現，并且因為機器學習在檢測垃圾郵件時是通過在線檢測來實現的，因此通過機器學習來對郵件進行分類與識別，可使校園網絡在檢測垃圾郵件時的效率大幅提升，有效減少了檢測錯誤或無法檢測的現象出現。

4．3 惡意域名檢測

在校園安全中，惡意域名檢測是機器學習的核心應用之一，對于校園網絡來說，其域名系統往往會成為黑客的攻擊對象，也可能會充當黑客的攻擊工具。這也使域名系統安全成為校園安全中的重要研究熱門，在以往的惡意域名檢測中，主要是通過攔截名單或惡意域名黑名單來進行檢測的，這種檢測方法非常容易被黑客繞過。隨后，人們又研究出查詢請求數來進行檢測的方法，不過該方法不僅誤報率很高，而且一旦遇到未知的異常域名，便難以將其檢測出來。目前，通過機器學習的應用來對惡意域名檢測的相關規則進行構建，已經成為我國網絡安全領域的未來發展趨勢。在校園安全中，針對惡意域名的檢測問題，在應用機器學習時，往往會將在線模型與離線模型進行結合使用，其將所有域名當作訓練數據集，然后通過離線模型來進行訓練，并從中提取出域名的網絡特征、時間特征、區域特征、TTL特征以及DNS應答特征等，然后通過X-Means聚類算法或決策樹算法來對相應的訓練模型進行構建，并通過malwareurl.com、NortonSafeWeb等已知域名來驗證訓練模型，使模型中的相關參數得到有效調整。在線檢測模型可以實時分析采集的域名流量，并通過被動域名查詢來提取對應的域名特征，判斷域名信息是否已知，如果是已知域名，則會利用在線檢測模型來進行繼續訓練，如果是未知域名，則在訓練后的分類器中進行輸入來判別該域名，以此分析該域名是否屬于惡意域名。例如，在惡意域名檢測中，可采用X-Means聚類算法來聚類域名的區域行為特征與網絡特征，以此獲得域名的特征向量，根據其證據特征向量，通過決策樹來評價新域名，域名評分通過｛0，1｝來進行表示，其中惡意域名由0進行表示，正常域名則用1來進行表示。網絡特征是模型建立的依據，針對系統中可能存在的新地址空間映射的惡意域名，可以從所有已知域名中對短期域名、IP地址數量、共享IP數量、域名長度、訪問比例、TTL值等行為特征進行提取，然后通過J4.8算法對決策樹進行構建，如果利用C4.5算法來對決策樹進行構建，則需要利用開源機器學習軟件Weka，這種檢測方式不僅不需要構建歷史惡意數據的訓練模型，而且數據訓練所消耗的訓練時間以及訓練的數據量都相對較少，此外還不會受到較多條件的限制。

5．結語

總而言之，機器學習在校園安全中發揮著至關重要的作用，其能夠顯著提高校園網絡的安全管理水平，在校園中有著巨大的應用前景。校園應進一步加強機器學習在網絡安全中的應用，高度重視校園安全管理中出現的各種安全問題，確保機器學習的應用策略具有針對性，以此保障校園網絡安全，最大限度的防范網絡安全事件的發生。