深度信念網絡在云安全態勢預測中的應用

趙國生，晁綿星，謝寶文，王 健

1(哈爾濱師范大學計算機科學與信息工程學院，哈爾濱150025)

2(哈爾濱理工大學計算機科學與技術學院，哈爾濱150001)

1 引 言

隨著云計算成為各領域應用的IaaS，近年來與大數據、物聯網和區塊鏈等新興技術的不斷融合發展，云的安全問題越來越突出.云安全態勢是根據云計算設備的實時運行狀況、服務模式、服務內容以及租戶行為等安全需求因素所構成的整個云環境當前的安全狀態和變化趨勢.態勢預測是在云計算環境下做實時安全性分析，對能夠引起云安全態勢發生變化的要素進行捕捉［1］.研究人員最初從安全威脅［2，3］，脆弱性［4，5］等單個要素上的預測開展研究，后來研究人員開始意識到需要從整體出發考慮安全態勢.劉玉玲等從虛擬機安全、用戶行為安全等方面構建云環境安全態勢感知模型［6］，并引入灰色理論和不確定性模型來實現云環境安全態勢要素間模糊影響關系測度，但是在對云環境中安全態勢要素信息提取時，賬戶策略指標不能全面反映安全趨勢導致態勢預測限于局部性.Chatterjee 等［7］研究了在云環境下如何利用海量安全數據，基于非線性自回歸方法的軟件故障預測，并通過深度學習進行特征提取和模型訓練來提高安全態勢的效率和準確性，但并未研究攻擊事件實時的預測技術.馮登國［8］等提出了基于時空維度分析的脆弱性預測算法，該算法能夠預測未來不同時間段內的脆弱性集，因脆弱性的出現是一個比較隨機的事件，僅從脆弱性無法全面預測態勢演化過程.云安全的實時運行狀況信息和態勢演化之間存在著必然聯系，這種聯系可以通過對云環境下態勢要素的態勢數據進行深度學習模型的訓練和挖掘，可有效解決云安全態勢的預測問題.

本文首先對云安全環境建立綜合態勢指標體系，包括云安全態勢一級數據指標和二級數據指標，然后應用深度信念網絡(Deep belief network，DBN)來預測云安全態勢.同時，對結合改進差分進化算法的深度信念網絡(Deep belief network based on improved differential evolution，IDE-DBN)的隱含層參數進行優化，通過引入二維旋轉交叉(Two dimensional rotation crossing，TRC)策略和自適應機制，用來擴大種群進化多樣性和增強網絡的自我調優能力，以提高模型預測的準確度.

2 云安全態勢要素指標體系

云安全所涉及的評估指標目前行業還沒有統一標準，云安全態勢數據的多源、異構、數據量大等復雜性導致性能評估指標紛繁復雜，指標選取的多與少都各有利弊.結合現有文獻的相關研究成果，本文根據服務模式、服務內容，租戶對云計算系統具有相應的安全性需求對云安全環境引入模型分析，建立可度量的指標體系，該體系的定量描述需要根據云環境實時和歷史的運行狀態［9］.從云安全性可量化分析的角度提出云環境的脆弱性分析、生存性、威脅性分析以及平穩性分析［10］，分別對應 T1、T2、T3和 T4四個一級指標，這四個層次可以涵蓋云環境中大部分的數據實體［11］，然后對上述四個一級指標定義細分的二級指標［12］，得到云環境中各種實體的態勢要素數據評估源.比如云端異常數據的捕獲、流量數據的還原與監控、掃描類的數據、各類日志數據等.把來自不同的源頭、不同類型的異構數據融合、關聯在一起，進而通過數據分析發現問題.云安全態勢要素指標體系如圖1 所示.

圖1 態勢要素的指標體系Fig.1 Index system of situation elements

根據國家應急預案的安全需求，并結合圖1 中的四類態勢要素指標，可以把云安全的態勢等級按照［0，1］區間的態勢指數定量劃分為五個等級.然后把影響預測的態勢要素集表示為R=［t1，t2，……，ti］，I 為安全，II 為輕度危險，III 為比較危險，IV 為中度危險，V 為高度危險，輸出態勢等級如表1 所示.

表1 云安全態勢等級表Table 1 Level of cloud security situation

態勢要素指標數據源的處理過程:首先，云安全態勢數據的收集階段，包括數據獲取對象、范圍、數據的處理等.通過融合算法對評價指標集進行數據集合劃分得到訓練集、測試集和驗證集三類云安全態勢樣本集［13］.然后，結合時間序列滑動窗口實時態勢的更新，利用IDE-DBN 神經網絡模型對樣本訓練，得到訓練的模型參數;最后依據模型預測輸出的云安全態勢等級，判斷云環境的整體安全性，數據處理過程如圖2 所示.

3 深度信念網絡

DBN 是一種具有多隱含層的神經網絡分類、識別和預測模型，相對于淺層機器學習和傳統的神經網絡，包含大量隱含層的DBN 對云計算環境異常數據流有良好的特征提取和識別能力.通過多層的非線性變換，從復雜的云安全態勢數據中訓練出深層次的抽象特征，描述數據的內在關聯，采用逐層訓練的方式，克服了前饋神經網絡易陷入局部極小值的缺陷，獲得更優的預測結果和更快的收斂速度.

圖2 數據處理過程Fig.2 Data processing

3.1 樣本輸入

采用支持向量分類機(Support vector classification，SVC)模型對采集到的四類歷史樣本數據集，依據現有文獻的評估方法得到當下云安全態勢評估等級集合Q={qi}，qi為云網絡在i 時刻的態勢評估等級值，然后評估集合Q 轉換成DBN網絡的輸入數據集T，如公式(1)所示.

其中，xg為輸入特征矢量，yg為標簽值，g 為滑動窗口序號，n為滑動窗口大小，窗口滑動步長1，n≤N，g≤N－n.

3.2 訓練階段

DBN 采用無監督的預訓練和有監督的全局微調兩個步驟實現對神經網絡權重的調整.預訓練中每個受限玻爾茲曼機(Restricted boltzmann machine，RBM)單獨訓練，低層到高層逐層訓練.微調階段是利用后向傳播算法BP 神經網絡來微調DBN 的權重和偏置，DBN 結構如圖3 所示.

圖3 DBN 的結構Fig.3 Structure of DBN

RBM 通過非監督逐層貪婪的方式預訓練獲得生成模型的權值，神經網絡訓練時將可視值映射給隱含層節點，隱含層節點重建為可視節點.每個節點取值都在集合{0，1}，即存在任意的 i，j 使得 vi∈{0，1}，hj∈{0，1}，wi，j為可視層節點與隱含層節點之間的權重，可視節點偏移量c=(c1，c2，…，ci)，隱含層節點的偏移量 b=(b1，b2，…，bj).對于有 i 個可視節點和j 個隱含層節點的RBM，h 和v 分別表示隱含層節點和可見節點的狀態，設一組給定的狀態(h，v)，RBM 能量函數定義如公式(2)所示［14］.

其中，φ=(ci，bj，wij)表示 RBM 參數由公式(2)得到(h，v)的聯合分布律如公式(3)所示.

其中，E 為期望值，F(φ)為歸一化因子，如公式(4)所示.

已知可見層的情況下，所有隱含層節點之間相互獨立，隱含層中第j 個節點的概率分布如公式(5)所示.

其中，p 為概率，f 為 sigmoid 激活函數.同理已知隱含層的情況下，得到可見層中第i 個節點的概率分布.因為樣本訓練集中的數據有云安全態勢數據源標簽，在頂層的RBM 訓練時，可見層中除了顯性神經元，還需要有代表分類標簽的神經元，這里，對每一組訓練數據相應的標簽神經元被打開設為1，而其余的則被關閉設為0，綜合上述得出DBN 訓練過程算法.

4 基于IDE-DBN 算法的預測模型

由于DBN 網絡隱含層單元的層數大都靠經驗設置，而隱含層的相關參數對此比較敏感，如果選取不當可能帶來預測結果精度嚴重下降夠或訓練時間過長等問題.針對這些問題，將差分進化算法(Differential evolution，DE)的核心思想融入到深度信念網絡中，以達到精簡網絡結構，構建性能良好的深度學習模型.

基于IDE-DBN 的云安全態勢預測模型的核心問題是確定隱節點層數，層間的權重與偏置.DE 算法改進后增強了全局搜索性能，進一步減少了局部極值［15］.基本思想是將用于云安全態勢預測的DBN 網絡的隱含層節點的各參數映射為差分矢量空間進化的初始目標個體并通過判斷新個體和舊個體的適應度高低，汰弱留強，經過若干次迭代引導目標搜索向誤差低的最優解逼近.DE 算法的數學描述如公式(6)所示［16］:

其中，g0為以DBN 網絡的隱含層節點數，m0為DBN 隱含層參數，l0為種群規模，q0為個體的適應度函數，并定義三種操作:f0為復制操作，b0為交叉操作，c0為變異操作.

4.1 標準 DE 算法

標準DE 算法主要過程如圖4 所示.

圖4 標準DE 算法流程Fig.4 Standard DE algorithm flow

標準DE 算法中父代個體之間生成差分矢量，并將其疊加到隨機一個目標個體上，通過對新的子代個體與父代個體進行交叉和選擇操作，保留最優個體并添加到下一代種群中.算法的優化是在搜索空間不斷變換的過程，易陷入局部最優，因此本文對交叉過程做出了改進.種群初始化:設NP 表示種群規模，D 表示個體維數，在問題決策空間按照公式(7)所示隨機產生初代種群.

其中，xi，0為第0 代種群第i 個個體，個體在每一維上按照如公式(8)取值.

其中，(Hj，Lj)表示第 j 維的取值范圍，xij，0表示初始代第 i 個體的第 j 維分量，rand 表示在區間(0，1)上均勻分布的隨機數.

變異:初始化后，DE 算法通過對種群進行變異和重組操作來產生一個由NP 個實驗向量構成的種群.對目標個體擾動產生變異個體，常見的變異策略有:DE/rand/1 策略中差分變異操作將一個可縮放的且隨機選取的向量增加給一個第三方向量，如公式(9)所示.

DE/best/1 策略中，差分變異操作與一個可縮放的且隨機選取的向量增加給基向量在當前群體表現最好的向量，如公式(10)所示.

DE/current-to-best/1 策略中差分變異操作與兩個可縮放的隨機選取的向量增加給第三方向量，且矢量差中包含基向量在當前群體表現最好的向量，如公式(11)所示.

交叉:父代個體和變異個體進行交叉操作得到實驗個體.

選擇:基于貪婪原則選擇實驗個體和父代個體，優秀的個體將進入下一代.

4.2 自適應機制

差分矢量實際上是對變異矢量xri，G各維決策變量的擾動［17］，F 控制擾動量的程度，如果生成的差分矢量在搜索空間相隔比較近，F 應取較大值，否則擾動量太小在進化初期不利于全局搜索，如果生成的差分矢量在搜索空間相隔比較遠，F 應取較小值，否則擾動量太大，在進化初期不利于局部搜索.F 的取值應根據生成差分矢量的兩個個體矢量在空間的相對位置自適應的調整變化，來平衡局部搜索和全局搜索之間的矛盾.

其中，Fi，G+1表示第 G+1 代第 i 個體的縮放因子，Fi，G表示第G 代的第i 個體的縮放因子，合適的縮放因子有利于產生存活率高的的子代個體.因此，通過記錄歷史最近一次的因子參數可以按照公式(15)產生新的Cri.

其中，Cri服從高斯分布，表示第 G 代第i 個體的交叉率，randni(q，ε)為平均值 q 和標準差 ε 的高斯分布.

4.3 二維旋轉交叉算法

隨著進化代數不斷深入，標準DE 算法無法應對種群多樣性的適應性變化以及在可行解空間內全局最優解無法保證收斂［18］.通過引入二維旋轉交叉算法，使目標個體和變異個體周圍產生子代的個體.設含有NP 個D 維個體的種群旋轉半徑如公式(16)所示.

設定方向控制參數θ，其作用保證子代個體能夠均勻的分布在變異個體和目標個體附近，當θ=1 時，交叉向量的方向從，當 θ=－1 時，向量反向.為目標個體和目標個體之間的距離，為分布在新子代附近的旋轉半徑，ω 為向量旋轉的角，G 為迭代數，R→ 為控制旋轉的矢量，其值如公式(17)所示.

C1為通用常量，R→ 的模隨著G 的增加而減小，有利于增加搜索精確度和加速TRC-DE 算法的收斂性，調整控制矢量因子R'服從柯西分布如公式(18)所示.

R'為NP×D 的矩陣，其個體滿足柯西分布，因為柯西分布拖尾較長，因此用柯西分布控制產生子代個體選擇范圍增加.

融入二維旋轉交叉方式可以使增加子代個體種群多樣性，綜上分析得出基于二維旋轉交叉的DE(TRC-DE)算法步驟如算法2 所示.

4.3.1 種群多樣性的論證

為了說明引入二維旋轉交叉算法如何提高標準DE 算法種群多樣性和可收斂性的問題，通過二維空間內旋轉向量的具體例子來證明:假設帶入公式(16)得:

其中，Δx1=v1－x1，Δx2=v2－x2，旋轉向量可以表示為(r1Δx1，r2Δx2)，旋轉向量的?？梢员槐頌?

令r1≤r2，則的?？呻S著的坐標值不同而大小變化的旋轉角度ω 可由公式(22)得到.

圖5 二維旋轉交叉原理示意圖Fig.5 Diagram of two-dimensional rotation cross

在公式(22)中，有三種可能出現的情況:如果r1=r2，向量的方向和相同.如果r1＜r2，那么 ω 將比向量的角度大.如果r1＞r2那么角度ω 將比向量的角度小，旋轉向量的模和ω 隨著向量的坐標變化而變化.圖5展示了二維旋轉的具體過程.白色圓表示目標個體，白色矩形表示變異個體，灰色矩形表示二維旋轉交叉產生的子代個體.TRC-DE 算法的搜索空間范圍從種群個體Z1、Z2和種群個體Z3三個點擴展到以點Z2和連線的中間的圓點為半徑的種群區域，同時得到一個新個體種群Z4，增加了種群多樣性.通過逐步的迭代進化，種群區域半徑會逐漸動態收縮，從而改善算法的收斂速度.

4.3.2 收斂性的論證

采用國際標準測試函數CEC2013 對TRC-DE 算法的收斂性進行測試.從CEC2013 中選取10 種函數f1到f10，包括單峰分布函數與多峰分布函數.以適應度評價Rastrigin 函數為例，如表2 所示.通過測試函數的平均值和標準差與標準DE算法做收斂性對比分析.

表2 測試函數Table 2 Test functions

相關測試參數設置:目標種群個數NP=1000，最大迭代數Epoch_size=1500.標準 DE 算法中，取縮放因子 F=0.5，交叉概率 CR=0.7;在 TRC-DE 中，取 F=0.65，CR=0.6.從表3得在DE/rand/變異策略下，TRC-DE 在平均值和標準差均低于標準DE，且收斂精度比標準DE 算法高.基于適應度Rastrigin函數的TRC-DE 和標準DE 算法尋優過程如圖6 所示.

圖6 兩種算法的收斂曲線圖Fig.6 Convergence curve of the two algorithms

從圖6 中看出TRC-DE 算法隨著迭代次數的增加以線性遞減的方式可收斂到最優解，而標準DE 算法在Epoch_size＞500 后，由于適應度Rastrigin 評價函數存在多個局部極小值而 無法收斂.從表3對比結果可知標準DE在函數f2，f4，f7表現較好，但是在其他函數上優化效果較差，在f8函數上兩者差別較小.TRC-DE 算法極大地改善了對單峰函數f1，f3以及多峰函數f5，f6，f9，f10上的全局尋優能力，優化率達到了60%.

表3 測試函數輸出結果對比Table 3 Comparisons of output results

4.4 IDE-DBN 算法

IDE-DBN 是將TRC-DE 算法與DBN 算法結合起來形成的組合算法，將DBN 的權值和偏置值視為種群，并以此完成變異、交叉和選擇操作.

5 仿真分析

5.1 態勢數據的收集

仿真試驗在某大學私有云網絡中心劃分的子網內進行.將Netflow，Snort 和Nessus 等工具軟件旁路接入子網主虛擬服務器，獲取服務器實時安全運行的檢測、掃描或日志信息.同時，在應用服務器上安裝云性能監控工具聽云Server PHP探針，通過聽云Sys 實時獲取云網絡的平穩性指標數據.

首先，本文通過選取Netflow 流量數據、Snort 入侵檢測日志和Nessus 掃描和分析后的日志作為態勢主指標T1、T2 和T 3［11］的數據源，二級指標的關聯字段如表4-表6所示.這三種數據來源基本涵蓋了從數據流量、攻擊威脅和潛在的系統漏洞等方面的信息，能夠較為全面的反映了云網絡的安全運行狀態，為云安全態勢預測提供數據源支持.

表4 脆弱性T1 的字段Table 4 Fields of vulnerability index

表5 生存性T2 字段Table 5 Fields of survivability index

表6 威脅性T3 字段Table 6 Fields of threat index

表7 運行平穩性T4 字段Table 7 Fields of running stability index

然后，通過聽云Network 模擬真實用戶發起持續的連接，在虛擬應用服務器中運行MySQL 數據庫的增、刪、改、查等操作及壓力IO 程序，最后通過聽云Server 和聽云Sys 來獲取云網絡運行平穩性的各項測試值，二級指標的關聯字段如表7 所示.

5.2 態勢數據預處理

數據樣本為2019 年3 月-2019 年4 月獲取的數據，將收集到的數據分類成四個子表存儲到數據庫中，經過對原始數據平滑處理、噪聲處理、態勢評估［19］獲得的安全態勢值，然后利用IDE-DBN 模型進行訓練，初始的訓練參數及測試參數如表8 所示.

使用深度學習框架Tensorflow，利用 RBM 來構造DBN 初始網絡.在程序實現上使用RBM 共用MLP 的參數，并且由RBM 執行預訓練.為防止訓練過程激活函數發生過擬合，DBN網絡初始權值和偏置為0.1，最大迭代次數Epoch_size=1500，隱含層節點N=25，初始輸入延遲為10ms.

表8 初始訓練與測試參數表Table 8 Initial training and test parameters

5.3 實驗結果分析

預測結果目標值與實際值的對比如圖7 所示.通過計算云安全態勢預測模型的輸出值和實際值的均方誤差MSE 和均方根誤差RMSE 以及相關性系數R，作為IDE-DBN 模型預測效果的評判指標依據.MSE 和 RMSE 值越小，說明 IDEDBN 模型預測精度就越高，R 值越逼近1，表明DBN 網絡越逼近實際系統.or真實值，om為模型輸出值，相關系數表示為如式(24)所示.

圖7 輸出值與實際值對比Fig.7 Comparisons of output value with actual value

圖7 中，點線表示云安全態勢真實值，實線表示預測值，Target 表示云安全態勢輸出級別.根據輸出指標體系劃分云安全態勢等級，由此來判斷云平臺的受威脅程度.從圖7 中可以看到在初期5h 左右態勢輸出等級大于0.2，云安全態勢等級處于II 和III 級別，在隨后的5 個小時云安全態勢等級下降到I，因目前風險不高，安全應急檢測階段可通過安全分析工具實現對多源異構信息的批量采集、識別和關聯分析，聚類入侵行為與風險點的異常特征.10h 云安全態勢趨于平穩，20h達到最低級別I，此時云安全平臺威脅程度最低，在第30h 處外部威脅到來態勢等級達IV，85h 云安全等級為安全，但態勢等級趨勢為上升，云平臺整體的安全態勢趨于中度危險.預測結果顯示:這種惡化趨勢將會持續加劇，在100 小時對云平臺的威脅達到最大級別V，這時需進入應急響應的抑制和根除階段.可以采用主動誘騙或被動的日志審計、異常分析和漏洞檢測等安全檢查，制定應急策略并實施，在隨后的階段云安全態勢等級趨于平穩，在120h 的時候態勢等級處于安全狀態.

圖8 預測模型輸出值與實際目標值誤差Fig.8 Error comparisons

從圖8 可知預測前期(0-80h)階段性誤差維持在±1%到±4%之間，均方根誤差RMSE≈0.0252 預測后期(80h 后)引入改進的DE 算法后，兩者曲線擬合度較高，誤差逐漸減小，階段性誤差維持在±2%以內，均方根誤差RMSE≈0.0135.預測結果的發展趨勢與實際結果基本相同且預測較為準確，DBN 網絡預訓練和全局微調迭代100 次后基本達到穩定性能，此時 MSE=0.0102，模型相關性系數 R=0.9365，預測結果如圖9 所示.

圖9 預測模型結果相關性Fig.9 Relevances of prediction model results

實驗將基于IDE-DBN 模型的云安全態勢預測結果與RBF 網絡預測模型和BP 網絡預測模型進行對比，采用不同算法的神經網絡云安全態勢預測模型總體準確率和測試時間如表9 所示.

表9 準確率和測試時間Table 9 Accuracy and test time

由表9 和表10 可知，基于徑向基函數RBF 的預測模型的準確率為 91.16%，MSE=0.09 和 R=0.74，而測試時間相對 IDE-DBN 模型降低了 1.02s.

表10 均方誤差和均方根誤差Table 10 MSE and RMSE

基于BP 網絡模型預測的云安全態勢預測結果準確率為93.32%，訓練集數據均方誤差為 MSE=1.4×10－12，其均方根誤差為 RMSE=1.6×10－5，由表11 可知，相關性系數 R=0.81，其預測準確率和模型輸出相關性低于基于IDE-DBN 預測模型的準確率和R.

表11 相關性的比較Table 11 Comparisons of the correlation R

綜上分析，相比RBF 和BP 模型，IDE-DBN 模型的預測準確率分別提高了5.25%和3.09%，但是因參數微調和預訓練過程導致測試時間效率增加0.85s 和1.02s，有待進一步提高和改善.

6 結 論

云計算環境下態勢數據多源，特征多維，數據量大，這就導致預測結果受到諸多云安全態勢要素的影響.通過建立綜合的態勢評估指標體系，為提高云安全態勢預測的準確度奠定了基礎.然后，通過對云安全態勢值劃分等級，這有利于定量地對云環境的實時安全性做出直接判斷.通過對態勢數據樣本在DBN 模型訓練過程中引入改進的差分進化算法來優化隱含層的參數，提高了預測模型的準確度.所提模型為安全管理員提供了實時態勢預測分析，能夠提前預防和采取相應的應急措施，變被動防御為主動響應.下一步研究的重點是云安全態勢預測的可視化平臺以及分布式智能生態安全系統.