基于深度學習的入侵檢測算法

吳戀 趙晨潔 左羽 于國龍 韋萍萍

摘 要：隨著網絡技術高速發展，無疑帶來了很多網絡安全隱患問題。面對復雜、高維的網絡數據特征時，K-Nearest Neighbour，Navie Bayes等傳統的一些方法無法達到高性能、高準精度和實時性的要求。為此，提出利用深度學習可視化方式進行入侵檢測。對數據進行可視化處理，并采用卷積神經網絡（CNN）進行入侵檢測。主要采用不同數量樣本進行對比，結果顯示，卷積神經網絡效果與樣本量的多少相關性不大;并和傳統沒有可視化處理數據的方式進行對比，結果顯示，可視化處理后的檢測效果相對較好。

關鍵詞：深度學習;網絡安全;入侵檢測;卷積神經網絡;可視化處理;KDD CUP99

中圖分類號：TP391.4文獻標識碼：A文章編號：2095-1302（2020）06-0-03

0 引 言

在信息更新迭代快速的時代，病毒、攻擊等網絡入侵隨之而來，增強入侵防范意識及其技術至關重要。根據一些相關技術獲取本主機中關鍵信息，主動檢測關鍵信息，保障計算機不被內、外部攻擊和誤操作的技術，稱為入侵檢測。入侵檢測[1]在網絡安全保護中起著至關重要的作用。

目前，國內外學者對入侵檢測提出多種算法，如K-means聚類[2]、Random Forest（隨機森林）[3]、模糊神經網絡[4]等。網絡快速發展使得網絡數據表現為更加龐雜、多維等特點，傳統的機器學習方法無法滿足處理當前復雜、多維的數據。

深度學習在圖像及其處理高維、多量數據時，仍然能從中提取出有效的表示特征，并且速度較快。深度學習在圖像、音頻中都有較好的發展。基于此，本文將數據進行可視化處理，再利用深度學習對其進行入侵研究。

1 入侵檢測數據可視化處理

1.1 數據集簡介

入侵檢測是國際一直關注的話題，KDD CUP99[5]數據集是國際公認的入侵檢測數據集，且測試集與訓練集的標簽類型不是完全一致，測試集標簽包含更廣。每個樣本記錄有

42個參數，其中一個為標簽數據，其余為樣本特征。下面展示一個樣本數據：

“0，tcp，http，SF，164，4460，0，0，0，0，0，1，0，0，0，0，0，0，0，0，0，0，17，18，0，0，0，0，1，0，0.11，161，255，1，0，0.01，0.02，0，0，0，0，normal.”

特征值中有9個參數類型是離散型數據[6]。數據類型共有5類數據，其中包含Probe，Dos，U2R，R2L四類異常數據和一類正常數據。

1.2 數據預處理

對于KDD CUP99數據集，為了方便數據的統一處理，將字符型數據轉化為數值型數據。轉化數值型數據時，采用映射[7]方法，將每一種的類型都對應唯一確定的二進制編碼，如下：

式中：A為原始字符型數據;B為二進制數據;f為其映射

關系。

該數據的范圍在[0，58 329]分布不均衡，在網絡中出現收斂速度慢和精度不準確等問題，為了解決該問題，將數據進行歸一化處理[8]。本文將采用極差變換法[9]對數據進

行[0，1]標準化，如下：

式中：Xik∈[0，1]，表示歸一化后的值;Xij∈KDD CUP99，

表示原始數據集中的值;Min，Max分別為原始數據集中需要歸一化的最小值、最大值。

1.3 可視化處理

經過預處理后的數據集，每條數據的特征為127維，其中后5維的數據為該數據的標簽，其他為該數據的特征。該數據維數較大，若直接使用深度學習模型進行訓練將會降低其訓練和測試速度。

因此，本文提出將數據轉化為可視化圖像進行訓練。將5維標簽單獨列出，剩余的數據維度變為122，為了保證數據集的有效性，在122維中刪除1維冗余的零數據，將121維

數據按數組轉化圖像的方式，轉化成11×11大小的圖像集。

2 基于CNN的入侵檢測方法

2.1 CNN網絡結構

卷積神經網絡（CNN）[10]處理圖像能力強，核心層包括全連接層、池化層、卷積層。其中，卷積層是由若干卷積核組成，特征值提取需要經過多層卷積。圖像m×n的卷積

運算[11]為：

式中：z （x， y）表示卷積后的圖像;f代表輸入的2維圖像;

g代表卷積核;m和n分別代表卷積核的尺寸。

通過卷積運算后，需要進行非線性激活去除冗余信息，保存原始數據特征的映射信息。“梯度消失”可用非飽和激活函數來緩和，即ReLu函數[12]。

式中：當矩陣x的值為非負時，經激活后變為0;當矩陣x的值為負時，此時激活仍為它本身。

Pooling layers（池化層）通過Max pooling或Average Pooling來減少參數、降低維度，使訓練能快速提取特征。

全連接層[13]主要是將前兩層訓練的高維特征分布與低維樣本進行標記。

2.2 CNN入侵檢測模型

由于將KDD CUP99數據集變為11×11可視化圖像集，因此對CNN模型設計采用一個10層模型結構：一個輸入層;三個卷積層，每次卷積后都經過池化層;兩個全連接層并在其全連接層中都加入Dropout，避免過渡擬合;一個輸出層。模型如圖1所示。

3 實驗與分析

3.1 實驗評價標準

秉承客觀評價原則，本文從訓練數據集大小方面對CNN模型進行對比。采用F1-score[14]作為實驗效果的評判標準，公式如下：

F1-score公式中，各指標的評判標準參數含義解釋見表1所列。

3.2 結果分析

3.2.1 數據集樣本

數據集樣本大小是影響深度模型訓練效果的一方面，為了驗證本文的模型將在幾組不同數據集大小下進行分析。

實驗數據來自kddcup.data_10%_corrected的數據集[15]，正常97 278條，異常396 743條，共494 021條數據。在其中隨機抽取5 000，10 000，20 000，40 000個樣本，構成4組訓練集數據，詳細信息見表2所列。

3.2.2 與傳統方式對比

將本文采用三層卷積層的卷積神經網絡用不同數據量的樣本進行處理，準確率結果見表3所列。結果顯示精確度與訓練集的大小相關性不大。傳統的入侵檢測，對未經過圖像處理的數據直接進行訓練，而本文先把數據映射成可視化圖像，而后對其進行訓練，對比結果見表4所列。結果顯示，相對于傳統方式，本文方法的精確度較高。

4 結 語

本文提出關于深度學習的入侵檢測流程，將處理后的可視化數據經過CNN進行入侵檢測，并從多方面進行分析。實驗結果顯示，CNN對于圖像數據的入侵檢測有著明顯優異的效果。但是目前研究的是將數據預先經過數值化、歸一化處理后再進行可視化處理，才能達到效果。

參考文獻

[1]賈凡，孔令智.基于卷積神經網絡的入侵檢測算法[J].北京理工大學學報，2017，37（12）：1271-1275.

[2] TZELEPIS C，MEZARIS V，PATRAS I. Linear maximum margin classifier for learning from uncertain data [J]. IEEE transactions on pattern analysis & machine intelligence，2017，40（12）：2948-2962.

[3] MENG X M，WU S，ZHU J. A unified Bayesian inference framework for generalized linear models [J]. IEEE signal processing letters，2018，25（3）：398-402.

[4]周飛燕，金林鵬，董軍.卷積神經網絡研究綜述[J].計算機學報，2017，40（6）：1229-1251.

[5] SIDDIQUE K，AKHTAR Z，KHAN F A，et al. KDD cup 99 data sets：a perspective on the role of data sets in network intrusion detection research [J]. Computer，2019，52（2）：41-51.

[6] TAVALLAEE M，BAGHERI E，LU W，et al. A detailed analysis of the KDD CUP 99 data set [C]// 2009 IEEE Symposium on Computational Intelligence for Security and Defense Applications. Ottawa：IEEE，2009：53-58.

[7] CORT?S V，DIETERICH P S，MOHAUPT T. ASK/PSK-correspondence and the r-map [J]. Letters in mathematical physics，2018，108：1279-1306.

[8] RUOTI S，HEIDBRINK S，ONEILL M，et al. Intrusion detection with unsupervised heterogeneous ensembles using cluster-based normalization [C]// 24th IEEE International Conference on Web Services. Honolulu：IEEE，2017：862-865.

[9]薛瀟，劉以安，闞媛，等.基于FCM-GRNN聚類的入侵檢測算法研究[J].計算機仿真，2010，27（6）：151-154.

[10] SCH?LKOPF B，PLATT J，HOFMANN T. Greedy layer-wise training of deep networks [J]. Advances in neural information processing systems，2007，19：153-160.

[11]盧強，游榮義，葉曉紅.基于自適應卷積濾波的網絡近鄰入侵檢測算法[J].計算機科學，2018，45（7）：160-163.

[12]佚名.關于改進的激活函數TReLU的研究[J].小型微型計算機系統，2019，40（1）：60-65.

[13] CHEN T，LU S J，FAN J Y. SS-HCNN：semi-supervised hierarchical convolutional neural network for image classification [J]. IEEE transactions on image processing，2019，28（5）：2389-2398.

[14] HAO H，XU H，WANG X，et al. Maximum F1-score discriminative training criterion for automatic mispronunciation detection [J]. IEEE/ACM transactions on audio speech & language processing，2015，23（4）：787-797.

[15]張新有，曾華燊，賈磊，等.入侵檢測數據集KDDCUP99研究

[J].計算機工程與設計，2010，31（22）：4809-4812.