基于深度徑向智能的拒絕服務(wù)攻擊檢測

袁明蘭 李 林 何守亮

1(重慶商務(wù)職業(yè)學(xué)院商貿(mào)管理系 重慶 401331)2(電子科技大學(xué)信息與軟件工程學(xué)院 四川 成都 610054)3(重慶旅游職業(yè)學(xué)院智能制造與旅游交通系 重慶 409099)

0 引 言

拒絕服務(wù)(Denial of Service, DoS)攻擊利用當(dāng)今的云基礎(chǔ)架構(gòu)來攻擊關(guān)鍵Web服務(wù)[1]，其目的是使計算機(jī)或網(wǎng)絡(luò)無法提供正常的服務(wù)。DoS攻擊破壞性大，危害廣，發(fā)生的頻率高，攻擊手段復(fù)雜，已經(jīng)成為當(dāng)今互聯(lián)網(wǎng)最主要威脅之一[2]。目前基于異常的DoS攻擊檢測方法主要有統(tǒng)計、機(jī)器學(xué)習(xí)和數(shù)據(jù)挖掘。這些方法包括兩個階段，即培訓(xùn)和測試。培訓(xùn)階段使模型通過識別特征和類來從訓(xùn)練數(shù)據(jù)中學(xué)習(xí)；測試階段使用訓(xùn)練的模型對未知數(shù)據(jù)(沒有類標(biāo)簽的輸入數(shù)據(jù))進(jìn)行分類。機(jī)器學(xué)習(xí)方法主要分析數(shù)據(jù)中提取的關(guān)系，它分為監(jiān)督學(xué)習(xí)、無監(jiān)督學(xué)習(xí)、半監(jiān)督學(xué)習(xí)和強(qiáng)化學(xué)習(xí)[3]。在本文中，使用監(jiān)督學(xué)習(xí)作為訓(xùn)練樣本已知的類標(biāo)簽。

徑向基函數(shù)(Radial Basis Function，RBF)神經(jīng)網(wǎng)絡(luò)是具有單隱層的三層前向網(wǎng)絡(luò)，第一層輸入層接收輸入的數(shù)據(jù)，第二層隱藏層負(fù)責(zé)將輸入空間映射到隱藏空間，第三層輸出層是對輸入模式作出的響應(yīng)[4]。隱藏層中包含高斯函數(shù)，輸出響應(yīng)隨著輸入數(shù)據(jù)中心位置的變化而變化，距離中心越近響應(yīng)越大[5]，反之亦然。在本文中，RBF用于提取特征數(shù)據(jù)中隱藏的智能信息。

提取隱藏的特征信息和權(quán)值優(yōu)化是DoS攻擊檢測系統(tǒng)需要解決的關(guān)鍵問題。近年來，有關(guān)DoS攻擊檢測系統(tǒng)的研究已取得若干成果。文獻(xiàn)[6]提出了一種基于熵和粒度計算的拒絕服務(wù)攻擊特征選擇算法，該算法利用熵計算每個屬性的權(quán)重來識別DoS攻擊，利用NSL-KDD數(shù)據(jù)集給出基于用戶自定義選擇粒度的潛在屬性選擇方法。文獻(xiàn)[7]提出了一種基于模擬退火特征選擇方法的拒絕服務(wù)攻擊檢測系統(tǒng)，該系統(tǒng)利用模擬退火算法選擇最優(yōu)特征來識別拒絕服務(wù)攻擊。文獻(xiàn)[8]提出了一種建模網(wǎng)絡(luò)流量統(tǒng)計分布的方法，用于特定目的異常網(wǎng)絡(luò)(分布式拒絕服務(wù)攻擊)檢測，該方法充分利用了原始極限學(xué)習(xí)機(jī)的良好性能和計算時間比，但是其需要有簡單的更新規(guī)則，使模型隨著新流量和主機(jī)的進(jìn)入而及時更新。

在研究了現(xiàn)有DoS攻擊檢測系統(tǒng)的基礎(chǔ)上，為了使學(xué)習(xí)快速收斂且不陷入局部最小值，本文提出一個新的DoS攻擊檢測系統(tǒng)，即基于深度徑向智能(DeeRaI)分析的拒絕服務(wù)攻擊檢測系統(tǒng)，并將積累化身(Cumulative Incarnation, CuI)算法應(yīng)用于DeeRaI網(wǎng)絡(luò)的學(xué)習(xí)。該方法從具有不同抽象級別的RBF中提取隱藏的智能信息，逐層計算訓(xùn)練樣本特征之間的相關(guān)性，為了增強(qiáng)學(xué)習(xí)過程，將CuI算法應(yīng)用于DeeRaI網(wǎng)絡(luò)，以此生成最佳擬合權(quán)重。該方法縮短了學(xué)習(xí)時間，并且在不陷入局部極小值的情況下逐漸收斂。

1 具有累積化身優(yōu)化的深度徑向智能

DeeRaI從第一個隱藏層中提取的RBF神經(jīng)網(wǎng)絡(luò)的智能信息訓(xùn)練網(wǎng)絡(luò)，用CuI算法優(yōu)化DeeRaI網(wǎng)絡(luò)權(quán)重，生成最佳擬合權(quán)重。具有CuI優(yōu)化的DeeRaI的方框示意圖如圖1所示，該方法包括2個階段，即培訓(xùn)和測試，其中：訓(xùn)練階段表示用實線表示;測試階段用虛線表示。

圖1 具有CuI優(yōu)化的DeeRaI的方框示意圖

1.1 DeeRaI網(wǎng)絡(luò)設(shè)計

DeeRaI網(wǎng)絡(luò)是RBF和DL神經(jīng)網(wǎng)絡(luò)的混合，它采用了s-5-4-3-2-1結(jié)構(gòu)，輸入層由s個節(jié)點組成，由輸入要素的數(shù)量決定；隱藏層共有四層，第一個、第二個、第三個和第四個隱藏層中分別有5、4、3和2個節(jié)點；輸出層只有1個節(jié)點。第一個隱藏層用于形成輸入值的非線性映射，由于徑向智能的中心計算要求，本文在第一個隱藏層中選擇5個節(jié)點，使用k均值聚類法[9]計算中心；從第二個隱藏層到最后一個隱藏層是基于試錯法設(shè)計的，使用帶有激活函數(shù)整流線性單元(Rectified Linear Unit，ReLU)的DL方法[10]，采用4-3-2結(jié)構(gòu)以循序漸進(jìn)的方式逐層地學(xué)習(xí)提取的智能信息。

具有s-5-4-3-2-1結(jié)構(gòu)的DeeRaI網(wǎng)絡(luò)如圖2所示。歸一化特征F1,F2,…,FS作為輸入傳遞到輸入層，輸入層的輸入神經(jīng)元I1,I2,…,IS保存并傳遞輸入的值。從第一個隱藏層開始計算，隱藏的神經(jīng)元表示為Hef(1≤e≤4,1≤f≤5)，其中：e表示隱藏層數(shù)；f表示隱藏層中神經(jīng)元的位置。O1表示輸出層的神經(jīng)元，Cout表示DeeRaI網(wǎng)絡(luò)的計算輸出。

圖2 DeeRaI網(wǎng)絡(luò)

1.2 初始權(quán)重計算

神經(jīng)網(wǎng)絡(luò)的學(xué)習(xí)是通過權(quán)重進(jìn)行的，因此神經(jīng)網(wǎng)絡(luò)中的初始權(quán)重對檢測精度有著重要的作用，為了使網(wǎng)絡(luò)快速學(xué)習(xí)，既需要正權(quán)重，也需要負(fù)權(quán)重。本文所設(shè)計的權(quán)重計算過程是通過基于特征信息的最高有效位的面值為權(quán)重指定正負(fù)符號。初始權(quán)重計算模塊中的術(shù)語基于遺傳術(shù)語，所有生成解決方案的集合稱為人口，每個群體由許多稱為染色體的個體組成，染色體由基因組成，權(quán)重來自基因，通過計算DeeRaI網(wǎng)絡(luò)所需的權(quán)重數(shù)來生成初始權(quán)重空間。

對于第一個隱藏層到第e個隱藏層所需的權(quán)重數(shù)量WeiH1e的計算如式(1)所示，第e個隱藏層到輸出層所需的權(quán)重數(shù)量WeiHeo的計算如式(2)所示，DeeRaI網(wǎng)絡(luò)所需的權(quán)重總數(shù)如式(3)所示。

WeiH1e=NH1×NHe

(1)

WeiHeo=NHe×NO1

(2)

WeiTot=WeiH1e+WeiHeo

(3)

式中：NH1是第一隱藏層中的節(jié)點數(shù)；NHe是第e個隱藏層中的節(jié)點數(shù)；NO1是輸出層中的節(jié)點數(shù)。

圖3為本文設(shè)計權(quán)重的提取過程，初始種群的第i個染色體表示為s0,s1,…，sn-1。染色體的大小取決于學(xué)習(xí)所需的權(quán)重大小，假設(shè)染色體被分為WeiTot個基因，權(quán)重的大小為w，其中第一個數(shù)字決定權(quán)重的符號，剩余的數(shù)字位于小數(shù)點之后。因此，群體中個體的染色體大小計算如式(4)所示，基因Gi中提取重量Wi的數(shù)學(xué)表達(dá)式如式(5)所示。

圖3 權(quán)重提取過程

Csize=WeiTot×w

(4)

(5)

1.3 DeeRaI網(wǎng)絡(luò)學(xué)習(xí)

DeeRaI網(wǎng)絡(luò)學(xué)習(xí)被定義為能夠使用從RBF中提取的智能信息來訓(xùn)練樣本的DL網(wǎng)絡(luò)，即通過對網(wǎng)絡(luò)進(jìn)行樣本和權(quán)值訓(xùn)練，在更短的時間內(nèi)找到特征數(shù)據(jù)之間的相關(guān)性。DeeRaI網(wǎng)絡(luò)學(xué)習(xí)特點是減少了學(xué)習(xí)時間，并通過克服消失的梯度問題來更快地檢測到異常。

DeeRaI網(wǎng)絡(luò)學(xué)習(xí)將歸一化的訓(xùn)練數(shù)據(jù)、五個聚類中心和初始權(quán)重作為輸入，將學(xué)習(xí)的權(quán)重作為輸出，最后將獲得的學(xué)習(xí)權(quán)重用于攻擊檢測。輸入層神經(jīng)元的輸出按式(6)計算；第一個隱藏層的輸入為從RBF提取的輸入特征的智能信息，其輸出按式(7)計算；第二個隱藏層的輸入是通過將相應(yīng)的權(quán)重乘以第一個隱藏層的輸出來計算的，如式(8)所示；第二個隱藏層的輸出使用激活函數(shù)ReLU計算，如式(9)所示；與第二隱藏層算法相同，第三和第四隱藏層的輸入和輸出分別采用式(8)和式(9)計算，并使用相應(yīng)的隱藏層輸出和權(quán)重；輸出層通過將相應(yīng)的權(quán)重與最后一個隱藏層的輸出相乘，計算DeeRaI網(wǎng)絡(luò)的輸出Cout，并按式(10)添加偏移，偏置項將輸出推送到適當(dāng)?shù)念悺?/p>

(6)

H1r=exp-‖Oq1-Ck‖2

(7)

(8)

(9)

(10)

1.4 適者生存

適者生存(Survival of Fittest，SoF)函數(shù)可以量化解決方案的最優(yōu)性，它是將特定的解決方案與其他所有解決方案進(jìn)行排序，每個解決方案的適應(yīng)度取決于它與問題最佳解決方案的接近程度。SoF函數(shù)首先計算數(shù)據(jù)集里每個記錄的誤差，然后計算群體中每個個體的均方根誤差(Root Mean Square Error，RMSE)，以此計算當(dāng)前代中每個個體的SoF值。RMSE是根據(jù)DeeRaI學(xué)習(xí)的輸出和類標(biāo)簽來計算的，如式(11)所示，每個個體的SoF值按式(12)計算，種群中的個體根據(jù)SoF值進(jìn)行排序，并將前50%的個體保留給下一代使用。

(11)

(12)

式中：Tt是數(shù)據(jù)集里每條記錄的目標(biāo)類；Cout是計算輸出；nt是訓(xùn)練記錄的數(shù)量。

1.5 積累化身

神經(jīng)網(wǎng)絡(luò)的權(quán)重在訓(xùn)練過程中起主要作用，每代權(quán)重的隨機(jī)生成導(dǎo)致DeeRaI學(xué)習(xí)不能很快收斂，因此需要對DeeRaI網(wǎng)絡(luò)進(jìn)行權(quán)重優(yōu)化。現(xiàn)有的遺傳算法(Genetic Algorithm, GA)和差分進(jìn)化(Differential Evolution, DE)算法均以隨機(jī)方式產(chǎn)生新的權(quán)重。為了克服因權(quán)重的隨機(jī)選擇而導(dǎo)致局部極小值的問題，本文應(yīng)用積累化身(CuI)算法來生成最佳權(quán)重，即通過計算最優(yōu)擬合權(quán)重的累積和來生成新的權(quán)重實例。“累積化身”一詞是指新的權(quán)重實例是根據(jù)前一代精英主義的最佳擬合權(quán)重計算出來的。

權(quán)重生成累積化身的過程如下：每個個體的權(quán)重根據(jù)當(dāng)前SoF值排列，在上一代中排名前50%的權(quán)重(R1至R50)被選為下一代的精英，后50%的權(quán)重是根據(jù)最佳擬合權(quán)重R1-R50計算的。第51個權(quán)重是R1和R2的平均值，第52個權(quán)重是R1、R2和R3的平均值，第53個權(quán)重是R1、R2、R3和R4的平均值，以此類推，第99個權(quán)重是R1、R2、…、R49和R50的平均值，第100個權(quán)重是51到99的平均值。因為新的權(quán)重群體是從前一代的最佳擬合權(quán)重生成的，所以這種權(quán)重優(yōu)化方法可以產(chǎn)生更好的結(jié)果。

1.6 基于DeeRaI的DoS攻擊檢測

本文設(shè)計的基于DeeRaI的DoS攻擊檢測系統(tǒng)如圖4所示。DoS攻擊檢測系統(tǒng)的輸入是訓(xùn)練階段使用的聚類中心、學(xué)習(xí)訓(xùn)練數(shù)據(jù)后提取的權(quán)重，以及測試數(shù)據(jù)。針對給定的測試數(shù)據(jù)，構(gòu)建DeeRaI網(wǎng)絡(luò)，并利用聚類中心從第一個隱藏層提取徑向智能信息，為所有層分配學(xué)習(xí)的權(quán)重，使用式(6)到式(10)逐層計算相應(yīng)隱藏層的輸入和輸出。然后將計算的輸出作為輸入傳遞給檢測函數(shù)(Detection Function，DetFun)，如式(13)所示，如果DetFun的輸出為0，則給定的測試數(shù)據(jù)被歸類為正常數(shù)據(jù)，否則將其歸類為攻擊。

圖4 DeeRaI的DoS攻擊檢測

(13)

2 實 驗

為評估本文設(shè)計的系統(tǒng)，定義了下列性能指標(biāo)：真陽性(True Positive，TP)是正確分類為攻擊的攻擊流量記錄數(shù)；真陰性(True Negative，TN)是正確分類為正常流量的流量記錄數(shù)；假陽性(False Positive，F(xiàn)P)是錯誤分類為攻擊的正常流量記錄數(shù)；假陰性(False Negative，F(xiàn)N)是錯誤分類為正常的攻擊記錄數(shù)。檢測率(Ture Positive Rate，TPR)是指在所有攻擊中檢測到的攻擊所占的比例，用式(14)計算；誤報率(False Positive Rate，F(xiàn)PR)是指檢測系統(tǒng)錯誤分類的網(wǎng)絡(luò)流量的百分比，用式(15)計算；準(zhǔn)確率(Accuracy，Acc)是攻擊檢測系統(tǒng)準(zhǔn)確分類的數(shù)據(jù)比例，用式(16)計算；誤差率(Error Rate，ER)是攻擊檢測系統(tǒng)錯誤分類的數(shù)據(jù)比例，用式(17)計算。

(14)

(15)

(16)

(17)

2.1 代數(shù)與績效指標(biāo)

DeeRaI網(wǎng)絡(luò)學(xué)習(xí)速度與收斂的代數(shù)有關(guān)，收斂的代數(shù)越少，DeeRaI網(wǎng)絡(luò)學(xué)習(xí)速度越快。實驗在MATLAB R2016B上采用NSL-KDD數(shù)據(jù)集，分別利用GA、DE算法和CuI算法對DeeRaI網(wǎng)絡(luò)進(jìn)行優(yōu)化，測試訓(xùn)練數(shù)據(jù)。

圖5到圖8描繪了本文方法在不同代數(shù)下的性能指標(biāo)。可以看出，采用CuI算法的DeeRaI大約在第350代收斂，采用DE算法的DeeRaI網(wǎng)絡(luò)接近第500代收斂，采用GA的DeeRaI網(wǎng)絡(luò)接近第450代收斂。需要注意的是，收斂的代數(shù)越少，DeeRaI網(wǎng)絡(luò)學(xué)習(xí)速度越快。因此，與利用GA和DE算法的DeeRaI相比，利用CuI算法的DeeRaI學(xué)習(xí)訓(xùn)練數(shù)據(jù)花費(fèi)的時間更少并且沒有陷入局部最小值，并且與現(xiàn)有方法相比，本文方法收斂得更快。

圖5 不同代數(shù)下的檢測率

圖6 不同代數(shù)下的誤報率

圖7 不同代數(shù)下的準(zhǔn)確率

圖8 不同代數(shù)下的誤差率

2.2 學(xué)習(xí)方法與績效指標(biāo)

實驗在MATLAB R2016B上采用NSL-KDD數(shù)據(jù)集，將三種學(xué)習(xí)方法，即RBF、DL和DeeRaI，分別使用GA、DE算法和CuI算法進(jìn)行優(yōu)化，并將其測試數(shù)據(jù)與未優(yōu)化的學(xué)習(xí)方法測試數(shù)據(jù)進(jìn)行比較。

圖9到圖12描繪了不同學(xué)習(xí)方法的性能指標(biāo)，可以看出，與現(xiàn)有的學(xué)習(xí)方法和權(quán)重優(yōu)化方法相比，使用CuI算法的DeeRaI具有更高的檢測率和準(zhǔn)確率，更低誤報率和誤差率。使用CuI算法的RBF性能不佳的原因是隱層節(jié)點的數(shù)量較少，使用CuI算法的DL性能不佳的原因是DL中沒有智能提取組件，使用CuI算法的DeeRaI性能在權(quán)重優(yōu)化和特征提取方面實現(xiàn)了改進(jìn)。

圖9 不同學(xué)習(xí)方法下的檢測率

圖10 不同學(xué)習(xí)方法下的誤報率

圖11 不同學(xué)習(xí)方法下的準(zhǔn)確率

圖12 不同學(xué)習(xí)方法下的誤差率

2.3 實驗平臺搭建與結(jié)果驗證

為了驗證所提算法在真實物理環(huán)境下的性能，本文用5個正常用戶、1個路由器、1個100 Mbit/s網(wǎng)關(guān)、文件傳輸協(xié)議(File Transfer Protocol, FTP)服務(wù)器和黑客攻擊端搭建了一個DoS攻擊系統(tǒng)，實驗環(huán)境的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖13所示。網(wǎng)絡(luò)間的速率均為100 Mbit/s，黑客隨機(jī)發(fā)動100次攻擊，隨機(jī)選擇每次攻擊的時間起點。

圖13 實驗環(huán)境的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

表1為本文算法與現(xiàn)有攻擊檢測系統(tǒng)中半監(jiān)督機(jī)器學(xué)習(xí)方法[3]和基于自動編碼器的特征學(xué)習(xí)方法[11]的準(zhǔn)確率和誤報率。

表1 不同算法的檢測結(jié)果比較 %

可見，本文算法在準(zhǔn)確率和誤報率方面都優(yōu)于現(xiàn)有方法。本文通過使用激活函數(shù)ReLU從RBF網(wǎng)絡(luò)中提取的智能信息進(jìn)行學(xué)習(xí)，利用CuI算法獲得了學(xué)習(xí)的權(quán)重，因此本文DeeRaI花費(fèi)較少的學(xué)習(xí)時間，以較高的準(zhǔn)確率實現(xiàn)拒絕服務(wù)檢測。

3 結(jié) 語

為了克服機(jī)器學(xué)習(xí)法梯度的消失和由于隨機(jī)選擇權(quán)重陷入局部最小值等問題，本文提出一種DeeRaI學(xué)習(xí)網(wǎng)絡(luò)拒絕服務(wù)(DoS)檢測系統(tǒng)。從第一隱藏層中提取RBF神經(jīng)網(wǎng)絡(luò)的智能信息，將其用來訓(xùn)練DeeRaI網(wǎng)絡(luò)，使用本文設(shè)計的方法提取DeeRaI網(wǎng)絡(luò)的初始權(quán)重，使用積累化身(CuI)的算法生成最佳權(quán)重，獲得的權(quán)重用于區(qū)分正常流量和DoS攻擊流量。實驗表明，本文方法在檢測率、準(zhǔn)確性、誤報率和誤差率性能方面均優(yōu)于現(xiàn)有的其他方法，并且比現(xiàn)有的權(quán)重優(yōu)化方法收斂得更快。未來的工作是考慮在多個入侵檢測數(shù)據(jù)集上進(jìn)行實驗，從而更全面地驗證所提算法的效果。