PCA和KNN特征選取的網絡入侵檢測

周穎

如今人們的生活越來越離不開網絡，網絡安全的重要性日益凸顯，而網絡入侵檢測是網絡安全的重中之重，已經成為許多現(xiàn)代網絡應用的重要安全工具。入侵檢測系統(tǒng)入侵檢測系統(tǒng)的任務是識別、分類，并對惡意的、可疑的或偏離公認標準的活動做出反應，入侵檢測系統(tǒng)包含特征選擇和訓練樣本兩個模塊。有效的特征選擇（Feature Selection，F(xiàn)S）可為入侵檢測從海量數據中篩除大量的噪聲，選出有效的關鍵特征，在訓練樣本中使用不同的算法對于不同量級的數據集會有顯著差異。為了提高入侵檢測系統(tǒng)的性能，采用PCA和KNN算法進行特征選擇，在KDD-CPU99入侵檢測的大量實驗結果表明，KNN算法表現(xiàn)優(yōu)異，可提高入侵檢測系統(tǒng)的準確性、降低誤報率。

網絡級的入侵檢測可以分為數據包的捕獲、預處理以及對數據包進行攻擊檢測的過程。系統(tǒng)通過分析網絡流量或系統(tǒng)審計紀錄等，來發(fā)現(xiàn)網絡或系統(tǒng)中是否有違反安全策略的攻擊行為，以便系統(tǒng)管理員采取有效的措施。因系統(tǒng)要對網絡中的海量數據進行分析，必然會影響系統(tǒng)處理的實時性，降低了系統(tǒng)的檢測速度，影響系統(tǒng)的檢測效果，因此在保證檢測準確率的前提下，如何提高入侵檢測速度成為當前研究熱點。

特征選擇是有效檢測的重要技術之一，F(xiàn)S的重要性可以從兩方面來看：第一個方面是濾除噪聲，消除無關和冗余特征，由于數據集中有大量嘈雜、不相關或誤導性的特征，F(xiàn)S是強制性的；另一方面，F(xiàn)S可以被認為是一個優(yōu)化問題，其特征的最優(yōu)子集可更好地滿足期望。可以使用某些評估標準來衡量FS優(yōu)化的質量，由于FS是一個難題，所以目前沒有完全適用的方法來找到它的最佳特征子集。

針對入侵檢測的特征選擇，研究人員已經做了大量的研究工作，有人提出了基于粒子群優(yōu)化（Partical Swarm Optimization， PSO）算法的入侵檢測特征選擇方法；有人對網絡數據的特征選擇采用基于距離準則的適應度函數指導PSO的方法，此方法提高了分類算法質量；有人將PSO算法與免疫思想相結合應用于特征選擇，在一定程度上提高了PSO算法的收斂速度；有人提出基于量子粒子群優(yōu)化（Quantum Partical Swarm Optimization， QPSO）的入侵特征選擇方法，實現(xiàn)網絡入侵特征子集的優(yōu)化選擇，主要依靠QPSO算法有較好的全局尋優(yōu)能力；有人提出基于KNN算法及禁忌搜索算法的特征選擇方法在入侵檢測中的應用研究；有人分別將入侵檢測中的特征選擇問題看作多目標優(yōu)化問題來處理，該方法在顯著提高檢測算法效率的同時，檢測精度也得到提高；有人提出的入侵檢測特征選擇算法是基于遺傳算法的，算法在保證特征分類精度和確保入侵檢測漏檢率、誤檢率盡量小的前提下明顯提高了入侵檢測的效率。但以上特征選擇算法均存在容易陷入局部最優(yōu)、迭代后期收斂速度慢的缺陷。

KDD-CPU99入侵檢測方法采用蟻群優(yōu)化算法和分類器來選擇識別新入侵的重要特征，解決了入侵檢測問題領域的降維問題。實驗是在NSL-KDD數據集上進行和確定的，該方法從41個特征中選擇了24個，準確率為98.9 %，誤報率為2.59 %。結果表明該模型對入侵檢測系統(tǒng)是有效的。

參考以上可以得出結論，一些特征在入侵檢測中非常重要，此外證明，沒有單一的通用分類器能夠對所有攻擊類型進行分類。相反，在某些情況下，特定的分類器比其他分類器性能更好。因此，這些工作促進了入侵檢測模型采用多分類器集成和融合，所以KDD-CPU99數據集作為入侵檢測模型的樣本數據，并選擇BP神經網絡等常用入侵檢測方法進行性能對比分析，是兩種特征選擇與分類器融合選擇中的較優(yōu)模型。

KDD-CPU99數據集是在入侵檢測領域中廣泛使用的數據集，主要分為訓練數據集和測試數據集兩部分。該數據集提供了從一個模擬美國空軍局域網上采集的9個星期的網絡連接數據，其中訓練數據集包含了7個星期的大約500萬條連接記錄，測試數據集包含了2個星期的大約200萬條連接記錄，其中每個記錄包含41個特征。

由于KDD-CPU99數據集規(guī)模比較大，在普通的筆記本電腦上運行計算耗時過長，為此，選擇KDD官方網站提供的抽取10%的數據集（kddcup.testdata.unlabeled_10_percent.csv）和測試子集（corrected）進行仿真實驗。實驗運行的機器環(huán)境如下：Intel酷睿i5-10210U處理器，1.6 GHz基礎頻率，睿頻4.2 GHz，運算性能為4核8線程。

神經網絡訓練結果為Instructions for updating：this property should not be used in TensorFlow 2.0， as updates are applied automatically.0.0008896411208646513 0.99004745。其中Epoch代表迭代次數，在第9層神經網絡中已經達到丟失數據率為0.21 %，準確率達到97.56 %。

KNN訓練后準確率達到了100 %，宏平均是對每個類別的精準、召回和F1加和求平均，達到了70 %。

從以上實驗可以發(fā)現(xiàn)，使用PCA進行特征選擇和BP神經網絡訓練樣本進行預測，與使用KNN進行特征選擇與樣本預測均在KDD官方網站提供的抽取10 %的數據集上有良好的表現(xiàn)。KNN的表現(xiàn)較為優(yōu)秀，可能由于實驗采用的數據集僅抽取了KDDcup99數據集中的一小部分，而通過以往的文獻可知，KNN在數據集較小時表現(xiàn)更為優(yōu)異，神經網絡在大數據集下表現(xiàn)更為突出。

在網絡入侵檢測建模過程中，特征和訓練樣本的選擇對于網絡檢測效果具有重要的影響。為此，在小數據集的情況下，對比基于TensorFflow平臺的BP神經網絡和PCA特征選取與KNN分類器組合的網絡入侵檢測模型，實驗結果表明，PCA-KNN提高了入侵檢測的正確率，宏平均達到了70%，證明了該方法的有效性和可行性。