基于自適應濾波處理的網絡入侵監測系統設計

方雪琴，石宏宇，王信科

（南方電網海南數字電網研究院有限公司，海南海口 570100）

隨著網絡時代的高速發展，網絡已經貫穿了大眾的生活，根據網絡真實的運行情況和大眾的需求，設計出一款保證網絡安全的系統[1]。傳統的網絡入侵監測系統不能及時地發現高級的網絡入侵行為，使網絡入侵攻擊行為在網絡系統中存在的時間延長，且誤報率較高，降低了網絡的安全性。因此，網絡運行安全問題逐漸成為網絡安全領域的重點研究方向，如何有效地發現網絡入侵攻擊行為，并快速地截獲網絡入侵行為，成為當前亟待解決的問題。

自適應濾波算法是在維納濾波算法的基礎上擴展推理出來的，其工作原理是通過采集分析各類型的網絡信號，對信號所屬器件進行運行分析，具有高效的適應性和濾波性，被廣泛地應用于信號處理和網絡領域[2-3]。

該文通過自適應濾波處理算法，結合傳統系統的設計理念，構建基于自適應濾波處理的網絡入侵監測系統，該系統可以及時檢測網絡入侵行為，且有效提升了結果準確率，避免網絡受到非法攻擊造成的不良影響[4]。

1 系統硬件設計

該文設計的基于自適應濾波處理的網絡入侵監測系統硬件由濾波器、數據采集器、處理器和監測器組成。系統硬件結構如圖1 所示。

圖1 網絡入侵監測系統硬件結構

1.1 濾波器

濾波器是由電容、電感以及電阻共同構建的一個濾波電路設備，可以識別網絡電路中的特定頻率和頻點。該文在硬件區域設計濾波器的目的是調用自適應濾波處理算法，通過異常網絡與其他正常網絡的頻率和頻點不同的特點[5-8]，提高網絡入侵監測系統的準確率。濾波器結構如圖2 所示。

圖2 濾波器結構

1.2 數據采集器

數據采集器的工作任務是采集網絡運行過程中所有的網絡數據包，為處理器和監控器的處理提供分析數據。該文采用YUH75-1 系列的數據采集器，此采集器配置多個C825 接口、type 接口以及可擴充的卡槽，使數據采集器的采集速率達到250～500 kb/s，最高可以達到8 Mb/s，在一定程度上提高網絡入侵監測系統的監測效率[9-11]。數據采集器電路如圖3所示。

圖3 數據采集器電路

YUH75-1 數據采集器可以同時采集掃描5 GB的網絡通信數據包，并且篩選異常網絡通信數據包的準確率為100%。因為網絡信息量大，為了減少網絡進程的排隊時間，YUH75-1 數據采集器的內存為8+256G，采集處理器為8 核2.0 GHz 的C64 處理器。數據采集器的充電裝置采用移動電源，可以隨時隨地更換電池，并且移動電源的工作周期長，可延長系統其他設備的使用周期。因為網絡行為格式各種各樣，所以數據采集器具有多模式自動調用功能，支持LTE CAT6 網絡行為轉碼[12]。

1.3 處理器

處理器是入侵監測系統功能實現的基礎，只有處理器的性能強大，才能帶動其他硬件設備完成系統的功能調用，為此基于自適應濾波處理的網絡入侵監測系統硬件區域選用英特爾I5 9400F 處理器。英特爾I5 9400F 處理器的光刻為14 nm，采用6 內核12 線程的處理模式[13]，可以達到2.90 GHz 的基本頻率，此處理器的優勢在于額外配置4 個1.5 GHz 的基本頻率模塊，提高處理器的處理速度，保障網絡的安全。英特爾I5 9400F 處理器的總線速度為1.5 Mb/s，處理器運行過程中需要65 W 的TDP 進行驅動，否則達不到預期效果。為了適應網絡的發展性，處理器本身的內存規格為4*DDR4/128G，該文在處理器邊緣另外設計了多個插槽，一旦處理器空間不足，利用插槽存儲，同時清理處理器中的緩存冗余，提高處理器的利用率[14]。

1.4 監測器

監測器是基于自適應濾波處理的網絡入侵監測系統硬件區域的核心硬件設備，監測器的功能是通過處理器、濾波器以及數據采集器的協助，監測網絡整體運行狀態，一旦發現網絡入侵行為或者識別出網絡入侵趨勢，立即將該區域的IP 地址以及其他關鍵信息發送到網絡管理中心，并且調用算法對網絡入侵行為做出合適的應急處理。監測器結構如圖4 所示。

圖4 監測器結構

監測器的芯片采用SICCDF0-92 芯片，此芯片具有超強的網絡行為識別能力，是一款雙核四通道模式的公用芯片。

監測器的顯示屏幕為3 840×2 160分辨率的4k高清屏幕，另一方面監測器采用6B/6C 雙協議以及UHF超高頻的網絡數據幀篩查模塊，使監測器的內部數據運行速度達到247 MIPS，保證監測器的工作效率。

2 系統軟件設計

自適應濾波算法計算的關鍵指標為濾波步長、濾波穩態誤差和信號的收斂速度，但是在傳統的自適應濾波算法中，濾波步長和濾波的穩態誤差為正比例關系，濾波穩態誤差和信號收斂速度兩個指標參數為反比例關系，網絡信號的濾波穩態誤差越小，信號的收斂速度越快[15]。

濾波步長指的是算法每秒分析信號幀的速率，濾波收斂速度指的是在自適應濾波算法開始的濾波分析模式與濾波選擇模式兩者間的濾波變化速度，其速度越快，自適應濾波算法的處理精度越高，計算速度也越來越快。因此，平衡網絡信號中的濾波穩態步長和信號收斂速度的相對數值尤為重要。該文研究的自適應濾波處理算法通過借助一個瞬時控制濾波步長的控制函數，平衡濾波步長、濾波穩態誤差以及信號收斂速度的關系，提高對網絡信號的識別分析能力[16]。具體的控制函數如下：

其中，μmax為步長因子能取得的最大值；μmin表示步長因子的最小值。

信號濾波的步長因子的最大值受其他因素的制約。為了提高自適應濾波算法的收斂速度，其濾波步長應該適當取值，但是濾波步長不能超過μmax，也不能小于μmin。但是在平衡信號濾波的收斂速度時，勢必會引入信號的噪音誤差，對于網絡信號的分析具有一定的引導偏差，使自適應濾波算法的分析效率得不到保障。所以該文在此基礎上引入sigmoid 函數，用于平衡自適應濾波的步長與信號穩態誤差之間的關系，提高算法的計算精度，整合后的計算公式如下：

其中，μ(n)函數是一個非線性函數，在原有的自適應濾波算法計算方法下的濾波步長值較大時，會影響濾波穩態，那么函數立即降低濾波步長為零，去平衡整體的濾波分析算法的計算精度。在濾波步長取值較小時，函數立即根據信號的強度，將濾波步長提高至最大值。綜上所述，公式只能根據需求將濾波步長最大化或者最小化，無法取中間值，因此最終的分析網絡信號狀態的自適應濾波處理算法的計算如式（4）所示：

其中，β表示濾波步長；e表示濾波的數據包個數；b表示自適應濾波的穩態系數；α表示網絡平衡系數。

基于自適應濾波處理的網絡入侵監測系統工作流程如圖5 所示。

圖5 網絡入侵監測系統工作流程

1）首先啟動基于自適應濾波處理的網絡入侵監測系統，激活硬件區域的器件，利用數據處理器收集網絡系統內的異常攻擊信號和運行信號，采集到數據信號時，立即將信號的地址和相應操作系統信息的映射表打包傳輸到處理器；

2）處理器接收異常網絡入侵信號和攻擊信號的數據包時，根據入侵信號的IP 地址和操作系統信息的映射表，確定兩者之間的網絡入侵規則集，不同規則集的入侵模式不同，通過對入侵模式進行監測，提高系統的監測精度；

3）通過濾波器調用自適應濾波處理算法并根據算法分析的網絡被入侵的攻擊IP 地址，驅動監測器對該區域進行監測，一旦發現實質性的攻擊行為立即進行初級阻止并及時反饋給網絡安全管理中心，保證網絡入侵的安全性。

3 實驗研究

為了檢測該文提出的基于自適應濾波處理的網絡入侵監測系統的有效性，選用該文系統與傳統系統進行實驗對比。傳統的監測系統分別為基于云計算的網絡入侵監測系統、基于自適應深度檢測的網絡入侵監測系統。

設定實驗參數如表1 所示。

表1 實驗參數

根據上述參數，選用該文提出的系統和傳統系統進行實驗對比，實驗次數共有10 次。3 種系統得到的漏報率實驗結果如表2 所示。

表2 漏報率實驗結果

根據表2 的實驗結果可知，該文提出的系統漏報率遠遠低于傳統系統的漏報率，因此系統監測能力更強。監測準確率實驗結果如圖6 所示。

圖6 監測準確率實驗結果

觀察圖6 可知，該文提出的監測系統監測準確率高于傳統監測系統的準確率。該文提出的系統應用自適應濾波處理技術具有很強的信息篩選能力，能夠在短時間內確定入侵監測數據，從而實現監測，而傳統系統受到噪聲數據影響，監測準確率較低。

4 結束語

該文設計了濾波器、數據采集器、處理器以及監測器，分析各個器件的性能和工作任務，通過自適應濾波算法調用硬件區域的各個器件，完成網絡入侵監測系統設計。實驗結果表明，設計的系統能夠達到提高網絡入侵監測準確率的研究目的。