海量冗余數據沖擊下網絡入侵檢測方法

薛峪峰，馬曉琴，羅紅郊，田光欣

（國網青海省電力公司信息通信公司，青海西寧 810008）

網絡技術的飛速發展，全面推進了我國國民經濟的發展和社會的繁榮進步，但是各種網絡安全問題也接踵而來，給人類生活帶來十分嚴重的影響，嚴重威脅社會的穩定性。現階段網絡入侵防治技術不斷提升[1-2]，采用防火墻以及神人認證等方式對網絡入侵實行排查和防御，但是仍然存在一些比較難以防范的手段，威脅著網絡的穩定以及個人利益。為了更好地實現網絡安全管控，國內相關專家針對網絡入侵檢測方面的內容展開大量研究，如付子爔等人[3]將支持向量機和最近鄰兩者結合完成網絡入侵檢測。楊彥榮等人[4]對原始數據的預處理，采用GAN整體擴充的方式對少數類樣本進行擴充處理，同時借助粒子群算法優化輸入權重以及隱含層偏置，最終構建入侵檢測模型。陳卓等人[5]優先建立時空圖卷積網絡，在復雜多變的數據中提取網絡時空演變特征，同時引入支持向量機實行分類預測，最終實現網絡入侵檢測。在以上幾種方法的基礎上，提出一種海量冗余數據沖擊下網絡入侵檢測方法。經實驗測試結果證明，所提方法可以高效率、高精度地完成網絡入侵檢測。

1 網絡入侵檢測方法

1.1 海量冗余數據預處理

將海量冗余數據沖擊下網絡入侵檢測問題作為一項分類預測任務[6-7]。針對數據集中存在某些特征無法通過計算獲取數值特征的問題，通過以下獨熱編碼方式實行編碼處理，同時將其轉換為數值類型特征。

優先掃描數據樣本，發現數據集中類型為符號型的特征集合，針對每一項特征項賦予取值不同的標識數字，同時確定編碼中取值為1 的位置，剩余位置用0 填充。

將經過獨熱編碼后的數據進行歸一化處理，歸一化處理的主要目的就是將數據中每一個特征映射到0～1 之間，對應的計算式為：

在海量數據中，還存在比較多的冗余特征，這些特征會嚴重影響網絡入侵檢測結果的準確性。所以，需要全面提升數據質量，同時降低檢測時間。

為了獲取最優的變換變量，經過變換后的數據保持最大的區分度δ*，則采用以下公式進行求解：

式中，n代表樣本總數；δ(a,b)代表變換向量；代表全部行樣本的平均值；d代表數據維度；T代表數據特征的方差[8-10]。

1.2 改進K-means算法

一般情況下，將K-means 算法的主要思想劃分為以下三個階段[11-13]，分別為：1）設定共有m個測試樣本，同時采用設定的數據樣本代表簇的初始中心或者平均取值。2）分類處理全部數據樣本，同時計算各個樣本和聚類中心之間的距離，根據計算完成數據樣本分配。3）重新調整新類，計算對應的聚類中心，如果聚類中心沒有發生改變，則說明滿足聚類收斂準則，需要停止計算，整個算法計算結束。

采用K-means 算法構建平方誤差準則函數D，具體的表達形式如下：

式中，q代表空間中的點；mi代表第i個測試樣本。

K-means 算法主要通過平均值方法獲取聚類中心點，這樣算法會過早陷入局部最優。為了有效防止K-means 算法陷入局部最優，通過隨機梯度下降方法取代批量梯度下降。每次僅選取一個數據，采用歐式距離獲取距離它最近的簇心，確保簇心在數據所在方向移動，有效避免聚類過程中陷入局部最優。詳細的求解過程如下所示：

設定l(α) 和m(α) 分別代表擬合函數和損失函數，對應的表達式如下所示：

式中，αj代表迭代求解結果。

在計算的過程中，各個數據樣本采用迭代計算的方式來不斷更新αj的取值。當數據樣本數量比較大時，梯度下降法只需要少量的數據樣本就可以將αj值達到最優。

梯度下降法的尋優過程就是獲取函數f(a)的最小值，則獲取的函數最小值為：

通過以上分析，獲取改進K-means 算法的詳細操作步驟：1）手動確定多個簇心；2）在樣本數據各自維度的最大值和最小值之間選擇簇心向量對應的維度；3）每次選擇一個樣本數據，獲取距離它最近的簇心，同時將簇心向樣本數據所在的方向移動；4）每次將最近的簇心向數據項移動，同時乘以學習率；5）重復步驟2）-4）；6）更新簇心；7）直至簇心位置不再發生變動；8）通過數據量判斷該簇是正常還是異常。

1.3 冗余數據沖擊下網絡入侵檢測

為了提升支持向量機的收斂速度[14-15]，需要在迭代過程中選取最佳工作集U(xi,xj)，即獲取合適的優化變量或者訓練點，同時滿足以下約束條件：

式中，(xi,xj)代表樣本數據集。

使用支持向量機解決實際問題的過程中，還有一個十分重要的問題需要解決[16]，即核函數的選擇和建立，詳細的操作步驟如下所示：1）設定核函數。2）設定一個映射，主要由非空集合、實數空間以及數據點組成。3）根據轉換關系獲取線性組合。4）在線性空間內設定數據內積計算，同時將其轉換到Hilbert 空間中。5）通過內積的定義，采用輸入空間函數進行描述。通過式（7）計算兩個異構數據點之間的距離d(i,j)：

式中，ds(i,j)和dt(i,j)代表兩個異構數據點的連續性屬性。在得到異構數據集中數據點之間的距離后，可以采用距離替換高斯徑向基核函數的范數。通過上述分析，將改進K-means 算法和支持向量機兩者相結合，進而檢測海量冗余數據沖擊下網絡入侵。

2 仿真實驗

為了驗證所提海量冗余數據沖擊下網絡入侵檢測方法的有效性，在設定環境下展開實驗研究。利用表1 和圖1 給出三種不同方法的網絡入侵檢測時間以及最小平均誤差測試結果。

表1 不同方法得到網絡入侵檢測時間測試結果對比

分析表1 中的實驗數據可知，各個方法的網絡入侵檢測時間會隨著實驗次數的變化而變化。在三種算法中，所提方法的網絡入侵檢測時間最短；文獻[3]算法的網絡入侵檢測時間次之；而文獻[4]算法的入侵檢測時間最長。由此可見，所提算法可以以較快的速度完成網絡入侵檢測。

分析圖3 中的實驗數據可知，與另外兩種方法相比，所提方法的最小均方誤差明顯更低一些。另外兩種方法的最小均方誤差偏高，需要進一步提升兩種方法的性能。

隨機選取200 個樣本作為測試對象，分析在不同丟包率以及不同噪聲比例下三種方法的檢測率、誤檢率、誤報率測試結果，如圖2 和圖3 所示。

分析圖2 和圖3 中的實驗數據可知，所提方法可以有效提升檢測率，降低誤報率和誤檢率，獲取更加精準的檢測結果，全面提升檢測結果的準確性。

3 結論

針對網絡入侵檢測方法存在的不足，提出一種海量冗余數據沖擊下網絡入侵檢測方法。經實驗測試結果表明，所提方法可以有效提升檢測結果的準確性，同時還可以有效降低檢測時間，具有良好的適應性。由于受到時間環境的限制，所提方法后續將針對以下幾方面的內容展開研究：1）需要及時完善網絡入侵行為，實時更新網絡信息。2）在網絡入侵檢測過程中，需要將多種算法相結合，全面提升檢測性能。