一種改進(jìn)的三層SOM入侵檢測(cè)方法

周方祥 萬(wàn)仁霞 解道錦 王瑋琪

摘 ?要： 為有效偵查網(wǎng)絡(luò)入侵行為，提出一種改進(jìn)三層SOM神經(jīng)網(wǎng)絡(luò)入侵檢測(cè)方法，旨在提高檢測(cè)率和降低檢測(cè)時(shí)間。該方法通過(guò)數(shù)據(jù)歸一化、網(wǎng)絡(luò)模型初始化、計(jì)算獲勝神經(jīng)元、權(quán)值調(diào)整等步驟訓(xùn)練模型，最后通過(guò)訓(xùn)練好的模型檢測(cè)待測(cè)樣本，以得到待測(cè)數(shù)據(jù)的分類結(jié)果。通過(guò)采用折中規(guī)則計(jì)算競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)優(yōu)化初始模型，以及增加自適應(yīng)停止訓(xùn)練機(jī)制克服原算法最大停止的缺點(diǎn)。實(shí)驗(yàn)結(jié)果表明，改進(jìn)算法可在確保檢測(cè)質(zhì)量的前提下有效提高未知樣本的檢測(cè)效率。

關(guān)鍵詞： 網(wǎng)絡(luò)入侵; 自組織特征映射網(wǎng)絡(luò); 模型訓(xùn)練; 數(shù)據(jù)分類; 節(jié)點(diǎn)計(jì)算; 初始模型優(yōu)化

中圖分類號(hào)： TN915.08?34; TP391.9 ? ? ? ? ? ? ? ?文獻(xiàn)標(biāo)識(shí)碼： A ? ? ? ? ? ? ? ? ? 文章編號(hào)： 1004?373X（2019）15?0068?04

Network intrusion detection method with improved 3?SOM

ZHOU Fangxiang1， WAN Renxia2， XIE Daojin2， WANG Weiqi1

（1. School of Computer Science and Engineering， North Minzu University， Yinchuan 750021， China;

2. School of Mathematics and Information Science， North Minzu University， Yinchuan 750021， China）

Abstract： ?In order to effectively detect network intrusion behavior， a neural network intrusion detection method with improved three?layer SOM is proposed in this paper to improve the detection rate and reduce the detection time. In the method， the model is trained according to the steps of data normalization， network model initialization， calculation of winning neurons， weight adjustment， etc. The samples under test are tested by the trained model to obtain the classification result of the data under test. The trade?off rules are adopted to calculate the number of competing layer nodes， so as to optimize the initial model， and add the adaptive stop training mechanism to overcome the maximum stop shortcoming of the original algorithm. The experimental results show that the improved algorithm can effectively improve the detection time efficiency of the unknown sample under the premise of ensuring the detection quality.

Keywords： network intrusion; SOM; model training; data classification; node calculation; initial model optimization

0 ?引 ?言

隨著互聯(lián)網(wǎng)的高速發(fā)展，網(wǎng)絡(luò)入侵也頻繁出現(xiàn)，網(wǎng)絡(luò)侵害行為已嚴(yán)重阻礙生產(chǎn)發(fā)展[1]。但要實(shí)時(shí)且全面地找出網(wǎng)絡(luò)系統(tǒng)中存在的真實(shí)入侵并不容易，因而檢測(cè)技術(shù)的有效性就顯得極其重要。

文獻(xiàn)[2]提出一種改進(jìn)的SOM網(wǎng)絡(luò)入侵檢測(cè)模型（3?SOM），在典型二層SOM神經(jīng)網(wǎng)絡(luò)基礎(chǔ)上增加一層輸出層，由無(wú)監(jiān)督的神經(jīng)網(wǎng)絡(luò)變?yōu)橛斜O(jiān)督的神經(jīng)網(wǎng)絡(luò)。但該方法中的隱層節(jié)點(diǎn)數(shù)和訓(xùn)練次數(shù)依靠經(jīng)驗(yàn)取得，一般認(rèn)為，增加隱層數(shù)可以降低網(wǎng)絡(luò)誤差，提高精度，但也使網(wǎng)絡(luò)復(fù)雜化，從而增加網(wǎng)絡(luò)的訓(xùn)練時(shí)間和出現(xiàn)“過(guò)擬合”的傾向。另外，如果訓(xùn)練次數(shù)過(guò)多或過(guò)少，則會(huì)產(chǎn)生過(guò)擬合或欠擬合，這些情況都會(huì)影響檢測(cè)入侵?jǐn)?shù)據(jù)流的分類結(jié)果。

本文在文獻(xiàn)[2]的基礎(chǔ)上，提出一種改進(jìn)的3?SOM（Improved 3?SOM，I3?SOM），引入競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)計(jì)算方法與自適應(yīng)停止訓(xùn)練機(jī)制，有效地克服傳統(tǒng)算法較長(zhǎng)的訓(xùn)練時(shí)間，提高了模型訓(xùn)練的效率。

1 ?三層SOM神經(jīng)網(wǎng)絡(luò)模型

典型的自組織特征映射網(wǎng)絡(luò)（簡(jiǎn)稱SOM）模型有兩層結(jié)構(gòu)，即輸入層和競(jìng)爭(zhēng)層。SOM的基本思想是計(jì)算出各輸入樣本與互連競(jìng)爭(zhēng)神經(jīng)元的歐氏距離，最小的為獲勝神經(jīng)元。調(diào)整獲勝神經(jīng)元和與其相鄰的神經(jīng)元權(quán)值，使獲勝神經(jīng)元及周邊權(quán)值靠近輸入樣本。經(jīng)過(guò)反復(fù)多次訓(xùn)練，使得同類神經(jīng)元具有相近的權(quán)系數(shù)。在學(xué)習(xí)過(guò)程中，學(xué)習(xí)率、權(quán)值和神經(jīng)元鄰域不斷調(diào)整，異類神經(jīng)元逐步發(fā)散，同類神經(jīng)元相對(duì)逐步集中，從而達(dá)到聚類的效果。文獻(xiàn)[2]在典型的兩層SOM中增加了一層輸出層，輸出層的節(jié)點(diǎn)與測(cè)試數(shù)據(jù)的類別相同，使得無(wú)監(jiān)督變成了有監(jiān)督的全鏈接網(wǎng)絡(luò)模型，如圖1所示。相對(duì)兩層SOM，3?SOM在輸入層與競(jìng)爭(zhēng)層的學(xué)習(xí)率rate1和權(quán)值基礎(chǔ)上增加了競(jìng)爭(zhēng)層與輸出層之間的學(xué)習(xí)率rate2和權(quán)值。利用訓(xùn)練數(shù)據(jù)建立三層模型，檢驗(yàn)待測(cè)樣本的屬性，通過(guò)計(jì)算待測(cè)樣本與競(jìng)爭(zhēng)層的最短距離以得出獲勝神經(jīng)元，與獲勝神經(jīng)元連接權(quán)值最大的輸出層神經(jīng)元為待測(cè)樣本類別。

圖1 ?三層SOM神經(jīng)網(wǎng)絡(luò)模型

3?SOM與BP神經(jīng)網(wǎng)絡(luò)有著相似的結(jié)構(gòu)，BP模型包含輸入層、隱層、輸出層。兩者都是通過(guò)調(diào)整權(quán)值以實(shí)現(xiàn)自適應(yīng)學(xué)習(xí)，但兩者權(quán)值的調(diào)整方式各異。3?SOM是正向使得同類的神經(jīng)元具有相似的權(quán)系數(shù)，不同類的權(quán)系數(shù)差異較大，最終實(shí)現(xiàn)數(shù)據(jù)分類[3]。在BP網(wǎng)絡(luò)中，樣本數(shù)據(jù)從輸入層經(jīng)隱層逐漸向后傳播，調(diào)整權(quán)值時(shí)，則沿著減少誤差的方向，從輸出層經(jīng)過(guò)中間各層逐層修正網(wǎng)絡(luò)的連接權(quán)值，以實(shí)現(xiàn)網(wǎng)絡(luò)訓(xùn)練。

2 ?改進(jìn)的三層SOM神經(jīng)模型

針對(duì)3?SOM中存在競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)取值困難、訓(xùn)練次數(shù)不確定的問(wèn)題，本文提出以下兩點(diǎn)改進(jìn)。

2.1 ?計(jì)算競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)

3?SOM輸入層節(jié)點(diǎn)數(shù)一般為輸入樣本的維數(shù)，輸出層節(jié)點(diǎn)數(shù)一般為輸入樣本的類別數(shù)，因此，網(wǎng)絡(luò)模型的結(jié)構(gòu)難點(diǎn)在于競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)的選擇。競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)或多或少會(huì)導(dǎo)致過(guò)擬合或欠擬合，過(guò)擬合就是網(wǎng)絡(luò)模型把非一般的特性也學(xué)習(xí)到;欠擬合就是難以學(xué)習(xí)到一般規(guī)律。所以競(jìng)爭(zhēng)層的節(jié)點(diǎn)數(shù)影響著整個(gè)模型的結(jié)構(gòu)，在很大程度上決定著三層SOM神經(jīng)網(wǎng)絡(luò)模型的學(xué)習(xí)速度和泛化能力。

在BP神經(jīng)網(wǎng)絡(luò)中，同樣存在最佳隱層節(jié)點(diǎn)數(shù)難以確定的問(wèn)題，一般有如下三種基于經(jīng)驗(yàn)的近似計(jì)數(shù)法[4]：

式中：[m1]，[m2]，[m3]為三種不同公式計(jì)算得出的競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù);[n]為輸入層節(jié)點(diǎn)數(shù);[l]為輸出層節(jié)點(diǎn)數(shù);[α]為1～10之間的常數(shù)。

文獻(xiàn)[5]運(yùn)用“二分分割法”改進(jìn)BP隱層節(jié)點(diǎn)數(shù)的問(wèn)題，取[m1]，[m2]，[m3]中兩個(gè)數(shù)的平均值，剔除最大均值，剩下兩個(gè)較小的值作為節(jié)點(diǎn)數(shù)的取值范圍，以此類推，逐漸縮小范圍。文獻(xiàn)[6]通過(guò)三種經(jīng)驗(yàn)計(jì)數(shù)公式確定范圍后，逐個(gè)代入訓(xùn)練方法中，以訓(xùn)練的誤差繪制曲線圖，取曲線圖中最小值作為最優(yōu)節(jié)點(diǎn)數(shù)。上述兩種方法都是在實(shí)驗(yàn)中采用試湊法，這無(wú)疑增加了人工和模型的訓(xùn)練時(shí)間。

在3?SOM神經(jīng)網(wǎng)絡(luò)中的競(jìng)爭(zhēng)層節(jié)點(diǎn)代表輸入數(shù)據(jù)潛在的分類類別，其節(jié)點(diǎn)數(shù)一般大大多于數(shù)據(jù)實(shí)際類別[4]，本文引用上述計(jì)算BP網(wǎng)絡(luò)模型隱層節(jié)點(diǎn)數(shù)的三個(gè)公式，并采用折中規(guī)則計(jì)算新的競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)：

這種方法根據(jù)節(jié)點(diǎn)數(shù)直接計(jì)算去掉了繁雜的人工試湊法過(guò)程，避免了過(guò)擬合或欠擬合兩種極端情況的發(fā)生，通過(guò)多種網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)的實(shí)驗(yàn)，證明此方法的有效性。本文實(shí)驗(yàn)中[α]的取值為5。

2.2 ?自適應(yīng)停止訓(xùn)練機(jī)制

目前的SOM網(wǎng)絡(luò)模型一般要達(dá)到預(yù)先設(shè)定的最大迭代次數(shù)才會(huì)停止訓(xùn)練，所以，它的收斂速度相對(duì)比較慢[7]。從訓(xùn)練過(guò)程中發(fā)現(xiàn)權(quán)值的變化是由學(xué)習(xí)率、迭代次數(shù)決定的，從一開(kāi)始給出的隨機(jī)矩陣向量，經(jīng)過(guò)網(wǎng)絡(luò)模型的不斷學(xué)習(xí)，逐漸改變權(quán)值，使之接近輸出神經(jīng)元的聚類中心，達(dá)到預(yù)先設(shè)置的最大迭代次數(shù)則停止訓(xùn)練。最大的迭代次數(shù)則靠經(jīng)驗(yàn)設(shè)定，如果設(shè)置訓(xùn)練的次數(shù)過(guò)少或過(guò)多同樣存在欠擬合或過(guò)擬合的情況，次數(shù)過(guò)多還會(huì)延長(zhǎng)訓(xùn)練時(shí)間，對(duì)檢測(cè)海量的網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)產(chǎn)生不良后果。本文采用權(quán)值誤差機(jī)制自適應(yīng)停止訓(xùn)練： [Δw]為誤差因子，表示當(dāng)前權(quán)值向量與前一次權(quán)值向量之差的絕對(duì)值，即[Δw=wn-wn-1]。當(dāng)[Δw≤?] 時(shí)則停止訓(xùn)練，其中[?]表示誤差因子下限，訓(xùn)練過(guò)程中誤差因子[Δw]會(huì)不斷減小。當(dāng)[Δw]減小到0時(shí)，當(dāng)前權(quán)值與前一次權(quán)值相等，所以[Δw]的值越小，越接近收斂。

2.3 ?I3?SOM入侵檢測(cè)方法

在I3?SOM神經(jīng)網(wǎng)絡(luò)模型中，輸入層和輸出層的神經(jīng)元節(jié)點(diǎn)數(shù)分別與輸入數(shù)據(jù)的維度和類數(shù)相等，競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)采用折中規(guī)則計(jì)算，層與層之間通過(guò)權(quán)值全鏈接，在迭代訓(xùn)練的過(guò)程中權(quán)值不斷調(diào)整，從而實(shí)現(xiàn)對(duì)數(shù)據(jù)提取和預(yù)處理，據(jù)此建立預(yù)測(cè)模型，根據(jù)預(yù)測(cè)模型對(duì)預(yù)測(cè)數(shù)據(jù)進(jìn)行分類檢測(cè)。步驟如下：

1） 歸一化處理。為消除各維數(shù)據(jù)的量級(jí)差別，縮小量值的差異，減少處理時(shí)間，本文通過(guò)歸一化處理將輸入的樣本數(shù)據(jù)都轉(zhuǎn)化為[0，1]之間的數(shù)。歸一化函數(shù)如下：[y=x-xminxmax-xmin]，[x，y]表示輸入樣本和歸一化后的結(jié)果，[xmax，xmin]分別是輸入樣本中的最大值和最小值。

2） 初始化網(wǎng)絡(luò)模型。即對(duì)網(wǎng)絡(luò)模型初始化，設(shè)置輸入層、競(jìng)爭(zhēng)層、輸出層的節(jié)點(diǎn)數(shù)、初始學(xué)習(xí)率、隨機(jī)權(quán)值向量、初始節(jié)點(diǎn)鄰域半徑。設(shè)置初始學(xué)習(xí)率最值[8]rate1、rate2∈（0，1），鄰域半徑最值[rmax]，[rmin]，設(shè)置最大迭代訓(xùn)練次數(shù)[T]。根據(jù)折中規(guī)則計(jì)算競(jìng)爭(zhēng)層的層數(shù)[m]。

3） 計(jì)算獲勝神經(jīng)元。利用歐氏距離[d=（xi-waij）2]選出獲勝神經(jīng)元，[xi，waij]表示輸入樣本、輸入層與競(jìng)爭(zhēng)層之間的初始權(quán)值，距離最短的即為獲勝神經(jīng)元。

4） 調(diào)整學(xué)習(xí)率、鄰域半徑和權(quán)值。

式（1）、式（2）表示輸入層與競(jìng)爭(zhēng)層、競(jìng)爭(zhēng)層與輸出層的學(xué)習(xí)率更新公式，其中，[k]表示從1開(kāi)始的當(dāng)前迭代次數(shù);式（3）表示獲勝神經(jīng)元的鄰域半徑更新公式;式（4）、式（5）分別表示輸入層與競(jìng)爭(zhēng)層、競(jìng)爭(zhēng)層與輸出層的權(quán)值更新公式;[xi，yi]分別表示輸入樣本和樣本類別。

5） 自適應(yīng)停止機(jī)制，即判斷誤差因子[Δw]是否滿足條件。實(shí)驗(yàn)中?取值為0.005，如果[Δw≤0.005]，則停止訓(xùn)練，否則轉(zhuǎn)向步驟3）。

6） 輸出分類預(yù)測(cè)結(jié)果。

3 ?實(shí)驗(yàn)結(jié)果與分析

為檢驗(yàn)I3?SOM在網(wǎng)絡(luò)入侵檢測(cè)中的有效性，實(shí)驗(yàn)參數(shù)設(shè)置如下：輸入層與競(jìng)爭(zhēng)層的rate1max=0.9，rate1min=0.01;競(jìng)爭(zhēng)層與輸出層的rate2max=0.5，rate2min=0.01;鄰域半徑最值[rmax=]1.5，[rmin=]0.3;最大迭代訓(xùn)練次數(shù)[T=]20 000。實(shí)驗(yàn)數(shù)據(jù)采用部分KDD99數(shù)據(jù)集和文獻(xiàn)[9]中實(shí)驗(yàn)的數(shù)據(jù)集，如表1所示。根據(jù)大量的訓(xùn)練數(shù)據(jù)建立模型，對(duì)測(cè)試數(shù)據(jù)進(jìn)行檢測(cè)，以檢驗(yàn)理論的可行性。

表1 ?實(shí)驗(yàn)數(shù)據(jù)集

圖2 ?Dos檢測(cè)分類效果

圖3 ?Probe檢測(cè)效果

圖4 ?Breast cancer檢測(cè)效果

圖5 ?Yeast檢測(cè)效果

圖6 ?Image_dataset檢測(cè)效果

從表2中可以看出，I3?SOM的分類準(zhǔn)確率均在90%以上，I3?SOM基本保持了3?SOM分類質(zhì)量，在個(gè)別測(cè)試數(shù)據(jù)集上I3?SOM分類質(zhì)量?jī)?yōu)于3?SOM。表明I3?SOM具有較高的分類質(zhì)量。這是因?yàn)??SOM算法訓(xùn)練和收斂的時(shí)間是迭代訓(xùn)練次數(shù)閾值設(shè)定決定的，為得到一個(gè)較理想的分類效果，迭代訓(xùn)練次數(shù)閾值的設(shè)置必須足夠大（本文實(shí)驗(yàn)設(shè)置為20 000），而I3?SOM采用權(quán)值誤差機(jī)制自適應(yīng)停止訓(xùn)練機(jī)制和訓(xùn)練次數(shù)閾值以邏輯或條件的形式來(lái)控制算法收斂，從表2中可以看出，I3?SOM實(shí)際收斂迭代次數(shù)遠(yuǎn)小于預(yù)設(shè)訓(xùn)練次數(shù)閾值。同時(shí)，I3?SOM采用折中規(guī)則計(jì)算網(wǎng)絡(luò)競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)，避免了復(fù)雜的人工試湊法，也降低了訓(xùn)練模型的時(shí)間。

表2 ?實(shí)驗(yàn)結(jié)果對(duì)比

4 ?結(jié) ?語(yǔ)

I3?SOM實(shí)現(xiàn)了對(duì)入侵?jǐn)?shù)據(jù)的有效檢測(cè)，引入折中規(guī)則計(jì)算競(jìng)爭(zhēng)層節(jié)點(diǎn)數(shù)以及自適應(yīng)停止訓(xùn)練機(jī)制，降低了網(wǎng)絡(luò)模型的訓(xùn)練時(shí)間，提高了檢測(cè)效率。但誤差因子下限的設(shè)置目前還是根據(jù)經(jīng)驗(yàn)設(shè)定，過(guò)大會(huì)導(dǎo)致模型的泛化能力低下，加大檢測(cè)結(jié)果的誤差;過(guò)小又會(huì)增加迭代次數(shù)，導(dǎo)致時(shí)間開(kāi)銷增大。部分測(cè)試集預(yù)測(cè)效果的準(zhǔn)確率不高，原因是自適應(yīng)訓(xùn)練的次數(shù)較少，因此誤差因子下限的尋優(yōu)問(wèn)題將是下一步的工作的重點(diǎn)。

參考文獻(xiàn)

[1] SFAR ArbiaRiahi， NATALIZIO Enrico， Yacine CHALLAL， et al. A road?map for security challenges in Internet of Things [J]. Digital communications and networks， 2017， 3（4）： 1?2.

[2] 李昆侖，董寧，關(guān)立偉，等.一種改進(jìn)Kohonen網(wǎng)絡(luò)的Dos攻擊檢測(cè)算法[J].小型微型計(jì)算機(jī)系統(tǒng)，2017（3）：450?454.

LI Kunlun， DONG Ning， GUAN Liwei， et al. An improved Dos attack detection algorithm for Kohonen networks [J]. Journal of Chinese computer systems， 2017（3）： 450?454.

[3] 王小川，史峰，郁磊，等.Matlab神經(jīng)網(wǎng)絡(luò)43個(gè)案例分析[M].北京：北京航空航天大學(xué)出版社，2013：336?343.

WANG Xiaochuan， SHI Feng， YU Lei，et al. Analysis of 43 cases of Matlab neural network [M]. Beijing： Beijing Aerospace University Press， 2013： 336?343.

[4] 韓力群.人工神經(jīng)網(wǎng)絡(luò)教程[M].北京：北京郵電大學(xué)出版社，2006：73?74.

HAN Liqun. Artificial neural network tutorial [M]. Beijing： Beijing University of Posts and Telecommunications Press， 2006： 73?74.

[5] 阮翔.基于改進(jìn)的BP神經(jīng)網(wǎng)絡(luò)庫(kù)存預(yù)測(cè)模型及其應(yīng)用研究[D].南昌：南昌航空大學(xué)，2016：17?25.

RUAN Xiang. Extremely applied research on inventory prediction model based on improved BP neural network [D]. Nanchang： Nanchang Hangkong University， 2016： 17?25.

[6] 陶剛，閆永剛，劉俊，等.基于改進(jìn)的SOM聚類連續(xù)屬性離散化算法[J].計(jì)算機(jī)應(yīng)用，2015，35（z1）：89?92.

TAO Gang， YAN Yonggang， LIU Jun，et al.Distinct algorithm of continuous attributes based on improved SOM clustering [J]. Journal of computer applications， 2015， 35（s1）： 89?92.

[7] 張歡韻，李益才，藍(lán)章禮.一種自適應(yīng)停止的SOM神經(jīng)網(wǎng)絡(luò)及其應(yīng)用[J].計(jì)算機(jī)時(shí)代，2014（4）：9?11.

ZHANG Huanyun， LI Yicai， LAN Zhangli. An adaptive stopping SOM neural network and its application [J]. Computer Era， 2014（4）： 9?11.

[8] 周志華.機(jī)器學(xué)習(xí)[M].北京：清華大學(xué)出版社，2016：97?99.

ZHOU Zhihua. Machine learning [M]. Beijing： Tsinghua University Press， 2016： 97?99.

[9] 王積麗.基于改進(jìn)的模糊SOM算法確定最佳聚類數(shù)目方法的研究[D].廣州：華南理工大學(xué)，2016：26?27.

WANG Jili. Research on the method of ?deter?mining the optimal number of clusters base?don improved fuzzy SOM algorithm [D]. Guangzhou： South China University of Technology， 2016： 26?27.