基于集成神经网络入侵检测系统的研究毕业论文

1、基于集成神经网络入侵检测系统的研究 毕 业 论 文 目 录 摘要.i abstract.ii 1 引言.1 1.1 研究的背景和意义.1 1.2 国内外研究现状.2 1.3 论文结构安排.3 2 入侵检测技术简介.4 2.1 研究入侵检测的必要性.4 2.2 入侵检测的相关概念.4 2.3 入侵检测系统的基本原理.4 2.4 入侵检测系统的基本工作模式.5 2.5 入侵检测系统的分类.6 2.5.1 根据检测技术分类.6 2.5.2 根据数据来源分类.7 2.6 入侵检测目前存在的局限性和不足.7 2.7 基于神经网络的入侵检测技术的发展.8 3 神经网络简介.9 3.1 神经网络模型.9 3

2、.1.1 生物神经元模型.9 3.1.2 人工神经元模型.10 3.1.3 神经网络模型.12 3.1.4 神经网络的工作方式.12 3.1.5 神经网络的基本性质及优点.13 3.2 神经网络应用于入侵检测.14 4 基于集成神经网络的入侵检测系统.15 4.1 系统设计.15 4.1.1 系统工作原理.15 4.1.2 特征提取.15 4.2 集成神经网络算法.16 4.3 遗传算法.17 4.3.1 遗传算法的定义.17 4.3.2 遗传算法的基本思想.17 4.3.3 基本遗传算法.18 4.3.4 基本遗传算法的运行参数.20 4.4.2 个体网络的构建.20 4.4.3 个体网络的

3、选择.21 4.4.4 网络的集成输出.22 5 仿真实验分析.23 5.1 matlab神经网络工具箱 .23 5.2 实验数据源.23 5.3 入侵检测数据集预处理.24 5.4 仿真实验.24 5.4.1 导入数据.24 5.4.2 训练过程.25 5.5 仿真实验数据分析.27 结论.28 参考文献.29 致 谢.30 摘要 入侵检测是防火墙的合理补充，它帮助系统对付网络攻击，扩展了系统管理员的安 全管理能力，提高了信息安全基础结构的完整性。入侵检测技术是一种动态的网络检测 技术，主要用于识别对计算机和网络资源的恶意使用行为，包括来自外部用户的入侵行 为和内部用户的未经授权活动。为了提

4、高入侵检测系统的检测能力，本文在了解信息安 全和入侵检测概念的基础上，分析神经网络模型，采用单个神经网络分别对样本进行训 练，然后，通过遗传算法寻找那些差异较大的神经网络进行集成，并将研究的模型应用 于入侵检测系统中，提出相应的处理方案，得到最后的结果。 关键词关键词：网络安全 入侵检测 神经网络 集成学习 遗传算法 abstract intrusion detection is a logical addition to firewall, it helps the system to deal with network attacks, expanded the system admini

5、strators security management capabilities, improve the integrity of the information security infrastructure. intrusion detection technology is a dynamic network detection technology, mainly used to identify computers and network resources on the malicious use of behavior, including acts of invasion

6、from external users and internal users without the mandated activities. in order to improve detection of intrusion detection system, this paper to understand the concept of information security and intrusion detection based on analysis of neural network model, using a single neural network training

7、samples, respectively, and then, through the genetic algorithm to find large differences in the neural network that integration, and research models are applied to intrusion detection system, the corresponding processing program, get the final results. keywords: network security intrusion detection

8、neural network integrated learning genetic arithmetic 1 引言 信息使用比例的加大，使得社会对信息的真实程度，保密程度的要求不断提高，而网 络化又使因虚假、泄密引起的信息危害程度越来越大。如近几年的大学英语四、六级考 题泄露事件，通过网络操作使得股民帐户受损事件， “熊猫烧香”病毒导致计算机网络大 面积瘫痪等影响都是全国性的。如何能在在不影响网络性能的情况下能对网络进行监测， 提供对内部攻击、外部攻击和误操作的实时保护，是网络安全的重要课题。 1.1 研究的背景和意义 随着人类社会对internet需求的日益增长，网络安全逐渐成为inter

9、net及各项网络服务 和应用进一步发展所需解决的关键问题，尤其是从1993年以来，随着internet/intranet技术 日趋成熟，通过internet进行的各种电子商务和电子政务活动日益增多，很多组织和企业 都建立了自己的内部网络并将之与internet联通。这些电子商务和政务应用和企业网络中 的商业秘密便是攻击者的目标，据统计目前网络攻击手段多达数千种，使网络安全问题 变得极其严峻1。在网络安全技术中，防火墙是第一道防御屏障。一般它位于路由器之后， 为进出网络的连接提供安全访问控制。但一般网络系统必须对外开放一些应用端口，如 80、110等，这时防火墙的不足就会充分体现出来，并且防火墙

10、对内部攻击无能为力；同 时，防火墙绝对不是坚不可摧的，即使是某些防火墙本身也会引起一些安全问题。 信息安全的pdrr模型充分说明了检测的重要性。入侵检测是防火墙的合理补充，它 帮助系统对付网络攻击，扩展了系统管理员的安全管理能力，提高了信息安全基础结构 的完整性。入侵检测技术是一种动态的网络检测技术，主要用于识别对计算机和网络资 源的恶意使用行为，包括来自外部用户的入侵行为和内部用户的未经授权活动。入侵检 测系统（ids）由入侵检测软件和硬件组合而成，被认为是防火墙之后的第二道安全闸门， 在不影响网络性能的情况下能对网络进行监测，提供对内部攻击、外部攻击和误操作的 实时保护2。 在入侵检测领域

11、内应用最为广泛，同时也是最成熟的技术仍然是基于专家系统的规则 化检测技术。但是，随着系统安全环境特别是网络系统安全形式的变化，传统的基于专 家系统的检测技术暴露出若干局限性和不足。近年来，大量不同于传统专家系统技术的 入侵检测方法纷纷涌现，其中基于人工神经网络检测技术的发展尤为突出。人工神经网 络是模拟人脑加工、存储和处理信息机制而提出的一种智能化信息处理技术，它是由大 量简单的处理单元（神经元）进行高度互连而形成的复杂网络系统。从本质上讲，人工 神经网络实现的是一种从输入到输出的映射关系，其输出值由输入样本、神经元间的互 连权值以及传递函数所决定。神经网络具备高度的学习和自适应能力，通过学习

12、能够识 别全新入侵行为特征的能力，可以克服基于专家系统检测技术的局限性3。 1.2 国内外研究现状 对于神经网络技术在入侵检测中的应用，前人已经做了若干研究工作。debar 等人采 用递归型（recurrent）bp 网络，在对所收集的审计记录进行分析的基础上，对系统各用 户的行为方式进行建模，并同时结合传统的专家系统进行入侵检测。tan 为适应入侵检测 的要求，对传统的多层前馈网络（mlff）的训练算法进行改进，并用于建模用户的各个 行为特征。hogluand 等人提出了基于一维 som（自组织特征映射）网络的异常检测算法 对用户行为特征进行判断，并建立了原型系统。ghosh 和 schwa

13、rtzbard 采用基于多层感知 器（mlp）的异常检测模型，通过对程序执行中系统调用序列记录的分析，来监视特定 的程序的运行状态。他们使用了数百个训练样本，获得了在大致 3%的虚警概率条件下 77%的 检测概率。ghosh 等人同时还进行了滥用检测技术的研究，其工作结果表明基于 mlp 的 滥用检测模型具备更高的虚警概率，性能不及异常模型。进一步地，ghosh 等人采用另一 种神经网络模型elman 网络，取得了零虚警概率下 77%的检测概率。ryan 等人对用 户每天所执行的 shell 命令进行统计计数，并采用标准的 bp 网络对所形成的用户行为特 征矢量（由各个命令的执行次数组成）进行

14、训练和识别。 随着网络互联环境的飞速发展，基于网络流量分析的入侵检测技术逐渐流行。 cannady 和 mahaffey 将 mlp 模型和 som/mlp 混合模型应用到基于网络流量的滥用检测 模型中。在基于 mlp 模型的入侵检测技术中，cannady 等人根据网络数据包的若干协议 字段值（如协议类型、属性字段值、负载长度和内容等）构建特征矢量，提供给 mlp 网 络进行训练学习。训练完毕后，对测试样本集进行测试。实验结果表明，该模型可以从 正常网络流量中识别出诸如表示 iss 和 satan 扫描、syn flood 攻击活动的数据包。同时 cannady 等人提出 som/mlp 混合

15、模型，来检测诸如 ftp 口令试探的时间上分散的攻击 行为。som 网络主要用于对数据包中的负载内容进行分析，作为 mlp 网络的预处理单元 并起到特征降维的作用。实验结果表明，能够较好地检测到单位时间不同频率的口令试 探行为。bonifacio 等人首先构建网络会话的数据矢量，并对数据负载中的可疑特征字符 串进行编码，连同目标端口号一起构成 bp 网络的输入特征矢量，送入神经网络进行训练。 训练完毕后的 bp 网络即可进行滥用入侵检测。mit 的 lippmann 和 cunningham 明确提 出采用关键词和神经网络相结合的方法进行网络入侵检测并针对 telnet 服务对话进行了 相关研

16、究。所采用方法是首先选择一组关键词表，然后在会话数据中对各个关键词进行 计数并形成 n 维的输入特征矢量（n 为关键词个数） 。之后，采用 mlp 网络进行训练和识 别。实验能在达到 80%检测概率的基础上将虚警概率降低到大约每天一次的水平4。 神经网络具有概括和抽象能力，对不完整输入信息具有一定程度的容错处理能力。 而且它具备高度的学习和自适应能力。入侵检测领域研究的重点之一是分类算法，单个 的分类算法由于自身的原因，总存在各种缺陷，算法的泛化能力不强。1990 年 schapire 证明一个概念是弱可学习的，其充要条件是强可学习的。这一定理说明，多个弱分类器 可以集成为一个强分类器，由此奠

17、定了集成学习的理论基础。hansen 和 salamon 把各种 神经网络集成在一起，形成集成神经网络。通过研究，证明集成神经网络可以提高系统 的泛化能力。 1.3 论文结构安排 本文共分为八章，第一章引言，概要的给出与本课题相关的网络安全的基本概念， 目前在 ids 领域的国内外的研究概况，并引出将神经网络应用于入侵检测当中。 第二章入侵检测技术的简介。对研究入侵检测的必要性进行说明和介绍相关的概念 以及入侵检测工作的基本原理和工作模式。还对入侵检测系统的分类进行了介绍并提出 入侵检测目前存在的局限性和未来的发展。 第三章神经网络的简介。本章首先介绍了生物神经元模型从而引出人工神经元模型，

18、进而对整个神经网络进行了简介，并提出把神经网络应用于入侵检测系统。 第四章基于集成神经网络的入侵检测系统。本章先提出系统的设计并对其工作原理 进行解释，并提出集成学习和遗传学习两个概念。然后对集成神经网络算法进行理论的 分析，还对遗传算法进行了详细的分析。把集成学习原理和遗传算法结合起来，从而来 论述基于遗传算法的集成神经网络检测方法。最后论述了整个算法的思想和步骤，对个 体网络的构建和选择进行分析，最后论述了网络的集成输出。 第五章仿真实验分析。对实验数据进行分析，从而得出一些结论。 最后一章对本文进行总结。 2 入侵检测技术简介 2.1 研究入侵检测的必要性 在网络安全技术中，防火墙是第一

19、道防御屏障。一般它位于路由器之后，为进出网 络的连接提供安全访问控制。但一般网络系统必须对外开放一些应用端口，如 80、110 等，这时防火墙的不足就会充分体现出来，并且防火墙对内部攻击无能为力；同时，防 火墙绝对不是坚不可摧的，即使是某些防火墙本身也会引起一些安全问题。 信息安全的 pdrr 模型充分说明了检测的重要性。入侵检测是防火墙的合理补充， 它帮助系统对付网络攻击，扩展了系统管理员的安全管理能力，提高了信息安全基础结 构的完整性。入侵检测技术是一种动态的网络检测技术，主要用于识别对计算机和网络 资源的恶意使用行为，包括来自外部用户的入侵行为和内部用户的未经授权活动。入侵 检测系统（i

20、ds）由入侵检测软件和硬件组合而成，被认为是防火墙之后的第二道安全闸 门，在不影响网络性能的情况下能对网络进行监测，提供对内部攻击、外部攻击和误操 作的实时保护。 2.2 入侵检测的相关概念 美国国家安全通信委员会（nstac）下属的入侵检测小组（idsg）在 1997 年给出 的关于“入侵”的定义为：入侵是对信息系统的非授权访问以及（或者）未经许可在信 息系统中进行的操作。关于“入侵检测”的定义为：入侵检测是对企图入侵、正在进行 的入侵或者已经发生的入侵进行识别的过程。所有能够执行入侵检测任务和功能的系统， 都可成为入侵检测系统，其中包括软件系统和软硬件结合的系统。 2.3 入侵检测系统的基

21、本原理 入侵检测系统（instrusion detection system,ids）的基本原理如图 2-1 所示。主要分 为四个阶段：数据收集、数据处理、数据分析和响应处理。 数据 收集 数据 处理 数据 分析 响应 处理 入侵检测系统 具有脆弱性的 系统和网络 攻击者 包 图图 2-1 入侵检测系统的基本原理入侵检测系统的基本原理 1）数据收集 数据收集是入侵检测的基础，通过不同途径收集的数据，需要采用不同的方法进行 分析。目前的数据主要有主机日记、网络数据包、应用程序数据、防火墙日志等。 2）数据处理 数据收集过程中得到的原始数据量一般非常大，而且还存在噪声。为了进行全面、 进一步的分析

22、，需要从原始数据中去除冗余、噪声，并且进行格式化及标准化处理。 3）数据分析 采用统计、智能算法等方法分析经过初步处理的数据，检查数据是否正常，或显示 存在入侵。 4）响应处理 当发现入侵时，采取措施进行防护、保留入侵证据并通知管理员。常用的措施包括 切断网络连接、记录日志、通过电子邮件或电话通知管理员等。 2.4 入侵检测系统的基本工作模式 入侵检测系统的基本工作模式为： 1）从系统的不同环节收集信息。 2）分析该信息，试图寻找入侵活动的特征。 3）自动对检测到的行为作出响应。 4）记录并报告检测过程的结果。 入侵检测系统的基本工作模式可以用如图 2-2 所示的图形来表示。 系统日记 原始数

23、据 包 检测原理 异常入侵检测 误用入侵检测 报警报警并采取相应 措施 周期性检测实时检测 图图 2-2 入侵检测系统的基本工作模式入侵检测系统的基本工作模式 2.5 入侵检测系统的分类 入侵检测系统可以按不同的方法进行分类，其中，按检测技术、数据来源、体系结构 及时效性进行分类是应用最多的分类方法。本文主要介绍前两者的分类方法。 2.5.1 根据检测技术分类 根据入侵检测系统所采用的技术可分为误用入侵检测、异常入侵检测和协议分析三种。 1）误用入侵检测 误用入侵检测（misuse intrusion detection）又称为基于特征的入侵检测。这一检测 （signature-based i

24、ntrusion detection）假设入侵者的活动可以用一种模式来表示，系统的 目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的 入侵方法无能为力。其难点在于如何设计模式，既能够表达“入侵”现象，又不会将正 常的活动包含进来。 2）异常入侵检测 异常入侵检测（anomaly intrusion detection）假设入侵者的活动异常于正常主体的活 动。根据这一假设建立主体正常活动的（“活动简档” ） ，将当前主体的活动状况与“活 动简档”相比较，当违反其统计规律时，认为改活动可能是“入侵”行为。异常入侵检 测的难题在于如何建立“活动简档”以及如何设计统计算法，

25、从而不把正常的操作误认 为“入侵”或忽略真正的“入侵”行为。 3）协议分析 协议分析是在传统模式匹配技术基础之上发展起来的一种新的入侵检测技术。它充分 利用了网络协议的高度有序性，并结合了高速数据包捕捉、协议分析和命令解析，来快 速检测某种攻击特征是否存在。这种技术正逐渐进入成熟应用阶段。协议分析大大减少 了计算量，即使在高负载的高速网络上，也能逐个分析所有的数据包。 2.5.2 根据数据来源分类 根据入侵检测数据来源的不同，可以将入侵检测系统分为基于网络的入侵检测系统、 基于主机的入侵检测系统、混合式入侵检测系统及文件完整性检查式入侵检测系统。 1）基于主机的入侵检测系统 基于主机的入侵检测

26、系统（host-based intrusion detection system，hids）通常是安 装在被保护的主机上，主要是对改主机的网络实时连接以及对系统审计日记进行分析和 检查，当发现可疑行为和安全违规事件时，系统就会像管理员报警，以便采取措施。 2）基于网络的入侵检测系统 基于网络的入侵检测系统（network-based intrusion detection system，nids）一般安 装在需要保护的网段中，实时监视网段中传输的各种数据包，并对这些数据包进行分析 和检测，如果发现入侵行为或可疑事件，入侵检测系统就会发出报警，甚至切断网路连 接。 3）混合式入侵检测系统 基于网

27、络的入侵检测系统和基于主机的入侵检测系统都有不足之处，单纯使用其中一 种系统的主动防御体系都不够强大。但是它们的缺憾是互补的。如果这两种系统能够无 缝地结合起来部署在网络内，这会构架一套强大的、立体的主动防御体系。 4）文件完整性检查式入侵检测系统 文件完整性检查式入侵检测系统检查计算机中自上次检查后文件的变化情况。文件完 整性检查式入侵检测系统保存有每个文件的数字文摘数据库，每次检查时，它重新计算 文件的数字文摘并将它与数据库中的值相比较，如不同，则文件已被修改，若相同，则 文件未发生变化5。 2.6 入侵检测目前存在的局限性和不足 在入侵检测领域内应用最为广泛，同时也是最成熟的技术仍然是基

28、于专家系统的规则 化检测技术。典型的入侵检测系统，如ides和nides系统等，都很好的实现了专家系统 基于规则检测的概念，并在实际应用中取得了较好的效果。 但是，随着系统安全环境特别是网络系统安全形式的变化，传统的基于专家系统的检 测技术暴露出若干局限性和不足。 首先，传统的专家检测技术需要维护一个复杂而庞大的规则库。面对不断变化的攻击 手段和多样复杂的变种情况，该规则库需要进行随时随地的更新升级。因为专家系统检 测技术完全依赖于准确的规则库匹配方式进行入侵检测工作，所以一个陈旧的检测规则 库带来的后果可能就是漏检大量的入侵检测活动。更为严重的后果是造成安全管理员虚 假的安全表象，导致重大的

29、安全漏洞和隐患。 其次，基于专家系统的检测方法缺乏足够的灵活性来检测已知入侵方式的变种情况。 通常的规则推导过程是在精确匹配的基础上进行的，如果某种攻击手段的执行过程发生 某些细微的改变，对于专家系统而言，如果没有找到对应的更新规则，就会被认定为合 法行为，产生漏检情况。 另一方面，如果采用更为通用的检测规则，则有可能发生将合法用户行为错误认定为 非法行为的虚假现象，更进一步分析可知，专家系统的检测方法对在时间上分散的攻击 活动，或者是由多用户发起的协同攻击行为，也是很难奏效的。因为它只关注单个异常 事件的出现与否，而对事件状态随时间发生的变化情况无法处理。 近年来，大量不同于传统专家系统技术

30、的入侵检测方法纷纷涌现，其中基于人工神经 网络检测技术的发展尤为突出。 2.7 基于神经网络的入侵检测技术的发展 近年来，大量不同于传统专家系统技术的入侵检测方法纷纷涌现，其中基于人工神经 网络检测技术的发展尤为突出。 人工神经网络是模拟人脑加工、存储和处理信息机制而提出的一种智能化信息处理技 术，它是由大量简单的处理单元（神经元）进行高度互连而形成的复杂网络系统。从本 质上讲，人工神经网络实现的是一种从输入到输出的映射关系，其输出值由输入样本、 神经元间的互连权值以及传递函数所决定。神经网络具备高度的学习和自适应能力，通 过学习能够识别全新入侵行为特征的能力，可以克服基于专家系统检测技术的局

31、限性。 入侵检测技术主要分成两类，即基于异常和基于误用的入侵检测技术。但无论是单 纯采用异常入侵检测技术，还是单纯采用误用入侵检测技术，其检测性能的理论上限都 不会超过混合采用两种技术思路方法的性能上限。从而肯定了具备学习能力的神经网络 在入侵检测中的光明应用前景。 3 神经网络简介 神经网络的全称是人工神经网络（artificial neural network，ann）是在现代神经生物 学研究成果的基础上发展起来的一种模拟人脑信息处理机制的网络系统，他不但具有处 理数值数据的一般计算能力，而且还具有处理知识的思维、学习和记忆能力6。 人工神经网络模仿人脑神经的活动，力图建立脑神经活动的数学

32、模型。人工神经网 络由于其大规模并行处理、容错性、自组织和自适应能力以及联想功能等特点，已成为 解决问题的有力工具，对突破现有科学技术的瓶颈，更深入的探索非线性等复杂现象起 到了重大的作用，并广泛应用于许多科学领域。从控制理论的观点来看，神经网络处理 非线性的能力是最有意义的；从系统辨识和模式识别的角度考虑，神经网络跟踪和识别 非线性的能力是其最大的优势。 3.1 神经网络模型 3.1.1 生物神经元模型 正常人脑是由大约 10111012个神经元组成的，神经元是脑组织的基本单元。每个神 经元具有 102104 个突触与其它神经元相连接，形成了错综复杂而又灵活多变的神经网络。 神经元有胞体、树

33、突和轴突构成。胞体是神经元的代谢中心，每个细胞体有大量的树突 （输入端）和轴突（输出端） ，不同神经元的轴突和树突互连的结合部为突触，突触决定 神经元之间的连接强度和作用性质，而每个神经元胞体本身则是一非线性输入、输出单 元。一个神经元的模型示意图如下图 3-1 所示。 图图 3-1 典型的生物神经元典型的生物神经元 由图 3-1 可见，神经元有胞体、树突和轴突构成。胞体是神经元的袋子额中心，它本 身又由细胞核、内质网和高尔基体组成。胞体一般生成有许多树状突起物，称之为树突， 它是神经元的主要接收器。胞体还延伸出一条管状纤维组织，称之为轴突，轴突外面包 有一层较厚的绝缘组织，称之为髓鞘（梅林鞘

34、） 。髓鞘规则地分为许多短段，段与段之间 的部位被称为郎飞节。轴突的作用是传导信息，通常轴突的末端分出很多末梢，他们与 后一个神经元的树突构成一种称为突触的机构。前一神经元的信息经由起轴突传到末梢 之后，通过突触对后面各个神经元产生影响。从生物控制论的观点看，神经元作为控制 和信息处理的单元，具有常规的两种工作状态，兴奋和抑制状态，神经冲动眼神经传导 的速度在 1150m/s 之间，在相邻两次冲动之间需要一个时间间隔，即为不应期。由于神 经元结构的可塑性，突触的传递作用可增强、减弱和饱和，因此细胞具有相应的学习功 能、遗忘和疲劳效应（饱和效应） 。 随着生物控制论的发展，人们对神经元的结构和功

35、能有了进一步的了解，神经元不 仅仅是一简单的双稳态逻辑元件，而且是超级的微型生物信息处理机或控制单元7。 3.1.2 人工神经元模型 根据生物神经元的结构和功能，从 20 世纪 40 年代开始，人们提出了大量的人工神 经元模型，其中影响较大的是 1943 年美国心理学家 mcculloch 和数学家 pitts 共同提出的 形式神经元模型通常称之为 mp 模型。 设有 n 个神经元互联，每个神经元的活化状态（i=1，2，3，n）取 0 或 1， i x 分别代表抑制和兴奋。每一个神经元的状态按下述规则受其它神经元的制约 （3-1）nixwfx n j ijiji , 2 , 1),( 1 式中

36、神经元 i 和神经元 j 之间突触连接强度，或称权值； ij w 神经元 i 的阀值； i 在这里取阶跃函数 step，有)(f )( step(a)= 0a 0a 0 1 式（3-1）也可理解为神经元 i 的输入输出关系。xj 为第 j 个神经元向第 i 个神经元的 输入；xi 为第 i 个神经元的输出；为第 i 个神经元净输入。若将阀值也看作)( 1 n j ijijx w 一个权值，则式（3-1）可改写为 （3-2）nixwfx n j jiji ， , 2 , 1),( 0 此时有，=1，这就是最初的 mp 模型. ii xw 000 xw 但是，这种简单的 mp 模型没有考虑时间整合

37、、不应期、延时和数模转换等作用。若 考虑这些作用则可以发展出 mp 模型的许多变种。它们在细节上（即并行分布处理思想上） 有所不同，但有许多共性，提取这些共性可以给出相当一般化模型，它的数学表达式为 (3-3)( 1 i n j ijiji sxwf (3-4)( ii fu (3-5)()( iii hugy 式中，的含义和式（3-1）一样； ji w j x i 第 i 个神经元的净输入 第 i 个神经元外部输入 i i s 第 i 个神经元的活化状态 第 i 个神经元的输出 i u i y 神经元的活化规则（活化函数） 神经元的输出规则（转换函)(f)(g 数） 在某些模型中，假设神经元

38、没有内部状态，可以令 f=1（恒等映射） ，此时 。不同的系统对活化值作了不同的假设，它可以是连续的，也可以是)(g)( iii ugy 离散的。若是连续的，它可以取任意实数（无界的） ，也可以取某个最大值与最小值之间 的数（有界的） ；若是离散的，则可取二值、三值或一个小的有限数集。下图 3-2 给出了 一般化 mp 模型8。 图图 3-2 一般化一般化 mp 模型模型 3.1.3 神经网络模型 神经网络是在对人脑思维方式研究的基础上，用数学方法将其简化并抽象模拟反映 人脑基本功能的一种并行处理连接网络。一个神经网络由多个互连的神经元组成，神经 元是神经网络的基本处理单元。 神经网络在目前已

39、有几十种不同的模型。通常，人们较多地考虑神经网络的互连结 构，包括四种典型结构如图 3-3 所是，分别是 1）前馈网络。神经元分层排列，组成输入层、隐含层和输出层，每层只能够接受前 一层神经元的输入； 2）反馈网络。在输入层到输出层存在反馈； 3）相互结合型网络。相互结合网络属于网络结构，任意两个神经元之间可能有连接； 4）混合型网络。层次型网络和网状结构网络的一种结合。 图图 3-3 神经网络的神经网络的 4 种典型拓扑结构种典型拓扑结构 3.1.4 神经网络的工作方式 神经网络的工作过程主要由两个阶段组成：一是工作期，此时各连接权值固定，计 算单元的状态变化，以求达到稳定状态；二是学习期（

40、自适应期或设计期） ，此时各计算 单元状态不变，各连接权值可修改。前一阶段较快，各单元的状态也称短期记忆，后一 阶段慢得多，权值及连接方式也称长期记忆。 学习是神经网络最重要的一个能力，学习算法是神经网络的核心问题之一。通常它 也是一个强非线性系统，学习功能反映在神经网络模型中，就是突触连接权值 wij可以按 学习规则随时间改变。正是这种可塑性，使得神经网络可适应不同信息处理需要。神经 网络的学习规则有有导师学习和无导师学习两大类，概括如下 1）纠错规则 纠错规则基于梯度下降法，因此不能保证得到全局最优解，同时要求大量的训练样 本，因此收敛速度慢；纠错规则对样本的表示次序变化比较敏感，这就像导

41、师必须认真 备课，精心组织才能有效地让学生学习。 2）boltzman 机学习规则 boltzman 机学习规则提供了学习隐结点的一个有效方法，能学习复杂的非线性可分 函数。其主要缺点是学习速度太慢，因为在模拟退火过程中要求当系统进入平衡时， “冷 却”必须慢慢进行，否则易陷入局部极小。它基本上是梯度下降法，所以要求提供大量 的例子。 3）无导师学习规则 无导师学习规则提供了新的选择，它利用自适应学习法，使结点有选择地接收输入 空间上的不同特性，从而抛弃了普通神经网络学习映射函数的学习概念，并提供了基于 检测特性空间的活动规律的性能描写。 3.1.5 神经网络的基本性质及优点 神经网络的基本性

42、质主要包括：收敛性、容错性、鲁棒性及推广性等。 神经网络的收敛性是指神经网络的训练算法在有限次迭代之后可收敛到正确的权值 或权向量。神经网络良好的容错性保证网络将不完整的、无损的、畸变的输入样本恢复 成完整的原型。容错性的研究归结于神经网络动力系统记忆模式吸引域的大小。吸引域 越大，网络从部分信息恢复全部信息的能力越大，表明网络的容错性越大。神经网络的 高度鲁棒性使得网络中的神经元或突触遭到破坏时网络仍然具有学习和记忆能力，从而 使网络表现出高度的自组织性。训练好的神经网络应能够对不属于训练样本集合的输入 样本正确识别或分类，这种现象常称为神经网络具有良好的推广性。 神经网络具有以下优点：1）

43、具有很强的鲁棒性和容错性，这是因为信息是分布存储 于网络内的神经元；2）并行处理方法，人工神经元网络在结构上是并行的，而且网络的 各个单元可以同时进行类似的处理过程，使得计算加快；3）自学习、自组织、自适应性， 神经元之间的连接多种多样，各元之间连接强度具有一定可塑性，使得神经网络可以处 理不确定或不知道的系统；4）可以充分逼近任意复杂的非线性关系；5）具有很强的信 息综合能力，能同时处理定量和定性的信息，能很好的协调多种输入信息关系，适用于 处理复杂非线性和不确定对象。神经网络以其独特的结构和处理信息的方法，在许多实 际应用领域中取得了显著的成效9。 3.2 神经网络应用于入侵检测 神经网络

44、技术应用于入侵检测领域具有以下优势： 1）神经网络具有概括和抽象能力，对不完整输入信息具有一定程度的容错处理能力。 在网路环境中，常常会出现信息丢失不完整或者变形失真的情况，神经网络的非线性处 理和概括抽象的特性对于处理此类情况是非常适合的。 2）神经网络具备高度的学习和自适应能力。通过对输入正常样本和异常样本的不断 训练学习，神经网络不仅能够以很高的准确率识别出训练样本中已知的入侵行为特征， 而且能够以一定的概率识别出新的入侵行为特征和已知入侵行为的变种形式。这种通过 学习能够识别全新入侵行为特征的能力，可以克服基于专家系统检测技术的局限性。 3）神经网络所独有的内在并行计算和存储特性。在传

45、统的计算技术中，计算和存储 是完全独立的两个部分。计算部件在计算前必须存储部件中取出指令和待处理数据，然 后进行计算，最后将计算结果返送回存储器。因此，存储器和计算器之间的传输带宽称 为制约计算机性能的瓶颈。而在神经网模型中，信息的存储和信息的处理计算从本质上 是合二为一的。各个神经元的工作方式本质上是完全并行的，从输入到输出的计算过程 实质上是权值的传递过程，而在值传递的过程中，就同时完成了信息的存储过程。此种 并行计算模式所具有的潜在高速计算能力对于入侵检测来说，就意味着在很短时间内， 能够处理更多的检测规则或者特征值，同时也意味着在更短时间内发现入侵行为，减少 可能的系统损失。 目前，神

46、经网络技术在入侵检测中的应用还存在以下缺陷和不足： 1）需要解决神经网络对大容量入侵行为类型的学习能力问题。不同的神经网络类型 和拓扑结构，都存在学习能力的限制容量。面对现实环境中数以千计的不同攻击特征， 要做到完整识别，还需要进行进一步的研究工作。 2）需要解决神经网络的解释能力不足的问题。神经网络具备很强的训练学习能力， 能够给出判定的类别信息，但是对于具体发生的事件类型，则缺乏明确的解释能力。对 于入侵检测而言，仅仅判定当前事件是否异常往往不够，通常还需要得到关于该异常事 件具体类型的明确信息。在这一点上，神经网络往往力不从心。另一方面，神经网络的 训练和学习能力，往往是通过内部的权值连

47、接和拓扑结构来实现和存储的，对于最终判 定结果的产生，通常难以具体解释详细的判定过程，产生确定性的判定步骤。 3）执行速度问题。从理论上讲，神经网络具备并行计算的强大能力，但是在当前计 算机的存储-计算架构下来完全实现神经网络的并行计算潜力，则非常困难。要解决这个 问题，或许需要设计专门的神经网络计算芯片或者计算机10。 4 基于集成神经网络的入侵检测系统 4.1 系统设计 4.1.1 系统工作原理 设计的集成神经网络入侵检测系统体系结构如图 4-1 所示。 被监控网络 数据采集 人机界面 特征提取 kpca 遗传算法集成神经网络 分类引擎 攻击样本库 图图 4-1 集成神经网络入侵检测系统体

48、系结构集成神经网络入侵检测系统体系结构 系统的工作原理是 ：数据采集模块捕获所有流经系统监测网段上的网络数据流，把 它们送入特征提取模块。特征提取模块通过协议分析技术 ，提取出代表网络数据流的特 征向量，然后，采用核主成分分析(kfca)对特征向量进行降维处理，把降维后的向量送 入集成神经网络分类引擎，作为遗传算法集成神经网络分类引擎的输入向量。集成神经 网络 把输入向量与攻击样本库进行比较，从而判别是否存在入侵。如果集成神经网络认为是 一种攻击行为 ，它将向用户报警。如果发现了新的入侵行为 ，可以把它加入到攻击样 本库中实现对攻击样本库的更新。 4.1.2 特征提取 特征提取模块将数据收集模

49、块中得到的数据，分不同报文类型，提取出不同的检测 特征并进行降维处理。在综合权衡各种攻击手段后，本模型选取的入侵特征主要包括协 议码、源地址、目的地址、源端口、目的端口、标志位、数据报的类型码、数据报的代 码、报文头部长度、数据报长度、报文数据段内容(取前 3o 个字节)、端口、数据报头部 校验和。这 13 个特征组成了入侵检测中的一条特征，用它们可以描述网络中出现的攻击 行为。 4.2 集成神经网络算法 schapire 证明一个概念如果是弱可学习的，其充要条件是强可学习的。这一定理说明， 多个分类器可以集成为一个强分类器，由此奠定了集成学习的理论基础。集成学习通常 分为两个步骤，首先，采用

50、单个学习算法对样本分别进行训练，然后，对单个网络的输 出按某种方法进行集成，得到最后结果。 设神经网络输入 xrm 满足分布 p(x)，输入 x 的目标输出 d(x)，神经网络 fi (i=1，2，n)的输出为 fi(x)，各神经网络的权值为 (i=1，2，n)。 i w 集成神经网络中的每一个权值 0，且 i w (4-1)1 1 n i i w 集成神经网络在输入 x 下的输出定义为：)(xfw ii (4-2) n i ii xfwf 1 )( 神经网络 i 的泛化误差 ei 和集成神经网络的泛化误差 e 分别为： (4-3) 2 )()( )(xfixdxdxpei (4-4) 2 )

51、()( )(xifxdxdxpe 网络泛化误差的加权平均为： (4-5) i n i ie we 1 神经网络的差异度和集成神经网络的差异度分别为： i a a (4-6) 2 )()( )(xfxfxdxpa ii (4-7) i n i ia wa 1 则集成神经网络的泛化误差为： (4-8) 2 1 2 0 1 )()( )()()( )(xfxfxdxpwxfxdxdxpwaee i n i i n i i 从(8)式看出如果集成神经网络中的各个个体网络差异度很小，即对相同的输入 ， 集成网络中的各个个体网络都给出相同或相近的输出，则集成差异度为 0，网络集成的 泛化误差与个体网络的加

52、权平均误差相当，而当个体网络差异较大时，其集成的差异度 较大，泛化误差将远小于个体网络的加权平均误差。因此，集成神经网络中个体网络差 异越大，集成效果越好。 4.3 遗传算法 1975 年，美国密执安大学的心理学教授、电子工程学与计算机科学教授 holland 和他 的同事与学生共同研究了具有开创意义的遗传算法理论和方法11。 4.3.1 遗传算法的定义 遗传算法是一种模仿自然界生物进化思想而得出的一种自适应启发式全局搜索算法， 其实质是由复制交换变异算子组成的周而复始的循环过程。这种方法由于仿效生物 的进化与遗传，根据生存竞争和优胜劣汰的原则，借助复制、交换、变异等操作，使要 解决的问题一步

53、步逼近最优解和近优解。遗传算法的提出和发展给优化搜索技术带来了 新的思想及活力。 4.3.2 遗传算法的基本思想 遗传算法是从代表问题可能潜在解集的一个种群（population）开始的，而一个种群 则由经过基因（gene）编码（coding）的一定数目的个体（individual）组成。每个个体实 质上是染色体（chromosome）带有特征的实体。染色体作为遗传物质的主要载体，即多 个基因的集合，其内部表现(即基因型)是某种基因组合，它决定了个体形状的外部表现。 因此，在一开始需要实现从表现型到基因型的映射即编码工作。由于仿照基因编码的工 作很复杂，我们往往进行简化，如二进制编码。初代种群

54、产生之后，按照适者生存和优 胜劣汰的原理，逐代演化产生出越来越好的近视解。在每一代，根据问题域中个体的适 应度（fitness）大小挑选（selection）个体，并借助于自然遗传学的遗传算子（genetic operation）进行组合交叉（crossover）和变异（mutation） ，产生出代表新的解集的种群。 这个过程将导致种群像自然进化一样的后生代种群比前代更加适应于环境，末代种群中 的最优个体经过解码（decoding） ，可以作为问题近似最优解12。 对一个需要进行优化计算的实际应用问题，一般可按下述步骤来构造求解该问题的 遗传算法。 1）确定决策变量及其各种约束条件，即确定出

55、个体的表现型 x 和问题的解空间； 2）建立优化模型，即确定出目标函数的类型（是求目标函数的最大值还是求目标函 数的最小值）及其数学描述形式或量化方法； 3）确定表示可行解的染色体编码方法，也即确定出个体的基因型 x 及遗传算法的搜 索空间； 4）确定解码方法，即确定出个体基因型 x 到个体表现型 x 的对应关系或转换方法； 5）确定个体适应度的量化评价方法，即确定出由目标函数值 f（x）到个体适应度 f（x）的转换规则； 6）设计遗传算子，即确定出选择运算、交叉运算、变异运算等遗传算子的具体操作 方法； 7）确定遗传算法的有关运行参数，即确定出遗传算法的 m,t,pc,pm 等参数。 由上述

56、构造步骤可以看出，运行解的编码方法、遗传算子的设计是构造遗传算法时 需要考虑的两个主要问题，也是设计遗传算法时的两个关键步骤。对不同的优化问题需 要使用不同的编码方法和不同操作的遗传算子，它们与所求解的具体问题密切相关，因 而对所求解问题的理解程度是遗产算法应用成功与否的关键。如下图 4-2 所示为遗传算法 的主要构造过程示意图。 4.3.3 基本遗传算法 基本遗传算法只使用选择算子、交叉算子和变异算子这三种基本遗传算子，其遗传 进化操作过程简单，容易理解，是其他一些遗传算法的雏形和基础，它不仅给各种遗传 算法提供了一个基本框架，同时也具有一定的应用价值。 1）染色体编码方法 基本遗传算法使用

57、固定长度的二进制符号串来表示群体中的个体，其等基因是由二 值符号集0，1所组成的。初始群体中各个个体的基因值可用均匀分布的随机数来生成。 如 x=10110000101101 就可表示一个个体，该个体染色体长度是 n=14。 2）个体适应度评价 基本遗传算法按与个体适应度成正比的概率来决定当前群体中每个个体遗传到下一 代群体中的机会多少。为正确计算这个概率，这里要求所有个体的适应度必须为正数或 零。这样，根据不同种类的问题，必须预先确定好由目标函数值到个体适应度之间的转 化规则，特别是要预先确定好当目标函数值为负数时的处理方法。 最优化问题描述 适应度 f（x）个体基因型 目标函数 f（x）

58、个体表现型 x 解码方法 确定运行参数 编码方法 设计遗传算子 确定决策对象、 约束条件 确定适宜度转 换规则 建立优化模型 遗传算法 第一步 第四步 第三步 第二步 第五步 第七步 第六步 图图 4-2 遗传算法的构造过程遗传算法的构造过程 3）遗传算子 基本遗传算法使用下述三种遗传算子。 选择运算使用比例选择算子。选择是用来确定重组或交叉个体，以及被选个体将产 生多少个子代个体。首先计算适应度，后是实际的选择，按照适应度进行父代个体的选 择。 交叉运算使用单点交叉算子。基因重组是结合来自父代交配种群中的信息产生新的 个体。 变异运算使用基本位变异算子或均因变异算子。交叉之后子代经历的变异，

59、实际上 是子代基因按小概率扰动产生的变化。 4.3.4 基本遗传算法的运行参数 基本遗传有下述 4 个运行参数需要提前设定。 1）m：群体大小，即群体中所含个体的数量，一般取为 20100。 2）t：遗传运算的终止进化代数，一般取为 100500。 3）pc：交叉概率，一般取为 0.40.99。 4）pm：变异概率，一般取为 0.00010.1。 这 4 个运行参数对遗传算法的求解结果和求解效率都有一定的影响。种群规模过小 将影响搜索范围，从而得不到最优解；种群规模过大则搜索时间长，搜索效率低。交叉 和变异概率 pc、pm 越小，则算法的开发能力越强，越容易探测到新的超平面，但个体的 平均适应

60、值波动较大；相反，pc、pm 越小，则算法的开发能力越强，使得较优个体不易 被破坏，个体的平均适应值平衡。 4.4 基于遗传算法的集成神经网络检测方法 4.4.1 算法思想与步骤 在此采用的集成神经网络对网络入侵的学习分为两个步骤，首先，采用单个神经网 络分别对样本进行训练，然后，通过遗传算法寻找那些差异较大的神经网络进行集成， 得到最后的结果 。 4.4.2 个体网络的构建 构建三种不同类型的神经网络即 bp 神经网络、rbf 神经网络和自组织竞争人工神 经网络 ，每一类按照隐含层神经元个数和学习率的不同分为 6 个神经网络，共计 18 个 神经网络，如下图 4-4 所示 。 数 据 源 b