理论探讨・Ｔｈｅｏｒｅｔｉｃａｌ Ｄｉｓｃｕｓｓｉｏｎ 融合多智能技术的网络入侵检测模型 兰远东 高 蕾 （惠州学院计算机科学系 广东惠州５１６００７） 【摘要】网络入侵检测的关键问题是要使得检测准确率最大化，误警率最小化。为了解决这个问题，提出了集成多 种智能学习范型的入侵检测模型。该模型融合了线性遗传规划，自适应神经模糊推理系统和随机森林学习算法。在 分类前，使用两层的特征选择过程来约简特征，并在分别评估了每种学习算法的性能基础上，给出了融合规则。实验 表明：融合多智能技术的入侵检测系统的性能要优于任何一个单一的分类器。 【关键词】入侵检测：多分类器系统：模式分类：遗传规划 Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｏｄｅｌ Ｉｎｔｅｇｒａｔｅｄ Ｍｕｌｔｉｐｌｅ Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｌａｎ Ｙｕａｎ—ｄｏｎｇ Ｇａｏ Ｌｅｉ （ＤｅｐａｒｔｍｅｎｔｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，Ｈｕｉｚｈｏｕ Ｕｎｉｖｅｒｓｉｔｙ ＧｕａｎｇｄｏｎｇＨｕｉｚｈｏｕ ５１６００７） 【Ａｂｓｌｒｏｃｔ】Ｔｈｅ ｋｅｙ ｉｓｓｕｅ ｏｆ ｎｅｔｗｏｒｋ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｉｓ ｔｏ ｍａｘｉｍｉｚｅ ａｃｃｕｒａｃｙ ａｎｄ ｍｉｎｉｍｉｚｅ ｆａｌｓｅ ｐｏｓｉｔｉｖｅ ａｒｔｅ．Ｉｎ ａｄｄｒｅｓｓｉｎｇ ｔｈｉｓ ｉｓｓｕｅ，ｔｈｉｓ ｐａｐｅｒ ｐｒｏｐｏｓｅｓ ａ ｎｅｔｗｏｒｋ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅｌ ｉｎｔｅｇｒａｔｅｄ ｍｕｌｔｉｐｌｅ ｉｎｔｅｌｌｉｇｅｎｔ ｔｅｃｈｎｏｌｏｇｉｅｓ．Ｔｈｉｓ ｍｏｄｅｌ ｃｏｍｂｉｎｅｓ ａ ｌｉｎｅａｒ ｇｅｎｅｔｉｃ ｐｒｏｇｒａｍｍｉｎｇ，ａｄａｐｔｉｖｅ ｎｅｕｒａｌ－ｆｕｚｚｙ ｉｎｆｅｒｅｎｃｅ ｓｙｓｔｅｍ ａｎｄ ａｎｄｏｍ ｒｆｏｒｅｓｔ ｌｅａｒｎｉｎｇ ａｌｇｏｒｉｔｈｍ．Ｐｒｉｏｒ ｔｏ ｃｌａｓｓｉｉｆｃａｔｉｏｎ，ａ ２－ｔｉｅｒ ｆｅａｔｕｒｅ ｓｅｌｅｃｔｉｏｎ ｐｒｏｃｅｓｓ ｗａｓ ｐｅｒｆｏｒｍｅｄ ｔｏ ｅｘｐｅｄｉｔｅ ｔｈｅ ｄｅｔｅｃｔｉｏｎ ｐｒｏｃｅｓｓ．Ｅｎｓｅｍｂｌｅ ｒｕｌｅ ｗａｓ ｆｏｒｍｕｌａｔｅｄ ｂａｓｅｄ ｏｎ ｈｅ ｅｖａｌｔｕａｔｉｏｎ ｆ ｏｔｈｅ ｓｔｅｎｇｔｒｈｓ ｏｆ ｅａｃｈ ｉｎｄｉｖｉｄｕａｌ ｌｅａｒｎｉｎｇ ａｌｇｏｒｉｈｍ．Ｅｘｐｅｒｉｔｍｅｎｔａｌ ｒｅｓｕｌｔｓ ｓｈｏｗ ｔｈａｔ ｎｅｔｗｏｒｋ ｉｎｔｕｒｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅｌ ｉｎｔｅｇｒａｔｅｄ ｍｕｌｔｉｐｌｅ ｉｎｔｅｌｌｉｇｅｎｔ ｔｅｃｈｎｏｌｏｇｉｅｓ ｉｓ ｂｅｔｔｅｒ ｔｈａｎ ａｎｙ ｓｉｎｇｌｅ ｃｌａｓｓｉｆｉｅｒ． 【Ｋｅｙｗｏｒｄｓ ｌ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ；ｍｕｌｔｉｐｌｅ ｃｌａｓｓｉｉｆｅｒｓ ｓｙｓｔｅｍ；ｐａｔｔｅｒｎ ｒｅｃｏｇｎｉｔｉｏｎ；ｇｅｎｅｔｉｃ ｐｒｏｇｒａｍｍｉｎｇ １引言 互联网在快速膨胀的同时．也引发了有关安全的许 多问题。研究者提出了各种安全策略，来保障互联网络 的挑战是避免这两个问题并拿出解决方案，可以提供一 个良好的精度．同时保持较低的误警率。 各种智能模型已经用于入侵检测，其中包括神经网 络．支持向量机和人：［免疫系统；也有研究者通过统计 方法来解决入侵检测问题的：也有使用图方法的，比如 的安全。单独使用防火墙作为一个基本的包过滤器，不 足以提供一个安全的网络环境。 联合树对于隔离正常模式和攻击模式非常有效，联合树 的优点是它能够说明属性之间的相互关系。 入侵检测系统配合防火墙．可以提供一个更好、更 安全的网络。一般来说，入侵检测系统（Ｉｎｔｒｕｓｉｏｎ 近年来，集成多分类器的方法被广泛地用来解决许 多分类问题，包括入侵检测系统。只要有适当的投票机 Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ，ＩＤＳ）可以通过分析网络流量，寻找潜 在的威胁。两种主要类型的人侵检测系统是误用检测和 异常检测。误用检测寻找已知的攻击，例如攻击签名，而 制和权重分配．多分类器系统能够提高分类精度。但是， 当处理诸如网络流量巨大的领域问题时，计算资源和时 间会受到很大的影响。 本文的目的是为了解决入侵检测系统的准确性和 误警率问题，我们采用两种方式。首先是选择表达网络 流量模式的主要特征。然后基于不同的学习范型构建多 信息安全与技术・２０１４年４月・３１・ 异常是基于正常的模式而言。与正常参考模式存在显著 偏差，就表明可能存在潜在威胁。误用检测和异常检测 都有缺点，误用检测需要签名的频繁更新，以确保良好 的检测，而异常检测容易导致较高的误警率。因此，面临 Ｔｈｅｏｒｅｔｉｃａｌ Ｄｉｓｃｕｓｓｉｏｎ・理论探讨 个分类器，最终形成一个集成分类器模型。选择了三种 智能计算技术来开发分类器．它们分别是线性遗传规划 （Ｌｉｎｅａｒ Ｇｅｎｅｔｉｃ Ｐｒｏｇｒａｍｍｉｎｇ，ＬＧＰ）、自适应神经模糊推 理（Ａｄａｐｔｉｖｅ Ｎｅｕｒａｌ Ｆｕｚｚｙ Ｉｎｆｅｒｅｎｃｅ Ｓｙｓｔｅｍ，ＡＮＦＩＳ）和随 机森林（Ｒａｎｄｏｍ Ｆｏｒｅｓｔ，ＲＥ）。 ２智能计算技术 网络流量数据通常与大容量、多领域相关联．需要 入侵检测系统的仔细分析和辨别。为了减轻开销问题， 在对数据分类前先进行特征选择。此外，必须要选择表 达每个流量类别的显著特征以找到入侵模式的共同特 性。但是这些特征往往隐藏在不相关的特征中，有的特 征还存在假相关，其中的一些特征也可能是多余的。 因此，特征选择的目的是从一些看似无关紧要的特 征中揭露那些隐藏的显著特征。这样就可以实现一个快 速、准确的分类器。然后，使用三种不同的机器学习技术 来构建集成多分类器系统，这三种技术是线性遗传规划 （ＬＧＰ）、自适应神经模糊推理系统（ＡＮＦＩＳ）和随机森林 （ＲＦ）。综合这几种智能技术，旨在提高入侵检测系统的 性能。 下文将简要介绍一下这些技术。 ２．１预处理 在本文的研究工作中实施的特征选择过程，使用了 粗糙集（Ｒｏｕｇｈ Ｓｅｔ）技术和二进制粒子群优化算法 （Ｂｉｎａｒｙ Ｐａｒｔｉｃｌｅ Ｓｗａｒｍ Ｏｐｔｉｍｉｚａｔｉｏｎ），采用分层方式，形 成一个二层的特征选择过程。特征是基于每一个特定的 类而获得的．每一个类有一个特征集。二进制粒子群优 化算法采用启发式技术，初始候选特征为４１维，粗糙集 技术被用于消除冗余特征，保留每个流量类￣ｏｒｍａｌ、 Ｐｒｏｂｅ、ＤｏＳ、Ｕ２Ｒ、Ｒ２Ｌ）的最显著的ｌ５维特征，这１５维 特征称为原始特征的约简。 ２．２二进制粒子群优化算法 粒子群优化算法是通过模拟鸟群觅食行为而发展 起来的一种基于群体协作的随机搜索算法。每个粒子与 速度有关，当粒子在搜索空间中飞行时，粒子的速度根 据每个粒子的历史行为和邻居而调整。因此，粒子具有 朝着越来越好的搜索区域飞行的趋势。粒子的速度和位 置的计算说明如下： Ｖ ｗＶｉｄ＋ｃｌ・ｒａｎｄ０（ＰｉｃＸｉｄ）＋Ｃ２＂Ｒａｎｄ０（Ｐ ｘ＿ｄ） （１） Ｘ Ｘ Ｖｉｄ （２） Ｃ１和Ｃ２是正数常量，叫做学习速率；ｒａｎｄ（）和Ｒａｎｄ ・３２．２０１４年４月．信息安全与技术 （）是两个随机函数，取值范围为【Ｏ，１］；ｗ是惯性权重，合 适的权重可以取得全局与局部之间探索平衡；Ｘ＿＿（ｘＩ１，Ｘ ， …，ｘ。ｄ）代表第ｉ个粒子，Ｐｉ＝（Ｐ．１，Ｐ 一，Ｐ ）是第ｉ个粒子的 前一个最优位置。 本文使用两层粒子群优化算法来决定每个特征是 否应该被选择出来作为分类的特征。先使用基于粗糙集 的离散粒子群优化算法ｆＤｉｓｃｒｅｔｅ Ｐａｎｉｃｌｅ Ｓｗａｒｍ Ｏｐｔｉｍｉｚａｉｔｏｎ），来挑选显著特征．将每个类的初始４２维 特征缩减到１５维。然后在此基础上使用二进制粒子群 优化算法，最终的特征维数在６到８之间，大约缩减了 ８０％的特征 ２．３多智能集成分类 集成多分类器的有效性依赖于决策融合函数。在确 定决策函数时，需要考虑分类器的差异性。本文通过集成 三种不同的机器学习技术来构建集成多分类器系统．这 三种技术是线性遗传规￣ｔＪ（ＬＧＰ）、自适应神经模糊推理系 统（ＡＮＦＩＳ）Ｎ随机森林 ）。综合这几种智能技术，旨在 提高入侵检测系统的性能。决策融合函数的确定，是基于 各个单分类器的检测性能．及整个系统的准确率。 ２．３．１线性遗传规划 最近在遗传规划方面的事态发展，包括通过使用线 性基因构建机器代码指令来提高速度，以及同源交叉运 算激发了研究者在网络安全问题方面的应用研究。遗传 算法也是计算机科学人工智能领域中用于解决最优化 的一种搜索启发式算法，是进化算法的一种。 这种启发式通常用来生成有用的解决方案来优 化和搜索问题。进化算法最初是借鉴了进化生物学中 的一些现象而发展起来的，这些现象包括遗传、突变、 自然选择以及杂交等。遗传算法在适应度函数选择不 当的情况下有可能收敛于局部最优，而不能达到全局 最优。 线性遗传规划是遗传规划的一个变种，是遗传规划 使用计算机程序的一个特定的线性表示。与基于树的遗 传规划相比的主要不同是进化单元不是功能性编程语 言的表达式，而是命令式的语言程序。文献［５］进一步证 明了三种遗传规划变种算法在入侵检测系统中的识别 能力，其中多表达式编程在除了对Ｐｒｏｂｅ和ＤｏＳ攻击的 其他情况下表现出较高的识别能力。 同时，遗传规划算法还能获得较低维数的显著特 征，分类精度可以达到９５％以上。文献［４】还指出，由于具 有较快的检测速度和较高的检测精度，遗传规划可以应 理论探讨・Ｔｈｅｏｒｅｔｉｃａｌ Ｄｉｓｃｕｓｓｉｏｎ 用于实时检测领域。如果种群规模、交叉率、变异率等参 第二层计算当前输入对各条规则的激励强度，采用 对规则前件部分各模糊变量的隶属度作乘积运算； 第三层对激励强度进行归一化； 数选择恰当。线性遗传规划要优于支持向量机和人工神 经网络。 ２．３＿２自适应神经模糊推理系统 由于特征和网络流量数据的本质之间存在复杂的 关系。正常数据和入侵数据之间存在灰色边界。因此，近 年来模糊推理系统被部署在入侵检测系统中，作为入侵 检测的重要方法之一。 第四层计算每条规则的输出，一条规则的输出是给 定输入对该条规则的激励强度与结论部分的乘积； 第五层计算模糊系统的输出，总的输出是所有规则 输出之和。 ２．３．３随机森林 模糊推理是从不精确的前提集合中得出可能的不 精确结论的推理过程，又称近似推理。有两种基本的模 糊推理系统：Ｍａｍｄａｎｉ模糊推理模型和Ｓｕｇｅｎｏ模糊推 理模型．两者的主要区别在于对输出的界定。Ｍａｍｄａｎｉ 模糊推理模型通过事先掌握的一组推理规则，实现从输 入到输出的推理计算，从而建立准确的辨识系统。下面 随机森林是未修剪的分类树或回归树的集合，是一 个包含多个决策树的：分类器，并且其输出的类别是由个 别树输出的类别的众数而定。 Ｌｅｏ Ｂｒｅｉｍａｎ和Ａｄｅｌｅ Ｃｕｔｌｅｒ发展出随机森林的算 法．随机森林学习算法如下： １１用Ｎ来表示训练例子的个数，Ｍ表示变量的 数目： 给出一个Ｍａｍｄａｎｉ模糊推理规则的例子：ｉｆ（Ｘ ｉｓ ｈｉｇｈ） ｔｈｅｎ（ｙ ｉｓ ｓｍａｌ１），它是一种语言形式。 与Ｍａｍｄａｎｉ模型相似，Ｓｕｇｅｎｏ模型的推理规则的 前提部分是语言形式．但是规则的结论部分却是一个非 模糊的等式，如：ｉｆ（ｘ ｉｓ ｈｉｇｈ）ｔｈｅｎ ｙ＝ｆ（ｘ），其中ｆｉｘ）是模 糊输入变量Ｘ的函数。 本文的自适应神经模糊推理系统采用Ｓｕｇｅｎｏ模 型。与Ｔｏｏｓｉ和Ｋａｈａｎｉ的工作相似，之所以采用自适应 神经模糊推理是因为对不同的数据变种。成员函数参 数的选择非常困难。自适应神经模糊推理是一种融合 了神经网络的学习能力的近似推理方法。学习机制采 ２）使用数ｍ，用来决定当在一个节点上做决定时， 会使用到多少个变量，ｍ应小于Ｍ； ３１从Ｎ个训练案例中以可重复取样的方式，取样Ｎ 次，形成一组训练集（即ｂｏｏｔｓｔｒａｐ取样），并使用这棵树 来对剩余预测其类别，并评估其误差； ４１对于每一个节点，随机选择ｍ个基于此点上的变 量，根据这ｍ个变量，计算其最佳的分割方式； ５１每棵树都会完整成长而不会剪枝。 由于随机森林学习算法具有低的分类错误率，以及 对特征的排序等特点，随机森林被用于多个领域，比如 建模、预测以及入侵检测系统。 用混合监督学习方法，自适应神经模糊推理的结构如 图１所示。 自适应网络是一个多层前馈网络，分为五层，其中 的方形节点需要进行参数学习。 第一层计算输入变量的匹配度，即模糊化过程； ３实验设置 实验采用ＫＤＤ Ｃｕｐ １９９９数据集，是ＫＤＤ竞赛在 １９９９年举行时采用的数据集。收集了９周时间的ＴＣＰ ｄｕｍｐ网络连接和系统审计数据，仿真各种用户 类型、各种不同的网络流量和攻击手段，使它就 像一个真实的网络环境。这些ＴＣＰ ｄｕｍｐ采集 的原始数据被分为两个部分：７周时间的训练 数据，大概包含５，０００，０００多个网络连接记录， 剩下的２周时间的测试数据大概包含 ２，０００，０００个刚络连接记录。 一个网络连接定义为在某个时间内从开始 ｆ 第１层 ｆ ｆ ｌ 第４屡 ｌ 第５层 到结束的ＴＣＰ数据包序列，并且在这段时间内， 数据在预定义的协议下（如ＴＣＰ、ＵＤＰ）从源ＩＰ地 第２层 第３层图１自适应神经模糊推理系统结构 址到目的ＩＰ地址的传递。每个网络连接被标记 信息安全与技术・２０１４年４月・３３・ Ｔｈｅｏｒｅｔｉｃａｌ Ｄｉｓｃｕｓｓｉｏｎ・理论探讨 为正常（Ｎｏｒｍａ１）或异常（Ａｎｏｍａｌｙ），异常类型被细分为四 大类共３９种攻击类型，其中２２种攻击类型出现在训练 集中，另有１７种未知攻击类型出现在测试集中。 四种异常类型分别是： １）ＤＯＳ（Ｄｅｎｉａｌ—ｏｆ－Ｓｅｒｖｉｃｅ）拒绝服务攻击，例如 ｐｉｎｇ—ｏｆ－ｄｅａｔｈ，ｓｙｎｆｌｏｏｄ，ｓｍｕｒｆ等； 表２特征约简 类别 Ｎｏｒｍａｌ Ｐｒｏｂｅ ＤｏＳ Ｕ２Ｒ 最佳结果 ｆ１２，ｆ３ｌ，１３２，１３３，ｆ３５，ｆ３６，１３７，ｆ４１ ｆ２，ｆ３，ｆ２３，１３４，１３６，ｆ４０ ｆ５，ｆｌ０，ｆ２４，ｔ２９，ｆ３３，１３４，１３８，ｆ４０ ｆ３，ｆ４，ｆ６，ｎ７，ｆ２２ ２）Ｒ２Ｌ（Ｒｅｍｏｔｅ ｔｏ Ｌｏｃａ１）来自远程主机的未授权访 问，例如ｇｕｅｓｓｉｎｇ ｐａｓｓｗｏｒｄ； ３）Ｕ２Ｒ（Ｕｓｅｒ ｔｏ Ｒｏｏｔ）未授权的本地超级用户特权访 问。例如ｂｕｆｆｅｒｏｖｅｒｌｆｏｗａｔｔａｃｋｓ： ４）Ｐｒｏｂｅ（Ｐｒｏｂｉｎｇ ａｎｄ Ｓｕｒｖｅｉｌｌａｎｃｅ）端口监视或扫描， 例如ｐｏｒｔ—ｓｃａｎ，ｐｉｎｇ—ｓｗｅｅｐ等。 实验中选择了５０９２个样本作为训练集．６８９０个样 本作为测试集。样本的组成保持了ＫＤＤ Ｃｕｐ １９９９的真 实分布，具体情况如表１所示。 表１训练和测试数据 数据集 Ｎｏｒｍａｌ Ｐｒｏｂｅ ＤｏＳ Ｕ２Ｒ Ｒ２Ｌ 训练集 １０００ ５００ ３００２ ２７ ５６３ 测试集 １４００ ７００ ４２０２ ２５ ５６３ 训练数据 测试数据 ＮｏｍＡ套ｌ Ｐｒｏｂｅ ＤＯＳ Ｕ２Ｒ Ｒ２Ｌ 图２实验流程图 ．３４．２０１４年４月．信息安全与技术 Ｒ２Ｌ ｆ３，ｆ４，ｆｌ０，ｆ２３，ｆ３３，ｔ３６ 表３ ＡＮＦＩＳ各迭代次数的错误率 类别 迭代次数 错误率（％） １００ ３０．０９ Ｎｏｒｒｎａｌ ３００ ２９．７３ ５００ ２９．７３ １００ １０．２７ Ｐｒｏｂｅ ３００ ９．５６ ５００ ９．５６ １００ ４３．１３ ＤｏＳ ３００ ３１．４４ ５００ ３１．４４ １００ ７．２１ Ｕ２Ｒ ３００ ７．１２ ５００ ７．１２ ｌＯ０ ２７．２４ Ｒ２Ｌ ３００ ２６．１４ ５００ ２６．１４ 实验流程如图２所示，获取显著特征的过程离线 完成，每一个分类器（线性遗传规划ＬＧＰ，自适应神经 模糊推理系统ＡＮＦＩＳ．随机森林ＲＦ）都使用相同的训 练集。 用离散粒子群优化算法（Ｄｉｓｃｒｅｔｅ Ｐａｒｔｉｃｌｅ Ｓｗａｒｍ Ｏｐｔｉｍｉｚａｔｉｏｎ）来挑选显著特征，将每个类的初始４２维特 征缩减到１５维。然后在此基础上使用二进制粒子群优 化算法，特征选择的过程可以参见。得到的特定类别特 征如表２所示，最终的特征维数在５到８之间，大约缩 减了８０％的特征。 表格３给出了ＡＮＦＩＳ分别在迭代１００、３００和５００ 次时的错误率，可以看出最佳的迭代次数是３００。迭代 次数在３００以上时，错误率并没有因为迭代次数的增 理论探讨・Ｔｈｅｏｒｅｔｉｃａｌ ＤｉＳＣＵＳＳｉｏｎ 表４线性遗传规划分类器参数设置 参数 Ｎｏｒｍａ１ Ｐｒｏｂｅ 多种权重分配的实验后．得出下面的权重分配融合模 类别 ＤｏＳ Ｕ２Ｒ Ｒ２Ｌ 型是最优的。 Ｄ ｂ＝＝（０．５ ｘ ＬＧＰ ｌ＋（０．Ｉ ｘ ＡＮＦＩＳ￣）＋（０．４ｘ ＲＦ （３） 其中，０．５、０．１和０．４是权重，Ｄ 是ＬＧＰ 、 ＡＮＦＩＳ 和ＲＦ 三个分类器的累积决策。 种群规模 ２０４８ ２０４８ ２０４８ ２Ｏ４８ ２０４８ 变异率 交叉率 ３ ５０ ５ ５０ ２２ ３０ ５ ７２ ５ ５０ ４结果与讨论 每个分类器以及最终的集成多分类器系统的 实验结果，如表５所示。其中精度（Ａｃｃｕｒａｃｙ）、误警率 加而降低。实验中采用钟型隶属函数，并将其实验结果 与其他两种类型的隶属函数（梯形隶属函数和高斯隶 属函数）对比，结果表明钟型隶属函数更适合本文的研 究工作。 分别使用５个自适应神经模糊推理系统来处理５ 种类型的网络流量数据，由于通过特征选择阶段的处 理，特征被显著约简，推理规则数目从２５．２８，规则的数 目远低于Ｔｏｏｓｉ ａｎｄ Ｋａｈａｎｉ的２４１。推理 规则的数量，对分类时间具有较大影响。 对于线性遗传规划分类器使用的参 数如表４所示。 实验中１０００代的编码进化，每 一ｆＦａｌｓｅ Ｐｏｓｉｔｉｖｅ）和准警率（Ｔｒｕｅ Ｐｏｓｉｔｉｖｅ）的计算公式如下： Ａｃｃｌｉｒａｃｙ＝ Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅ＝ 丽 （４） （５） Ｔｕｒ。Ｐｏｓｉｔｉｖｅ 雨蕊Ｉ Ｖ （６） 褒训练集上的分类性能（Ｕ２Ｒ） 代平均运行２０次。在对Ｕ２Ｒ攻击类型 褥 岳 分类时．当进化到９０代时就基本稳定了， 更多的进化迭代并没有改善分类精度，实 验结果如图３所示 在随机森林算法的实验中。使用３ 维特征作为建树时的节点因子。在 分类器融合前，对每一个分类器单独进 辔 基 躜 行性能评估。在分类器融合时．根据 分类器的性能，进行权重分配。分类 器的性能．如图４和图５所示。在尝试了 图３ ＬＧＰ在各迭代次数下的分类精度（Ｕ２Ｒ） 表５分类器与集成分类器的性能 ＬＧＰ 类别 ＡＮＦＩＳ Ｉ 集成分类器 精度 Ｎｏｒｍａｌ ９８．８３ Ｐｒｏｂｅ ＤｏＳ Ｕ２Ｒ Ｒ２Ｌ ＦＰ ＴＰ 精度 ＦＰ ＴＰ 精度 ＦＰ ＴＰ 精度 ＦＰ ＴＰ ０．００２９ ０．９９７１ ９６．３１ ０．００００ ０．９９８６ ９５．４１ ０．００００ ０．９７４３ ９２．６６ ０．００００ ０．８０００ ９９．７７ ０．００００ ０．９８５８ ９９．４９ ０．００２９ ０．９６３１ ９３．Ｉ６ ０．００００ ０．５５５７ ９５．７６ ０．０００７ ０．８８７７ ９１．４５ ０．００００ ０．４４００ ９９．１３ ０．００００ ０．９５０３ ９８．８７ ０．００２９ ０．９９７０ ９９．２７ ０．００００ ０．９９９０ ９９．８８ ０．０１２１ ０．９０５５ ９８．２６ ０．０００７ ０．８８００ ９９．９６ ０．００００ ０．９９６５ ９９．７９ ０．００２９ ０．９９７ｌ ０．００００ ０．９９１４ ０．００００ ０．９７４３ ０．００００ ０．８８００ ０．００００ ０．９８５８ ９９．６８ ９７．４５ ９９．９１ ９９．６３ 信息安全与技术・２０１４年４月・３５・ Ｔｈｅｏｒｅｔｉｃａｌ Ｄｉｓｃｕｓｓｉｏｎ・理论探讨 其中ＴＰ是对入侵数据的正确分类．ＴＮ是对正常数 据的正确分类．ＦＰ是对入侵数据的错误分类，ＦＮ是对 正确数据的错误分类。 每个单独分类器对每种类型的流量数据的分类精 度曲线如图４所示，类别１代表正常数据（Ｎｏｒｍａ１），类别 代表Ｕ２Ｒ攻击，类别５代表Ｒ２Ｌ攻击。总体来看，线性 遗传规划的（ＬＧＰ）的性能要优于ＡＮＦＩＳ和ＲＦ。３种分类 技术对ＤｏＳ攻击的识别性能都较差，可能是由于特征 选择过程中ＤｏＳ攻击的显著特征选择不够完整，也可 能是因为ＤｏＳ攻击的样本数量不平衡。 每个单独分类器对每种类型的流量数据的准警率 ２代表嗅探攻击（Ｐｒｏｂｅ），类别３代表ＤｏＳ攻击，类别４ ＬＧＰ ＡＮＦＩＳ和ＲＦ的精度 流徽 剐Ｉ １－１￣ｒｍａｌ ２￣ｒｏｂｅ ３ Ｓ ４－Ｕ２Ｒ ５－１：１２Ｌ 图４各分类器的分类精度 ＬＧＰ，ＡＮＦＩＳ＿和ＲＦ的准静牢 图５各分类器的准警率 ３６．２０１４年４月．信息安全与技术 曲线如图５所示。从图中可以看出，ＬＧＰ 和ＡＮＦＩＳ对Ｕ２Ｒ攻击的识别率较差．ＲＦ 相对较好。从图４和图５可以看出，对 ＤｏＳ攻击和Ｕ２Ｒ攻击的识别较为困难。 ＤｏＳ攻击数据的样本数量占总样本的 ５８．９６％，而Ｕ２Ｒ具有最少的样本，占比 ０．５３％。两种数据的样本数量分处两个极 端．导致数据不平衡问题。也直接导致了 最终的识别性能较差。ＲＦ算法对５种流 量数据的总体识别性能相对较为稳定，而 ＬＧＰ和ＡＮＦＩＳ在处理样本数量不平衡的 类别时性能较差。 集成３种智能技术的分类器的分类 精度与３个单独的分类器中最好的ＬＧＰ 的分类性能对比如图６所示。由于集成分 类器中的每个分类器之间性能的互补性， 从图中可以看出．集成分类器的性能优于 ＬＧＰ，集成分类器模型能够保持较低的误 警率的同时获得较好的分类精度。 ５结束语 在本文中．我们集成三种不同的智能 学习范型来提高入侵检测的精度。通过对 每种学习范型设置相应的权重来融合３ 个分类器。在实验中我们发现ＬＧＰ在对各 种类型的网络流量数据（Ｕ２Ｒ除外）分类 时，分类精度最高。而ＲＦ在对Ｕ２Ｒ流量 数据分类时。取得了相对较高的准警率。 因此．综合了ＲＦ、ＡＮＦＩＳ和ＬＧＰ的集成分 类系统具有更好的入侵检测能力。在集成 多分类器系统中，各个单独的分类器的权 重取值相当重要。 下一步的研究工作，是寻找更系统的 方法来确定各个分类器的权重，并研究权 重对最终分类结果的影响。 理论探讨・Ｔｈｅｏｒｅｔｉｃａｌ Ｄｉｓｃｕｓｓｉｏｎ 懿成分类器姆 Ｐ的准确罐对比 ［５］李慧，胡云，李存华．基于粗糙集理论的瓦斯 灾害信息特征提取技术［Ｊ］．山东大学学报：工学版， ２０１２，０５：９１－９５． 【６］６ Ａ．Ｎ．Ｔｏｏｓｉ，ａｎｄ Ｍ．Ｋａｈａｎｉ．Ａ ｎｅｗ ａｐｐｒｏａｃｈ ｔｏ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｂａｓｅｄ ｏｎ ａ ｅｖｏｌｕｔｉｏｎａｒｙ ｓｏｆｔ ｃｏｍｐｕｔｉｎｇ ｍｏｄｅｌ ｕｓｉｎｇ ｎｅｕｒｏ－ｆｕｚｚｙ ｃｌａｓｓｉｉｆｅｒｓ［Ｊ］． Ｊｏｕｒｎａｌ ｏｆ ＣＩ）：ｍｐｕｔｅｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，２００７，３０：２２０１— 嘏 一 ２２１２． 孵 【７】Ｌ．Ｂｒｅｉｍａｎｎ，２００１，Ｒａｎｄｏｍ Ｆｏｒｅｓｔｓ［Ｊ】＿ Ｊｏｕｒｎａｌ ｏｆ Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ，Ｋｌｕｗｅｒ Ａｃａｄｅｍｉｃ， Ｎｅｔｈｅｒｌａｎｄ，２ｏｏｌ，４５，：５－３２． 【８］詹曙，姚尧，高贺．基于随机森林的脑磁共振 图像分类【Ｉ】．电子测量与仪器学报，２０１３，１１：１０６７－ １０７２． ［９】王鑫，汪晋宽，刘志刚等．基于随机森林的认 知网络频谱感知算法们．仪器仪表学报，２０１１，ｌｈ 图６集成分类器与ＬＧＰ的性能对比 ２４７１—２４７７． ［１Ｏ］王象刚．基于Ｋ均值随机森林快速算法及入 侵检测中的应用［Ｊ】．科技通报，２０１３，０８：１１—１５． 参考文献 ［１］Ｐｉｎｚ６ｎ Ｃ Ｉ，Ｄｅ Ｐａｚ Ｊ Ｆ，Ｈｅｒｒｅｒｏ？，ｅｔ ａ１．ｉｄＭＡＳ－ＳＱＬ：ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｂａｓｅｄ ｏｌｌ ＭＡＳ ｔｏ ｄｅｔｅｃｔ ａｎｄ ｂｌｏｃｋ ＳＱＬ ｉｎｊｅｃｔｉｏｎ ｔｈｒｏｕｇｈ ｄａｔａ ｍｉｎｉｎｇ［Ｊ］．Ｉｎｆｏｒｍａｔｉｏｎ Ｓｃｉｅｎｃｅｓ，２０１３，２３ｌ：１５－３１． 【２］Ｋｒａｗｃｚｙｋ Ｂ，Ｗｏｚｎｉａｋ Ｍ．Ａｃｃｕｒａｃｙ ａｎｄ ｄｉｖｅｒｓｉｔｙ ｉｎ ｃｌａｓｓｉｉｆｅｒ ｓｅｌｅｃｔｉｏｎ ｆｏｒ ｏｎｅ－ｃｌａｓｓ ｃｌａｓｓｉｉｆｃａｔｉｏｎ ｅｎｓｅｍｂｌｅｓ【Ｃ］／／Ｃｏｍｐｕｔａｔｉｏｎａｌ Ｉｎｔｅｌｌｉｇｅｎｃｅ ａｎｄ Ｅｎｓｅｍｂｌｅ Ｌｅａｒｎｉｎｇ（ＣＩＥＬ），２０１３ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｉｌ． ＩＥＥＥ，２０１３：４６—５１． ［１ １］Ａ．Ｚａｉｎａｌ，Ｍ．Ａ．Ｍａａｒｏｆ ａｎｄ Ｓ．Ｍ．Ｓｈａｍｓｕｄｄｉｎ，Ｆｅａｔｕｒｅ Ｓｅｌｅｃｔｉｏｎ Ｕｓｉｎｇ ＲｏｕｇＩｌ—ＤＰＳＯ ｉｎ Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ［Ｍ］．ＬＮＣＳ ４７０５， Ｐａｒｔ １ Ｓｐｒｉｎｇｅｒ Ｈｉｅｄｅｌｂｅｒｇ，２００７：５ １２—５２４． 基金项目： 惠州市科技计划项目（Ｎｏ．２０１１Ｂ０２ｏｏ０６００２，２Ｏ１２Ｂ０２ｏ０Ｏ４ｏ０５）； 惠州学院自然科学基金项目（Ｎｏ．２０１２ＹＢ１４）。 作者简介： 兰远东（１９７５一），男，华南理工大学，博士研究生，惠州学院，讲 【３ Ｓ．Ｃｈｅｂｒ３］ｏｌｕ，，Ａ．Ａｂｒａｈａｍ，ａｎｄ Ｊ．Ｐ．Ｔｈｏｍａｓ．Ｆｅａｔｕｒｅ Ｄｅｄｕｃｔｉｏｎ ａｎｄ Ｅｎｓｅｍｂｌｅ Ｄｅｓｉｇｎ ｏｆ Ｉｎｔｕｓｉｒｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍｓ［Ｊ］．Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｊｏｕｒｎａｌ ｏｆ Ｃｏｍｐｕｔｅｒｓ ａｎｄ Ｓｅｃｕｒｉｔｙ，２００５，２４（４）：２９５－３０７． 师；近３年在模式识别与机器学习领域发表了论文十余篇，多数被 ＥＩ检索；主要研究方向和关注领域：模式识别与机器学习。 ［４］Ｓ．Ｍｏｎｔｅｉｏ，Ｔ．ｒＫ．Ｕｔｏ，Ｙ．Ｋｏｓｕｇｉ，Ｎ．Ｋｏｂａｙａｓｈｉ，Ｅ．Ｗａｔａｎａｂｅ ａｎｄ Ｋ．Ｋａｍｅｙａｍａ．Ｆｅａｔｕｒｅ Ｅｘｔｒａｃｔｉｏｎ ｏｆ Ｈｙｐｅｒｓｐｅｃｔｒａｌ Ｄａｔａ ｆｏｒ Ｕｎｄｅｒ 高蕾（１９７６一），女，华南理工大学，硕士研究生，惠州学院，讲师； 近３年在无线传感网络安全及网络优化领域发表了论文５篇；主要 研究方向和关注领域：无线传感网络、网络优化等。 Ｓｐｉｌｌｅｄ Ｂｌｏｏｄ Ｖｉｓｕａｌｉｚａｔｉｏｎ Ｕｓｉｎｇ Ｐａｒｔｉｃｌｅ Ｓｗａｒｍ Ｏｐｔｉｍｉｚａｔｉｏｎ［Ｊ１． Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｊｏｕｒｎａｌ ｏｆ Ｂｉｏｅｌｅｃｔｒｏｍａｇｎｅｔｉｓｍ，２００５，７（１），：２３２［＇－２３５． 信息安全与技术・２０１４年４月・３７・
