基于1类支持向量机的入侵检测模型研究
- 格式：pdf
- 大小：110.88 KB
- 文档页数：3
２ＯＯ６年１２月 第２１卷第４期 山东师范大学学报（自然科学版） Ｊｏｕｒｎａｌ ｏｆ Ｓｈａｎｄｏｎｇ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ（Ｎａｔｕｒａｌ Ｓｃｉｅｎｃｅ） Ｄｅｃ．２０ｏ６ Ｖｏ１．２１ Ｎｏ．４
基于１类支持向量机的入侵检测模型研究
毕晓冬
（山东警察学院，２５００１４，济南∥４３岁，女，副研究员）
摘要入侵检测由于其在网络安全中的重要地位得到迅速发展，同时也对其提出更高的要求．ＳＶＭ由于其优良的泛化性能， 近几年来得到很好的发展和利用．本文在对入侵检测技术和ＳＶＭ的研究基础上提出了基于１类支持向量机的入侵检测模型． 关键词１类支持向量机；入侵检测；计算机网络
中图分类号ＴＰ ３９３
ｌ入侵检测
入侵检测（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ），顾名思义，是对入侵行为的发觉．它通过对计算机网络或计算机系统中的若干关键点收集
信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象．进行入侵检测的软件与硬件的组 合便是入侵检测系统（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ，简称ＩＤＳ）．与其它安全产品不同的是，入侵检测系统需要更多的智能，它必须可
以将得到的数据进行分析，并得出有用的结果，一个合格的入侵检测系统能大大地简化管理员的工作，保证网络安全的运行．
入侵检测最终可以看作是一个分类问题，也就是对给定的审计数据进行分类：什么样的数据是正常的，什么样的数据是
异常的．在有关文献中，Ｆｏｒｒｅｓｔ【ｌ 等人把入侵检测看作是区分“自我”（也就是“正常”）和“非自我”（也就是“异常”）的过程，提出
了基于免疫模型的入侵检测技术．Ｇｈｏｓｈ【２ 利用神经网络来提取特征和分类．Ｌｅｅ ３』从数据挖掘技术的角度探讨了入侵检测
的实现问题，以上方法都需要大量或者是完备的审计数据集才能达到比较理想的检测性能，并且训练时间较长．那么，如何在
小样本的情况下，提取审计数据特征，实现入侵检测呢？对此进行以下讨论．
２支持向量机
ＳＶＭ是由针对小样本提出的，但是标准的支持向量机主要是处理两类数据的分类问题，并且具有相当好的结果．但是，根
据入侵检测的数据的特点，正常数据与异常数据相比，其数量要大得多，所以并不适于两类分类．并且因更关心异常类（入侵
所对应的一类），因此，与通常的支持向量机所处理的两类分类问题有所不同．这里使用１类ＳＶＭ构造入侵异常检测系统．１类 支持向量机是在支持向量机的基础上发展起来的．它由Ｂｅｒｎｈａｒｄ Ｓｅｈ６１ｋｏ￣ 等人于１９９９年提出，用于解决一类问题，其基本思
想是，在选定了一个核函数以后，把空间中的坐标原点视为另外一类中唯一的点，并且引入松驰变量，进而可以应用传统的２
类支持向量机．
Ｉ类ＳＶＭ的算法描述：
对于给定的没有分类标记的样本Ｚ＝ ∈ ，ｉ＝Ｉ，…，ｍ｝，Ｉ类ＳＶＭ的初始１ 毯为
ＩＩｌｉｎ ， ） Ｉ Ｉｌ Ｉ Ｊ 一ｐ＋ ，
Ｓ．ｔ． ‘ （ ）≥Ｐ一 ，
≥０， ＝Ｉ，…，ｍ．
Ｐ≥０． 使用Ｌａｇｒａｎｇｅ乘子法求解上述问题，引入Ｌａｇｒａｎｇｅ乘子 ， ≥０，ｉ＝Ｉ，…，ｍ，得
＝ Ｉ 一ｐ＋ Ｉ ｍ 一 （加 ）一ｐ＋ ）＋
取 对 ， ，Ｐ的最小值，以及对ａ，口的最大值，求 对 ， ，ｂ，Ｐ的偏微分，并令偏微分等于０，有
： 一 （ ）＿０＇ａ 一 “ 、 ‘ 一 ’
ａＬ＝ １一 一 ＝０， ａ 一僦 “‘ ‘一 ’
：一１＋ 一０．ａｐ一一 …
将式（６）、（７）、（８）代入（５），并考虑口 ，＆≥０，得到对偶Ｌａｇｒａｎｇｅ表达式：
收稿１３期：２Ｏ０６—０５—０８ （１）
（２）
（３）
（４）
（５）
（６）
（７）
（８）
维普资讯 http://www.cqvip.com ３６ 山东师范大学学报（自然科学版） 第２１卷
最终的判别函数为 （９）
（１０）
（１１）
，（ ）＝ｓｇｎ（∑ａｌｋ（ ）一ｐ）． （１２） ｉ：Ｉ 其中Ｐ可以通过下列方法计算：取任何一个满足０＜ａ ＜ １的样本 ，根据Ｋ１１＇条件，其对应的 等于０，式（２）变成一
个等式，因此可得
Ｐ＝ （ ）＝∑ａｉｋ（ｘ￣， ）． （１３）
这样对于给定的向量 ，若，（ ）≥０则可判断在＋１类内，否则在一１类内．
３ 基于ＳＶＭ的入侵检测系统模型
利用１类ＳＶＭ算法建立入侵检测系统模型如下：
数据流
图１ 基于ＳＶＭ的入侵检测模型
该模型参考了通用入侵检测模型ＣＩＤＦ，其中包括数据采集、数据预处理、数据库、ＳＶＭ训练、ＳＶＭ决策和实时响应等模块．
数据采集过程是从网络上截取网络数据包；数据预处理过程主要包括特征的选择和利用数据挖掘方法进行处理，然后将 预处理后的标准数据导入数据库；数据库中保存了经过预处理后的训练数据、实时数据以及检测结果；ＳＶＭ训练过程包括根
据数据库中的标准数据训练ＳＶＭ分类器，包括ＳＶＭ模型的确定，ＳＶＭ中核函数的参数的确定等等．通过训练，得到用于决策的
ＳＶＭ分类器，最后，在利用ＳＶＭ分类器的决策过程中，可以对一个新的连接进行识别，把结果保存在数据库中并传送给响应模 块．
４实验及结论
在实验过程中，采用的实验数据为１９９９年知识发现和数据挖掘杯比赛中的数据（ｈｔｔｐ：／／ｋｄｄ．ｉｃｓ．ｕｃｉ．
ｅｄｕ／ｄａｔａｂａｓｅｓ／ｋｄｄｃｕｐ９９１ｋｄｄｃｕｐ９９．ｈｔｎｆ１）中的数据．每个数据有４１个特征值．算法中的重要参数权衡因子 （０≤ ≤１），对 的 不同取值，其误报率（Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅ）是不同的，在此实验中 的取值为０．１，这里主要从检测精度（Ｐｒｅｃｉｓｉｏｎ）和误报率两方面来
考查算法的性能．另外实验中所用的核函数为径向基函数（Ｐ￣ａｌ ＢａｓｉｓＦｕｎｔｉｏｎ），｜ｊ｝ （ｕ， ）＝ｅｘｐ（一Ｉ ｕ一 １ ２／ａ）．实验数据见
表１．
表１ ＾、 ．， “ ● ｑ ＝ 口 ．‘ ２ ≤ 一 。 ＝ 口 ≤ ０ 阻
Ｌ 维普资讯 http://www.cqvip.com 第４期 毕晓冬：基于１类支持向量机的入侵检测模型研究 ３７
我们与采用传统支持向量机的入侵检测模型进行比较，可以看出采用ｌ类支持向量机之后，其检测精度大大提高，１类支
持向量机为９５．６９％，而传统的支持向量机仅为８２．６３％．另外其平均检测时间也缩短很多，从传统支持向量机平均５．６７ ｓ到１
类支持向量机的１．４３ Ｓ．
虽然通过使用１类ＳＶＭ可以提高检测率，但误报率也可能相应的提高．虽然表面看来，误报率并不算高，但由于正常样本
的基数比较大，因而误报次数并不少．如何提高检测率和降低误报率是我们继续研究的课题．
５参考文献
［１］Ｆｏｒｒｅｓｔ Ｓ，ＰｅｒｒｅｌａｓｏｎＡ Ｓ，ＡｌｌｅｎＬ，ｅｔ ａ１．Ｓｅｌｆ－ＮｅｎｓｅｌｆＤｉｓｃｒｉｍｉｎａｔｉｏｎｉｎ ａＣｏｍｐｕｔｅｒ．Ｉｎ：Ｒ￣ｈｂｙ ＪＭｅａｄｏｗｓ Ｃ，ｅｄｓ．Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆｔｈｅ１９９４ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ
∞Ｒｅｓｅａｒｃｈｉｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ［Ｍ］．Ｏａｋｌａｎｄ，ＣＡ：１ＥＥＥ Ｃｏｍｐｕｔｅｒ ＳｏｃｉｅｔｙＰｒｅｓｓ，１９９４．２０２～２１２ 【２］Ｇｈｏｓｈ ＡＫ，Ｍｉｃｈａｅｌ Ｃ，ＳｃｈａｔｚＭ．ＡＲｅａｌ—ｔｉｍｅＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｅｎ Ｓｙｓｔｅｍ Ｂａｓｅｄ∞Ｉ￣ａｍｉｎｇＰｒｏｓ，￣Ｂｅｈａｖｉｏｒ．Ｉｎ：ＤｅｂａｒＨ，Ｗｕ ＳＦ，ｅｄｓ．Ｒｅｃｅｎｔ Ａｄｖａｎｃｅｓ ｉｎ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ（ＲＡＩＤ ２０００）［Ｍ］．１＇舢ｌ∞ｓｅ：Ｓｐｌｎｇｅｒ－Ｖｅｒｌａｇ，２Ｏ００．９３～１０９ ［３］ｌｅｅ Ｗ，Ｓｔｏｌｆｏ Ｓ Ｊ．Ａ Ｄａｔａ Ｍｉｎｉｎｇ Ｆｒａｍｅｗｏｒｋ ｆｏｒ Ｂｕｉｌｄｉｎ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｏｄｅ１．Ｉｎ：Ｇｏｎｇ Ｌ，Ｒｅｉｔｅｒ ＭＫ，ｅｄｓ．Ｐｍｃｅｃｄｉｎｇｓ ｏｆｔｈｅ １９９９ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ∞Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖｅｔ［Ｍ］．Ｏａｋｌａｎｄ，ＣＡ：ＩＥＥＥ Ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔｙ Ｐｒｅｓｓ，１９９９．１２０～１３２ ［４］Ｓｃｈ６Ｉｋｏｐｆ Ｂ．Ｅｓｔｉｍａｔｉｎｇ ｔｈｅ Ｓｕｐｐｏｒｔ ｏｆ ｎ Ｈｉｇｈ－Ｄｉｍｅｍｉ￣ａｌ Ｄｉ ｂｕⅡ∞［Ｒ］．Ｈａｌｆａ：Ｄ￣ｌａｒｔｎｌｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｈａｉｆａ，２００１ ［５］ 毕晓冬．基于流分类技术的ＭＰＬＳ协议数据转发研究［Ｊ］．山东师范大学学报（自然科学版），２ＯＯ６，２１（２）：４３～４５
ＴＨＥ Ｒ ＲＣＨ ｏＦ Ｄ ＩＲＩ ７ＳＩｏＮ ＤＥＴＥＣＴＩ（）Ｎ ＭｏＩ岖Ｌ ＢＡＳＥＤ
ｏＮ ｏＮＥ—ＣＬＡＳＳ ＳＵＩ＇ＰｏＩＨ ＶＥＣＴＯＲ
Ｂｉ Ｘｉａｏｄｏｎｇ
（Ｓｈａｎｄｏｎｇ Ｐｏｌｉｃｅ Ｃｏｌｌｅｇｅ，２５００１４，Ｊｉ．ａｎ，Ｃｈｉｎａ）
Ａｂｓｔｒａｃｔ Ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｇｅｔｓ ｒｅｐｉｄ ｄｅｖｅｌｏｐｍｅｎｔ ｂｅｃａｕｓｅ ｏｆ ｉｔｓ ｉｍｐｏｒｔａｎｔ ｐｏｓｉｔｉｏｎ ｉｎ ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ，ｗｈｉｌｅ
ｔａｋｅｓ ｈｉｇｈｅｒ ｄｅｍａｎｄｓ．ＳＶＭ ｈａｓ ｂｅｅｎ ｇｏｏａ ｄｅｖｅｌｏｐｍｅｎｔ ａｎｄ ｕｔｉｌｉｚａｔｉｏｎ ｂｅｃａｕｓｅ ｏｆ ｉｔｓ ｅｘｃｅｌｌｅｎｔ ｇｅｎｅｒａｌｉｚａｔｉｏｎ ｐｅｒｆｏｒｍａｕｃｅ
ｉｎ ｒｅｃｅｎｔ ｙｅａｒｓ．Ｂａｓｅｄ ｏｎ ｔｈｅ ｒｅｓｅａｒｃｈ ｏｆ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ａｎｄ ＳＶＭ，ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅｌ ｂａｓｅｄ ０ｎ ｏｎｅ—ｃｌａｓｓ
ｓｕｐｐｏｒｔ ｖｅｃｔｏｒ ｍａｃｈｉｎｅ ｉｓ ｐｕｔ ｆｏｒｗａｒｄ．
Ｋｅｙ ｗｏｒｄｓ ｏｎｅ—ｃｌａｓｓ ｓｕｐｐｏｒｔ ｖｅｃｔｏｒ； ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ； ｃｏｍｐｕｔｅｒ ｎｅｔｗｏｒｋ
维普资讯 http://www.cqvip.com
