第７卷第５期 漯河职业技术学院学报 Ｊｏｕｒｎａｌ ｏｆ Ｌｕｏｈｅ Ｖｏｃａｔｉｏｎａｌ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏｌｌｅｇｅ Ｖｏ１．７ ＮＯ．５ ２００８年９月 Ｓｅｐ．２００８ ＢＰ神经网络在入侵检测中的改进设计 李 威 （１．中国海洋大学，山东青岛２６６０７１：２ 山东省青岛第二十七中学，山东青岛２６６０４３） 摘要：在收集到原始数据后，如何对这些数据进行有效分析及报告结果一直是入侵检测领域中研究 的重点，并因此形成了多种ＩＤ方法。本文提出了一个ＩＤ模型，提出了一种改进训练算法，对模型的核 心组成部分进行了分析、设计和实现，并进行了相关实验。 关键词：入侵检测；ＢＰ算法；改进 中图分类号：ＴＰ１８３ 文献标识码：Ａ 文章编号：１６７１—７８６４（２００８）０５—００３４—０３ 作为研究复杂性问题的有力工具，神经网络技 术近年来在模式识别与分类、非线性滤波、自动控 制、预测等方面已 示 其非凡的优越性。对人工 神经网络的研究表明，神经网络在概念和处理方法 上都很适合入侵检测系统的要求。 １．２ ＮＮＩＤＭ的实现 １．２．１ 网络探测器的设计与实现 包括数据采集、Ｅｔｈｅｒｎｅｔ帧解包、ＩＰ解包、ＩＣＭＰ 解包、ＴＣＰ解包、ＵＤＰ解包等模块。在本系统的数 据采集模块中，考虑到采集网络包的完整性和效率， 我们采用ｌｉｂｐｃａｐ／ｓｎｏｒｔ或ｌｉｂｐｃａｐ／ＴｃＰｄｕｍｐ相结合 的方式，它们具有强大而高效的截获数据包的能力， 它有多种参数可供选择，通过参数组合可灵活地获 取所需要的数据包属性，它们是目前国际上标准的 ｌ ＮＮＩＤＭ的设计与实现 １．１ 系统的总体设计 ＮＮＩＤＭ（Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｏｄ— ｅ１）即神经网络入侵检测模型，是我们开发的用来检 测网络攻击行为的原型。ＮＮＩＤＭ具有网络探测器、 数据采集方式。 １．２．２数据预处理模块结构和实现 网络分析引擎、网络数据库和响应模块等标准部件， 它的系统结构如图Ｉ所示。 预处理模块负责把数据采集模块传来的数据转 换为神经网络能够识别的形式，即把由ｓｎｏｒｔ或 ＴＣＰｄｕｍｐ抓取的数据转换成二进制数。 １．２．３事件分析器的设计和实现 事件分析器是入侵检测系统的核心。我们设计 的ＮＮＩＤＭ采用的是基于异常的实时分析方法，采用 改进ＢＰ神经网络构成检测引擎。在训练阶段，分 图ｌ ＮＮＩＤＭ系统结构图 析器输入训练样本，设置网络运行的所需要的参数， 输入输出均选择为文本文件，这样可跨平台运行，如 把Ｌｉｎｕｘ／Ｕｎｉｘ下的数据包文件转换后也可进行 检测。 从组件的功能上来看，事件产生器用于捕获经 过它所在网段内的所有数据包；预处理模块用于将 数据包进行处理和转换；分析器用于进行分类判别， 判断是否为攻击行为；响应单元用于报警，或采取切 断网络连接等操作，同时在事件数据库中做日志和 警报记录；事件数据库用于存储相关信息。 收稿日期：２００８—０５—２３ 我们使用ＶＣ６．０实现了在Ｐｃ机上的软件 仿真。 作者简介：李威（１９７８一），男，山东青岛人，中国海洋大学在读硕士研究生，青岛二十七中教师，研究方向：现代信息技术。 第５期 李威：ＢＰ神经网络在入侵检测巾的改进设计 ３５ １．２．４事件数据库的结构 为了攻击数据的保存和查询，我们设计数据库， 包含７张表，它们是：Ｔｒａｉｎ表，它包含训练数据和期 相等的一组值，在程序中产生一组小的随机数，作为 网络的初始阈值。 表１预处理编码规则 望输出；Ｗｉｎｈｉｄｅ表，它保存输人层到隐含层的权值 矩阵；Ｗｈｉｄｅｏｕｔ表，它保存隐含层到输出层的权值 矩阵；Ｈｔｈｒｅｓｈｏｌｄ表，它保存隐含层的阈值矩阵； Ｏｔｈｒｅｓｈｏｌｄ表，它保存输出层的阈值矩阵；Ｅｒｒｏｒ表保 存训练误差；Ｒｅｓｕｌｔ表保存最后的仿真检测结果。 二进制数位数 １～３２位 ３３～６４位 代表属性 源ＩＰ地址 目的ＩＰ地址 ６５～６６位 ６７～８０位 协议类型 表示源端口 数据库可采用ＡＣＣＥＳＳ或ＳＱＬＳＥＲＶＥＲ。 １．２．５事件响应器的功能设计 本系统主要提供被动响应机制，即将采集来的 数据和分析结果按一定的组织方式记录到系统中并 通知管理员。 ２ ＮＮＩＤＭ实验 ２．１ 实验准备 本系统运行在ＲｅｄＨａｔ Ｌｉｎｕｘ９．０和ｗｉｎｄｏｗｓ２０００ ｓｅｒｖｅｒ的平台上，试验ＣＰＵ为ＰＩＩＩ６００，内存１２８Ｍ， ４０Ｇ硬盘，受保护的系统所采用的操作系统可为 Ｕｎｉｘ、Ｌｉｎｕｘ、ｗｉｎｄｏｗｓ系列。 ２．２ 实验参数 ２．２．１ 数据源 实验中为了获得更多的和典型的攻击样本，我 们采用的是美国林肯实验室在２０００年入侵检测专 用评估数据集，它采用ＴＣＰｄｕｍｐ格式，因为它的数 据量大，攻击类型典型且全面，我们使了其中的两组 数据。 ２．２．２入侵行为指标 我们用到的数据包属性有源ＩＰ、目的ＩＰ、源端 口、目的端口、数据包长度、协议号、Ｓｅｑ（序号）段、 Ａｃｋ（确认）段、Ａｃｋ位、ＵＲＧ位等。 ２．２．３ ＢＰ网络参数设定 （１）网络输入层节点数。输入层节点为１６４ 个，１６４为经过实验确定的数据包属性值对应的二 进制位数，具体含义参见表１。 （２）网络隐层节点数。隐节点数我们采用２０、 ４０、６０、８０、１００、１２０进行了测试，由实验得知，隐层 节点取８０检测效果最好。 （３）网络输出层节点数。我们选取３个节点， 每个节点为０和１二种输出，组合共有８种。 （４）初始权值的确定。初始权值是不应完全相 等的一组值，在程序中产生一组一１到１的随机数， 作为网络的初始权值。 （５）初始阈值的确定。初始阈值也是不应完全 ８１～９４位 表示目的端口 ９５～１２６位 Ｓｅｑ序列号编码 １２７～１５８位 ＡＣＫ确认号编码 １５９位 ＵＲＧ标志位 １６０位 ＡＣＫ标志位 １６１位 ＰＳＨ标志位 １６２位 ＲＳＴ标志位 １６３位 ＳＹＮ标志位 １６４位 ＦＩＮ标志位 （６）训练速率。训练速率在不导致振荡前提 下，越大越好，我们取初始值为０．６，程序会根据训 练误差自动调整学习率，减少训练振荡以达到最好 效果。 （７）允许误差。这个误差是由实验判断而来， 为了取得较低的漏报率和误报率，对于不同时段，设 定不同的允许误差，我们取在０．０００００１～０．０２５ 之间。 （８）最大的迭代次数。当迭代结果不收敛时， 允许最大的迭代次数。经实验判定，我们选取 ５０００次。 （９）网络输出值。分为期望和实际输出，８组期 望输出含义如表２所示。仿真检测时，当网络实际 输出与期望输出满足一定误差条件时，即认定为攻 击行为，便发出报警。 表２输出值和攻击行为对应表 期望输出 攻击行为 ０ ０ ０ 正常 Ｏ ０ ｌ ｌａｎｄ攻击 Ｏ ｌ ０ Ｓｃａｎ ｎｕｌｌ ０ ｌ １ ｐｉｎｇ攻击 １ ０ Ｏ ｓｙｎｆｌｏｏｄ １ ０ １ ｗｉｎｎｕｋｅ攻击 １ １ ０ Ｓｍｕｒｆ攻击 ｌ １ １ 待用 ２．３ 实验过程 ２．３．１ 数据采集 ３６ 漯河职业技术学院学报 ２００８拄 首先，我们使用Ｌｉｂｐｃａｂ／ＴｃＰｄｕｍｐ或Ｌｉｂｐｅａｂ／ ｓｎｏｒｔ获得数据包文件，它就是要训练或测试的原始 数据，评估数据集为ＤＡＲＰＡ。 过程是先把数据集用ＴＣＰｄｕｍｐ转储为６个数 我们采用另外三组数据来测试神经网络的检测 效果，结果如表３所示。 表３检测结果表 组数 Ｄ组 Ｅ组 Ｆ组 据文件，每组均有１００个异常（包含上述６种典型攻 击攻击行为）和１００个正常行为，编号为Ａ、Ｂ、Ｃ、Ｄ、 Ｅ、Ｆ，其中Ａ、Ｂ、Ｃ三组用于训练，另外三组用于检 样本总数 正常行为数 异常行为数 ２００ １０Ｏ １０Ｏ ２００ １Ｏ０ １０Ｏ ２０Ｏ １ＯＯ １ＯＯ 测。其中数据文件的典型格式（１ａｎｄ攻击为例） 如下： ２ｌ：０２：４９．６６０６４０ １７２．１６．１ １２．１００．ｄｏｍａｉｎ＞ １７２．１６．１ １２．１００．２４９７：７２３ １／１／１ ＰＴＲ ｈｕｍｅ． 正常检测也为正常 正常检测为异常 异常检测也为异常 异常检测为正常 正确率 漏报率 ８５ １５ ９３ ７ ８５．５％ ３．５％ ７．５％ ９１ ９ ９２ ８ ９１．５％ ４％ ４．５％ ８８ ｌ２ ８４ １６ ８６％ ８％ ６％ ｅｙｒｉｅ．ａｆ．ｍｉｌ．（１３２） 误报率 ２．３．２数据预处理 把上步采集来的数据文件进行格式化，去掉字 符信息和不必要的属性信息即噪声信息，并转化为 标准的二进制文件，再把训练样本加入期望输出。 其中，准确率、漏报率和误报率公式为： 准确率：正确检测的样本数目／样本总数 漏报率＝异常检测为正常的样本个数／样本 总数 实验中的编码规则将从分析模块接收到的信息转换 为１６４个分向量的特征向量。 误报率：正常检测为攻击的样本个数／样本 总数 ２．３．３训练神经网络 把上述三组训练样本（只包含二进制数和期望 输出），依次输入到神经网络。神经网络对应的输 入层节点个数为１６４个，对应训练样本的１６４位向 ３ 实验结论 实验表明，应用神经网络到入侵检测中，能达到 较好的训练效果，采用改进的ＢＰ算法检测的准确 率较高，漏报率较低，考虑到检测方式和ＮＮＩＤＭ目 前的应用情况，本原型可用与对实时性要求不是很 量，根据实验经验，隐含层节点数我们选取８０，输出 层采用了三个节点，初始学习率’７设为０．６，训练 ５０００次。 ２．３．４测试神经网络 典型的ＢＰ网络的应用不仅需要一个训练集， 还需要一个评价训练效果的测试集。训练集和测试 高的系统中，它能够较好地满足需要。 参考文献： ［１］杨建刚．人工神经网络实用教程［Ｍ］．杭州：浙江大学出 版社．２００１． 集都是由输入输出对样本构成的集合。训练集用于 训练网络，使网络能够按照学习算法调节结构参数； 测试集是用于评价已训练好的网络性能，即网络的 泛化性能。为了获得较好的泛化性能，要满足两个 ［２］唐正军．网络入侵检测系统的设计与实现［Ｍ］．北京：电 子工业出版社，２００５． 前提：（１）训练集和测试集应使用典型的样本对； （２）测试集应不同于训练集。 ［３］汪立东，李亚平，方滨兴．一个基于神经网络的入侵检测 系统［Ｊ］．计算机工程，１９９９，２５（１０）． Ｔｈｅ Ｒｅｓｅａｒｃｈ ｏｆ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｏｄｅｌ Ｂａｓｅｄ ｏｎ ＢＰ ＮｅｕＲａｌ Ｎｅｔｗｏｒｋ ＩＪＩ Ｗｅｉ ， （１．Ｏｃｅａｎ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｃｈｉｎａ，Ｑｉｎｇｄａｏ，２６６０７ １，Ｃｈｉｎａ；２．Ｑｉｎｇｄａｏ Ｎｏ．２７ Ｍｉｄｄｌｅ Ｓｈｏｏｌ，Ｑｉｎｇｄａｏ，２６６０４３，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｉｔ ｉｓ ｉｍｐｏｒｔａｎｔ ｈｏｗ ｔｏ ｇｏ ｏｎ ａｎｄ ａｎａｌｙｓｅ ｔｈｅ ｄａｔａ ｅｆｆｅｃｔｉｖｅｌｙ ａｎｄ ｒｅｐｏｒｔ ｏｕｔｃｏｍｅ ｉｎ ｔｈｉｓ ｆｉｅｌｄ ａｆｔｅｒ ｃｏｌｌｅｃｔｅｄ ｐｒｉｍｉｔｉｖｅ ｄａｔａ．Ａｎｄ ａｃｃｏｒｄｉｎｇ ｔｈｉｓ，ｉｔ ｈａｓ￣ｒｍｅｄ ｍａｎｙ ｋｉｎｄｓ ｏｆ ＩＤ ｍｅｔｈｏｄｓ．Ｂａｓｅｄ ｏｎ ｔｈｅ ａｂｏｖｅ ｒｅｓｅａｒｃｈ，ｔｈｉｓ ｔｅｘｔ ｈａｓ ｐｒｏｐｏｓｅｄ ａ ｋｉｎｄ ｏｆ ＩＤ ｍｏｄｅｌ，ａｎｄ ｐｒｏｐｏｓｅｄ ａ ｋｉｎｄ ｏｆ ｉｍｐｒｏｖｅｍｅｎｔｓ ｔｒａｉｎ ａｌｇｏｒｉｔｈｍ．Ｗｅ ａｎａｌｙｓｅｄ，ｄｅｓｉｇｎｅｄ ａｎｄ ｒｅａｌｉｚｅｄ ｔｈｅ ｋｅｙ ｐａｒｔ ｏｆ ｔｈｅ ｍｏｄｅｌ ａｔ ｌａｓｔ，ａｎｄ ｃａｒｒｉｅｄ ｏｎ ｔｈｅ ｒｅｌｅｖａｎｔ ｅｘｐｅｒｉｍｅｎｔ． Ｋｅｙ ｗｏｒｄｓ：ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ：ＢＰ ａｌｇｏｒｉｔｈｍ ［责任编辑吴保奎］
