CN112052450B - 一种基于否定选择算法的入侵检测方法及装置 - Google Patents

Abstract

本发明提出一种基于否定选择算法的入侵检测方法及装置。本发明方法首先将数据集所表示的特征空间进行网格划分，形成若干个等大网格对象。算法的目的是找出检测器尽可能覆盖的非自体区域，由于空的网格对象里不含自体数据，等同于非自体区域，故可将空的网格对象直接作为候选检测器；对非空的网格对象，依次在每个非空网格对象中利用传统算法生成候选检测器以减少距离计算的时间代价，提高检测器生成效率，算法以期望的非空网格对象区域覆盖率作为终止条件。实验结果表明该算法的效率与性能明显优于经典的否定选择算法。

Description

一种基于否定选择算法的入侵检测方法及装置

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于否定选择算法的入侵检测方法及装置。

背景技术

入侵检测(Intrusion Detection)是对那些企图破坏计算机或者计算机网络机密性、完整性、安全性等特征进行识别的过程。入侵检测的实质是通过对计算机主机或者计算机网络关键信息的分析，提取其中主要特征，与基础通用的计算机模式做相应对比，然后做出智能判断。由于网络安全的重要性，国内外学者尝试将各领域算法应用到入侵检测，常用的方法包括：人工免疫***的系列算法、人工神经网络、群智能算法、支持向量机等。

目前主要的入侵检测问题解决方法及其缺陷如下：

(1)传统的入侵检测技术在处理大规模网络数据时，处理速度较慢，实时性不高，并且不能有效的从大量数据中提取到有效特征，检测效率较低。

(2)传统入侵检测技术在面对复杂多变的网络环境时，经常发生漏报、误报等现象。

理想的入侵检测方法应该能够准确检测到入侵活动，并能够在检测到入侵活动时迅速做出反应，这些特性与生物免疫***有着较大的相似性。人工免疫***是受生物免疫***的功能、原理和方法所启发解决计算机领域问题的一种仿生智能计算方法。人工免疫***通过模拟生物免疫***对外界病原体的处理方式设计免疫模型和免疫算法，研究主要集中在免疫识别、免疫学习、免疫记忆、克隆选择和免疫网络等方面，其中免疫识别模型中的否定选择算法和克隆选择算法常用来解决入侵检测问题。

否定选择算法已广泛应用于网络入侵检测，但否定选择算法在解决入侵检测问题时仍然存在误报率高、准确率低以及检测器集合冗余度高等问题。如，ZHOU J等人提出了半径可变的实值否定选择算法(V-Detector),对于随机生成的候选检测器，通过计算与候选检测器距离最近的自体的距离来确定检测器半径，虽然一定程度上减少了检测器冗余，但仍然不能有效解决“黑洞”问题；LIU Z等人提出了一种改进的基于子空间密度搜索的否定选择算法(SDS-RNSA)，通过子空间密度搜索算法来获取样本数据的稠密子空间区域，并在每个子空间区域生成检测器来提高算法的效率和性能，但检测过程中误报率略高；CHEN W等人提出了一种基于抗原软子空间聚类的否定选择算法(ASSC-NSA)，该算法利用抗原软子空间聚类计算出不同种类抗原各个关键特征及其权值，然后通过这些关键特征引导检测器生成以有效地减少检测器冗余，但该算法检测器生成效率不高。

名词解释：

否定选择算法：否定选择算法是一种受生物免疫***中胸腺T细胞生成机制启发而设计的新型智能算法；

自体(Self):本发明特指入侵检测中的正常行为；

非自体(Nonself):本发明特指入侵检测中的入侵行为；

网格划分(Grid partition)：网格划分是一种数据预处理的方法，把待处理模型分成很多小的单元来分别执行想要的操作从而提高执行效率。

发明内容

本发明针对现有技术中存在的技术问题，提供一种基于网格划分的实值否定选择算法，将网格划分的方法应用到否定选择算法的检测器生成阶段，有效提高了检测器生成效率和检测率。

本发明解决上述技术问题的技术方案如下：

一种基于否定选择算法的入侵检测方法，包括以下步骤：

对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合；所述训练集数据仅包含自体数据；

构建初始值为空值的检测器集合，将空网格对象所表示的区域作为非自体区域，并将非自体区域所表示的范围作为成熟的检测器，加入到检测器集合中；

利用检测器生成算法依次在每个非空网格对象中生成检测器，直到所有的非空网格对象内检测器生成完毕；

利用所述检测器集合中的检测器对待检测数据进行入侵检测。

本发明的有益效果是：本发明提出了一种基于网格划分的否定选择算法将其应用于入侵检测。该方法对数据集所在的特征空间进行网格划分，形成若干个等大的空网格对象和非空网格对象，将空网格对象集直接作为检测器，并对于非空网格对象集，依次在每个网格对象中利用传统算法生成候选检测器，从而提高检测器生成效率。与传统基于否定选择算法的入侵检测方法相比，本发明有以下几个优点：

(1)本发明将网格划分的方法应用到否定选择算法的检测器生成阶段，从而提高检测器生成效率，有效地解决了传统否定选择算法中检测器训练的时间代价随自体数量呈指数增长这一难题，使得入侵检测效率有效提高。

(2)传统入侵检测方法，经常发生漏报、误报，该方法有效降低了入侵检测过程中的误报率，提高了检测过程中的检测率。

进一步的，所述的对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合，包括：

将训练集数据所在的特征空间的每一维划分成相同的段数，形成多个等大的网格对象，并统计划分出空网格对象集合和非空网格对象集合；

其中网格划分长度L通过下式确定：

其中，[l_i,h_i)为训练集数据在第i维度的区间范围，f为特征空间每一维划分的段数。

进一步的，在网格划分时，首先根据初始设定的划分段数f对特征空间的每一维进行网格划分，将非空网格对象记为N_G，将非空网格对象数目记为num(N_G)，若num(N_G)满足划分终止条件S则划分结束，否则令f＝f+1，对所述特征空间重新进行网格划分，直到满足划分终止条件。

进一步的，所述的利用检测器生成算法依次在每个非空网格对象中生成检测器，直到所有的非空网格对象内检测器生成完毕，包括：

S401，定义检测器重复数量计数器m和成熟检测器个数计数器t；

S402，选取非空网格集合中的一个网格对象，在该网格对象所表示的范围内随机生成候选检测器a，如果检测器a在成熟检测器所表示的范围内，则令m＝m+1；

S403，计算候选检测器a与距离最近的自体数据之间的距离r，如果a与最近的自体数据之间的距离大于r，则递增t，令t＝t+1，否则剔除a，并跳转至步骤S402；

S404，非空网格对象中生成检测器的期望覆盖率大于或等于期望覆盖率p时，该网格对象内生成检测器完成，利用下式判断检测器生成是否达到中止条件，

其中，p为期望覆盖率，Q和Z_a是上式中的条件控制参数，Q用来判别何时清空计算器，Q＝max(5/p,5/(1-p))，Z_a是很小的常数，用来判断是否继续生成检测器，本发明取Z_a＝0.001；

若converage(p,t,m)＝-1，则清空计数器，令t＝m＝0，并跳转至步骤S402，若converage(p,t,m)＝0，则直接跳转至步骤S402，若converage(p,t,m)＝1，则表示算法达到期望覆盖率，终止算法。

另一方面，本发明还提供一种基于否定选择算法的入侵检测装置，包括

网格划分模块，用于对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合；所述训练集数据仅包含自体数据；

检测器构建模块，用于构建初始值为空值的检测器集合，将空网格对象所表示的区域作为非自体区域，并将非自体区域所表示的范围作为成熟的检测器，加入到检测器集合中；用于利用检测器生成算法依次在每个非空网格对象中生成检测器，直到所有的非空网格对象内检测器生成完毕；

检测模块，用于利用所述检测器集合中的检测器对待检测数据进行入侵检测。

附图说明

图1为本发明实施例提供的一种基于否定选择算法的入侵检测装置结构原理图；

图2图3为二维训练集上网格划分前后的数据分布图；其中，图3中白色网格为空网格对象，深灰色网格为非空网格对象，图2和图3中的白色圆圈代表自体数据；

图4为本发明实施例提供的入侵检测方法流程图。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

本发明的目的在于利用否定选择算法与网格划分相结合来解决入侵检测问题。传统否定选择算法随机生成候选检测器与全部的自体数据进行匹配，再去除无效的检测器(识别了自体的和重复的检测器)，导致生成的检测器大量冗余且难以覆盖全面非自体区域，且该过程的检测器生成效率较低。

首先，本发明实施例提供一种基于否定选择算法的入侵检测装置，如图1所示，包括：

网格划分模块，用于对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合；所述训练集数据仅包含自体数据；

检测器构建模块，用于构建初始值为空值的检测器集合，将空网格对象所表示的区域作为非自体区域，并将非自体区域所表示的范围作为成熟的检测器，加入到检测器集合中；用于利用检测器生成算法依次在每个非空网格对象中生成检测器，直到所有的非空网格对象内检测器生成完毕；

检测模块，用于利用所述检测器集合中的检测器对待检测数据进行入侵检测。

在此基础上，针对检测器生成效率低这一问题，本发明实施例提出一种基于网格划分的否定选择算法。算法首先将数据集所表示的特征空间进行网格划分，形成若干个等大网格对象。算法的目的是找出检测器尽可能覆盖的非自体区域，由于空的网格对象里不含自体数据，等同于非自体区域，故可将空的网格对象直接作为候选检测器；对非空的网格对象，依次在每个非空网格对象中利用传统算法生成候选检测器以减少距离计算的时间代价，提高检测器生成效率，算法以期望的非空网格对象区域覆盖率作为终止条件。实验结果表明该算法的效率与性能明显优于经典的否定选择算法。

具体的，基于网格划分的否定选择算法主要分为三个部分：第一部分，网格划分阶段，通过网格划分算法对自体数据所在的特征空间进行划得到非空网格对象集合空网格对象集；第二部分，空网格生成检测器阶段，将空网格对象所表示的区域作为非自体区域加入到检测器集合中；第三部分，非空网格生成检测器阶段，利用检测器生成算法依次在每个非空网格对象中生成检测器，直到所有的非空网格对象内检测器生成完毕。

进一步的，本实施例采用如下方法对本技术方案进行详细说明：

步骤1，实验数据集及预处理

KDDCup99数据集是提取的网络流量入侵检测数据，是网络入侵检测领域的基准数据，为网络入侵检测的研究奠定了基础。该数据集有41个固定的特征属性和1个类标识，标识用来表示该条连接记录是正常的，或是某个具体的攻击类型，具体分类标识包括Normal、DOS、R2L、U2R、Probing五大类。由于该数据集较大，且存在很多重复的数据，本文选取该数据集的四个子数据集进行实验(分别为KDDTrain+，KDDTest，KDDTest+,KDDTest-21)。实验前对四个子数据集进行了线性判别分析法(Linear Discriminant Analysis,LDA)降维和归一化处理，NSL-KDD数据集基本信息如下表：

数据集	数据总量	正常数据	攻击数据	特征维数
					KDDTrain+	125973	67343	58630	41
KDDTest	49403	15236	34167	41
					KDDTest+	22544	9711	12833	41
KDDTest-21	11850	2152	9698	41

步骤2，样本的初始化以及参数初始化设置

在本发明中，抗原表示表示各种类型的网络流量数据，包括攻击数据与正常数据，抗体表示检测器，本实验取KDDTrain+数据集的正常数据作为训练集，KDDTest、KDDTest+、KDDTest-21作为测试集，设置自体半径r为每个训练数据在特征空间中所表示的范围，n为训练数据集个数，终止条件S：

式中c控制参数，用来控制每个网格对象中的网格密度，在本发明中，针对KDDCup数据集c＝25。则实验参数设置如下：

数据集	期望覆盖率	自体半径r	划分终止条件S
				KDDTrain+	99％	0.015	n/25

步骤3，网格划分

针对入侵检测问题，使用网格划分算法，将样本数据所在的特征空间的每一维划分成相同的段数，形成若干个等大的网格对象，并统计分出空网格对象和非空网格对象。因此网格长度L为：

其中，[l_i,h_i)为入侵检测数据集的样本数据在第i维度的区间范围，f为特征空间每一维划分的段数。

针对二维数据集A，其划分前后的数据分布如图2图3所示。

步骤4，空网格检测器生成

针对上一步划分的网格对象，取出空网格对象，直接将每个空网格对象所表示的范围作为成熟的检测器，加入到最终的检测器集合中。

步骤5，非空网格生成候选检测器

取出非空网格对象集中的一个网格对象，在该网格对象所表示的范围内随机生成候选检测器a，如果a在成熟检测器所表示范围内，则递增检测器重复数量计数器m，令m＝m+1。

步骤6，候选检测器有效性判断

计算候选检测器a到最近的正常数据抗原之间的距离r，如果a不在正常数据半径范围内，则递增成熟检测器个数计数器t，令t＝t+1，否则剔除a，并回到步骤5。

步骤7，终止条件判断

每个非空网格对象中生成检测器的期望覆盖率大于或等于期望覆盖率p时，该网格对象内生成检测器完成，跳转回步骤5。终止条件判断：

其中，p为期望覆盖率，Q和Z_a是上式中的条件控制参数，Q用来判断何时清空计算器，Q＝max(5/p,5/(1-p))；Z_a是很小的常数，用来判断是否继续生成检测器，本发明取Z_a＝0.001；

若converage(p,t,m)＝-1，则清空计数器，令t＝m＝0，并跳转至步骤S402，若converage(p,t,m)＝0，则直接跳转至步骤S402，若converage(p,t,m)＝1，则表示算法达到期望覆盖率，终止算法。

由于在检测器生成过程中，只需要与对应网格对象中的自体数据进行比较，减少了距离计算的代价，故能有效减少检测器生成的时间。

基于网格划分的否定选择算法流程如图4所示：

步骤8，实验与分析

本发明实验的主要目的是验证否定选择算法在应用入侵检测中时是否存在第一节所述的不足，以及基于网格划分的否定选择算法是否能够有针对性的解决这些不足。为了使实验结果更准确，取20次实验结果的平均值，在三个测试集上的运行时间和检测率如下表所示：

从实验结果中可以看出，在三个测试集上，本发明提出的GP-RNSA与V-Detector和SDS-RNSA相比，运行时间明显提高。同时，本发明提出的改进否定选择算法在检测率上与SDS-RNSA相似，但明显高于V-Detector。这是因为进行网格划分后，训练集数据大多集中在少数网格对象中，在生成检测器时，算法直接将空网格对象作为检测器，然后在非空网格对象中利用传统算法生成检测器，由于在同一网格对象中生成检测器只需要和同一网格对象里的数据进行比较，故本文算法能在短时间内生成大量检测器且效果较好。实验结果表明，本发明提出的改进的克隆选择算法作为一种新的解决入侵检测的方法，具有很高的效率以及检测率。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (3)

1.一种基于否定选择算法的入侵检测方法，其特征在于，包括以下步骤：

对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合；所述训练集数据仅包含自体数据；

构建初始值为空值的检测器集合，将空网格对象所表示的区域作为非自体区域，并将非自体区域所表示的范围作为成熟的检测器，加入到检测器集合中；

利用检测器生成算法依次在每个非空网格对象中生成检测器，直到所有的非空网格对象内检测器生成完毕；

利用所述检测器集合中的检测器对待检测数据进行入侵检测；

所述的对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合，包括：

将训练集数据所在的特征空间的每一维划分成相同的段数，形成多个等大的网格对象，并统计划分出空网格对象集合和非空网格对象集合；

其中网格划分长度L通过下式确定：

其中，[l_i,h_i)为训练集数据在第i维度的区间范围，f为特征空间每一维划分的段数；

所述的利用检测器生成算法依次在每个非空网格对象中生成检测器，直到所有的非空网格对象内检测器生成完毕，包括：

S401，定义检测器重复数量计数器m和成熟检测器个数计数器t；

S402，选取非空网格集合中的一个网格对象，在该网格对象所表示的范围内随机生成候选检测器a，如果检测器a在成熟检测器所表示的范围内，则递增m；

S403，计算候选检测器a与距离最近的自体数据之间的距离r，如果a与最近的自体数据之间的距离大于r，则递增t，令t＝t+1，否则剔除a，并跳转至步骤S402；

S404，非空网格对象中生成检测器的期望覆盖率大于或等于期望覆盖率p时，该网格对象内生成检测器完成，利用下式判断检测器生成是否达到中止条件，

其中，p为期望覆盖率，Q和Z_a是控制参数；Q用来判别何时清空计算器，Q＝max(5/p,5/(1-p))；Z_a为常数，用来判断是否继续生成检测器；

若converage(p,t,m)＝-1，则清空计数器，令t＝m＝0，并跳转至步骤S402，若converage(p,t,m)＝0，则直接跳转至步骤S402，若converage(p,t,m)＝1，则表示算法达到期望覆盖率，终止算法。

2.根据权利要求1所述的方法，其特征在于，在网格划分时，首先根据初始设定的划分段数f对特征空间的每一维进行网格划分，将非空网格对象记为N_G，将非空网格对象数目记为num(N_G)，若num(N_G)满足划分终止条件S则划分结束，否则令f＝f+1，对所述特征空间重新进行网格划分，直到满足划分终止条件；其中

式中n是训练集数据个数，c控制参数，用来控制每个网格对象中的网格密度。

3.一种基于否定选择算法的入侵检测装置，其特征在于，包括

网格划分模块，用于对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合；所述训练集数据仅包含自体数据；

检测器构建模块，用于构建初始值为空值的检测器集合，将空网格对象所表示的区域作为非自体区域，并将非自体区域所表示的范围作为成熟的检测器，加入到检测器集合中；用于利用检测器生成算法依次在每个非空网格对象中生成检测器，直到所有的非空网格对象内检测器生成完毕；

检测模块，用于利用所述检测器集合中的检测器对待检测数据进行入侵检测；

所述的对训练集数据所在的特征空间进行网格划分得到非空网格对象集合和空网格对象集合，包括：

将训练集数据所在的特征空间的每一维划分成相同的段数，形成多个等大的网格对象，并统计划分出空网格对象集合和非空网格对象集合；

其中网格划分长度L通过下式确定：

其中，[l_i,h_i)为训练集数据在第i维度的区间范围，f为特征空间每一维划分的段数；

所述的利用检测器生成算法依次在每个非空网格对象中生成检测器，直到所有的非空网格对象内检测器生成完毕，包括：

S401，定义检测器重复数量计数器m和成熟检测器个数计数器t；

S402，选取非空网格集合中的一个网格对象，在该网格对象所表示的范围内随机生成候选检测器a，如果检测器a在成熟检测器所表示的范围内，则递增m；

S403，计算候选检测器a与距离最近的自体数据之间的距离r，如果a与最近的自体数据之间的距离大于r，则递增t，令t＝t+1，否则剔除a，并跳转至步骤S402；

S404，非空网格对象中生成检测器的期望覆盖率大于或等于期望覆盖率p时，该网格对象内生成检测器完成，利用下式判断检测器生成是否达到中止条件，

其中，p为期望覆盖率，Q和Z_a是控制参数；Q用来判别何时清空计算器，Q＝max(5/p,5/(1-p))；Z_a为常数，用来判断是否继续生成检测器；

若converage(p,t,m)＝-1，则清空计数器，令t＝m＝0，并跳转至步骤S402，若converage(p,t,m)＝0，则直接跳转至步骤S402，若converage(p,t,m)＝1，则表示算法达到期望覆盖率，终止算法。