基于神经网络的入侵检测系统的设计与实现

肖中峰 何思熙

摘要：入侵检测系统可以及时发现和响应网络攻击，保护重要的数据和资源。基于神经网络的入侵检测系统是一种利用神经网络技术来宾现入侵检测的方法，通过对现有攻击方法和模式的模拟仿真，利用大量数据的训练来学习特征和模式，并用于分类、识别和预测等任务。该方法具有一定的泛化能力和自适应能力．可以处理大规模和复杂的数据，提高检测的准确率和鲁棒性。文章基于递归神经网络搭建了一个入侵检测系统的框架并用NSL-KDD数据集做了训练和测试。实验结果表明，入侵检测系统框架中的LSTM网络架构表现最好，VAC，TAC，FIS分别达到了98.16%，84.76％，98.48%，可以满足实际应用需求。

关键词：循环神经网络；入侵检测系统；XGBoost；Softmax

中图法分类号：TF393 文献标识码：A

１ 概述

入侵检测系统（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ，ＩＤＳ）在计算机安全领域具有广泛的应用，可以帮助受保护的单位及时发现和响应网络攻击，保护重要的数据和系统资源［１］ 。入侵检测系统可以用于监控公司网络［２］ ，也可以为其他公司提供软件服务，如电子邮件、网站和应用软件等［３］ 。虽然入侵检测系统可以保护计算机系统和网络安全，但也存在一些挑战和不足。

例如，入侵检测系统可能会产生误报，即将正常的操作误判为攻击行为，或者漏报少报，无法检测到真正的攻击。入侵检测系统还需要不断更新和维护，才能应对新的攻击技术和入侵模式。

２ 基于神经网络入侵检测系统

基于签名的入侵检测是最常见的检测方法之一，它使用已知的攻击签名库来识别网络流量中的恶意操作。这种方法主要依赖于已知的攻击模式和特征，因此只能识别那些已知的攻击，并且需要经常更新签名库，以保持监测的全面性。基于网络行为的入侵检测则是一种更加灵活的方法，它通过分析系统和网络的行为来识别异常行为和攻击。这种方法不依赖于已知的攻击签名，而是基于对正常系统和网络调用行为的理解，通过检测异常行为来识别潜在的攻击。基于行为的入侵检测可以识别新的未知攻击，但也会产生较多误报。除了基于签名和基于行为的入侵检测方法，还有一些其他的入侵检测技术，如基于支持向量机的方法、神经网络方法等。

基于神经网络的入侵检测系统是一种利用神经网络技术来实现入侵检测的方法。神经网络是一种模仿人脑神经系统的计算模型，它可以通过对大量数据的训练来学习特征和模式，并用于分类、识别和预测等任务。与传统的入侵检测系统相比，基于神经网络的入侵检测系统具有以下优点：对于新的未知攻击，具有一定的泛化能力和自适应能力，可以识别和防范新的攻击模式和类型；可以处理大规模和复杂的数据，可以自动提取和学习数据中的特征和模式，減少人工干预；可以通过多层网络学习数据的高层次特征和抽象表示，提高检测的准确率和鲁棒性。但该系统也存在一些挑战和限制。例如，需要大量的数据进行训练和调优，如果数据质量不好或者数据不足，那么可能会影响检测的准确率。此外，神经网络具有一定的复杂性和计算资源需求，需要较高的计算性能和存储容量。

基于上述问题，本文实现了一个使用机器学习技术的ＩＤＳ 框架， 该框架使用多种递归神经网络（Ｒｅｃｕｒｒｅｎｔ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ，ＲＮＮ） 和基于ＸＧＢｏｏｓｔ 的特征选择方法进行对比。为了评估所提出的ＩＤＳ 框架的性能，本文采用了ＮＳＬ⁃ＫＤＤ 基准数据集。实验表明，与现有方法相比，本文提出的ＩＤＳ 框架中的ＬＳＴＭ 网络架构表现最好。

３ 检测系统基本流程及系统架构设计

３．１ 实验数据及预处理

在基于神经网络的入侵检测系统中，通常会采用深度学习技术，使用多层神经网络对数据进行处理和学习。一般而言，基于神经网络的入侵检测系统主要包含２ 个部分：训练和测试。为保障入侵检测系统的普遍适用性和稳定性，实验数据需要选取具有代表性的数据集，实验数据集应具有数据量大、攻击类别全面、模拟性强以及能够代表现实网络攻击行为的特点。本研究采用ＫＤＤ’９９ 数据集的修订版本ＮＳＬ⁃ＫＤＤ，利用该数据集模拟网络环境，对不同类型的网络攻击行为进行仿真。数据预处理主要包含２ 方面：一是将数据集中的符号特征转换成计算机能识别的数值型；二是经变换后的数据特征差别性较大，不利于模型训练，在不破坏数据映射的情况下，需进行归一化处理。

３．２ ＬＳＴＭ 网络架构

ＲＮＮ 能够在不同的层之间循环，并且还能够临时存储信息以供以后使用。标准ＲＮＮ 的结构如图１ 所示。ＮＮ 表示标准神经网络，ｘｐ 表示输入和ｈｐ 是输出。根据定义，ＲＮＮ 被认为是深度神经网络，因为有不同的层来处理信息。如图１ 等号右侧所示，展开的标准ＲＮＮ 说明ＲＮＮ 构造的深度。尽管标准ＲＮＮ 在执行各种预测任务时有效，但它们确实存在梯度消失的问题。

为解决上述问题，本研究提出了一种新的ＩＤＳ 框架。初始阶段包括收集模型构建所需的数据。所提出的体系结构的第二层是数据处理和特征提取阶段。

在这一步骤中，对特定数据集进行标准化，以确保所有分类属性都正确编码，所有数字特征都标准化。一旦数据集被清理和规范化，就应用ＸＧＢｏｏｓｔ 算法。该过程生成包含特征重要性（Ｆｅａｔｕｒｅ Ｉｍｐｏｒｔａｎｃｅ，ＦＩ）值的向量，并且基于经验选择的ＦＩ 阈值来选择最佳特征子集。架构的第三层是模型构建阶段。在这一阶段，有３ 个主要的独立操作，即训练、验证和测试。

标准ＲＮＮ、长短期记忆递归网络（Ｌｏｎｇ Ｓｈｏｒｔ ＴｅｒｍＭｅｍｏｒｙ，ＬＳＴＭ）和门控循环单元（Ｇａｔｅ Ｒｅｃｕｒｒｅｎｔ Ｕｎｉｔ，ＧＲＵ）的配置如图２ 所示。第一层是输入层，它输入到ＲＮＮ／ ＬＳＴＭ／ ＧＲ 深层的构造中。然后通过密集的ＮＮ 层（可以是单层人工神经网络（Ａｒｔｉｆｉｃｉａｌ ＮｅｕｒａｌＮｅｔｗｏｒｋ，ＡＮＮ）或多层感知器（Ｍｕｌｔｉ⁃Ｌａｙｅｒ Ｐｅｒｃｅｐｔｒｏｎ，ＭＬＰ））计算来自深层的信息。最后，通过Ｓｏｆｔｍａｘ（式１）用于多类分类配置，该Ｓｏｆｔｍａｘ 激活函数返回一个向量，该向量包含相加为１ 的值，最高值表示预测的结果，表达式为：

３．３ 模型训练及测试

在训练阶段，系统使用已知的攻击数据和正常数据来训练神经网络，使其能够学习到攻击的特征和模式。这个过程需要使用大量的数据进行训练，并对神经网络进行多轮迭代训练，以提高其准确率和鲁棒性。在测试阶段，系统使用已经训练好的神经网络对新的数据进行分类和预测。对于入侵检测系统而言，新的数据就是系统中检测到的网络流量、日志数据和系统行为等。当新的数据经过神经网络处理后，系统会根据输出结果判断数据是否属于正常的行为或者是否存在入侵行为。

４ 实验分析

４．１ 实验环境和数据集介绍

本文使用Ｐｙｔｈｏｎ 工具包Ｓｃｉｋｉｔ⁃Ｌｅａｒｎ 和Ｋｅｒａｓ ＭＬ及ＤＬ 进行实验，采用网络安全数据集ＮＳＬ⁃ＫＤＤ 训练并测试网络。

在硬件系统方面，所有模拟实验均在Ｗｉｎｄｏｗｓ １０操作系统的ＤＥＬＬ⁃１５３０００ 上运行， 处理器为： Ｉｎｔｅｌ（Ｒ）⁃Ｃｏｒｅ（ＴＭ）ｉ７⁃８５６８Ｕ。

ＮＳＬ⁃ＫＤＤ 數据集包含大量的网络流量数据和入侵攻击数据，这些数据来自一个基于模拟的网络环境。数据集中的网络流量数据包括ＴＣＰ 和ＵＤＰ 协议的连接记录和特征，入侵攻击数据包括２２ 种不同类型的攻击，如ＤｏＳ，Ｒ２Ｌ，Ｕ２Ｒ 和ｐｒｏｂｅ 等。同时，ＮＳＬ⁃ＫＤＤ 数据集还包含大量的正常数据，可以用于建立入侵检测模型的基准。ＮＳＬ⁃ＫＤＤ 数据集共包含４ 个子集，分别是训练集、测试集、２０％交叉验证集和完整数据集。其中，训练集包含１２５ ９７３ 个数据样本，测试集包含２２ ５４４ 个数据样本，２０％交叉验证集包含２５ １９２个数据样本，完整数据集包含１４８ ５１７ 个数据样本。

数据集中的特征包括４１ 个基本特征和１４ 个附加特征，涵盖网络连接的各个方面，如协议类型、源地址、目标地址、源端口、目标端口等。

４．２ 实验结果分析

本文通过ＮＳＬ⁃ＫＤＤ 数据集中的５ 个类来进行实验验证，使用Ｓｏｆｔｍａｘ 激活函数的标准ＲＮＮ，ＬＳＴＭ 和ＧＲＵ 的分类方案的结果对比如表１ 所列。结果表明，３ 种网络都是大约在隐藏层中使用１５０ 个ＲＮＮ 单元时效果最佳，此时简单ＲＮＮ 网络ＶＡＣ 为９７．６４％，ＴＡＣ 为８３．９４％，Ｆ１Ｓ 为９７．９６％，并在１０８．３２ ｓ 内完成了训练。关于ＬＳＴＭ 方法ＶＡＣ 为９８．６１％，ＴＡＣ 为８４．７６％，Ｆ１Ｓ 为９８．４８％，。在ＧＲＵ 算法的实例中，ＶＡＣ 为９８．４２％，ＴＡＣ 为８４．６４％，Ｆ１Ｓ 为９８．４５％，训练时间为１４１．４４ ｓ。通过对比可以看出，基于ＸＧＢｏｏｓｔ的ＬＳＴＭ 分类器具有最好的效果。

５ 结束语

入侵检测是一种重要的计算机安全技术，它是为了保护计算机系统和网络免受恶意攻击和未经授权的访问而设计的，可以监控网络和系统的活动，并检测出不正常的行为和攻击，帮助管理员及时发现和响应安全问题。本研究提出了一种ＩＤＳ 框架的实现方案，该框架使用不同类型的ＲＮＮ 技术以及基于ＸＧＢｏｏｓｔ 的特征选择方法做对比，并使用ＮＳＬ⁃ＫＤＤ 数据集评估分类器的性能。实验结果表明， 在标准ＲＮＮ，ＬＳＴＭ 和ＧＲＵ 的分类方案的结果中，ＬＳＴＭ 的效果最好，指标ＶＡＣ，ＴＡＣ，Ｆ１Ｓ 分别达到了９８．１６％，８４．７６％，９８．４８％。在未来的研究中，我们还可能对多种网络的混合方法进行研究。

参考文献：

［１］ 刘海燕，张钰，毕建权．基于分布式及协同式网络入侵检测技术综述［Ｊ］．计算机工程与应用，２０１８，５４（８）：１⁃６＋２０．

［２］ 刘奇旭，王君楠，陈艳辉，等．对抗机器学习在网络入侵检测领域的应用［Ｊ］．通信学报，２０２１，４２（１１）：１⁃１２．

［３］ 古险峰．一种基于数据挖掘的网络入侵检测系统设计与实现［Ｊ］．河南科技学院学报（自然科学版），２０２０，４８（６）：５４⁃５８＋６７．

作者简介：

肖中峰（１９９３—），硕士，助教，研究方向：计算机软件、网络安全、智慧城市。

何思熙（１９９５—），硕士，助教，研究方向：群体安全智能、人工智能。