【正文】 X解碼方法確定運行參數(shù)編碼方法設(shè)計遺傳算子確定決策對象、約束條件確定適宜度轉(zhuǎn)換規(guī)則建立優(yōu)化模型遺傳算法第一步第四步第三步第二步第五步第七步第六步圖 42 遺傳算法的構(gòu)造過程 3）遺傳算子基本遺傳算法使用下述三種遺傳算子。選擇運算使用比例選擇算子。選擇是用來確定重組或交叉?zhèn)€體，以及被選個體將產(chǎn)22生多少個子代個體。首先計算適應(yīng)度，后是實際的選擇，按照適應(yīng)度進行父代個體的選擇。 交叉運算使用單點交叉算子?；蛑亟M是結(jié)合來自父代交配種群中的信息產(chǎn)生新的個體。變異運算使用基本位變異算子或均因變異算子。交叉之后子代經(jīng)歷的變異，實際上是子代基因按小概率擾動產(chǎn)生的變化。 基本遺傳算法的運行參數(shù)基本遺傳有下述 4 個運行參數(shù)需要提前設(shè)定。1）M：群體大小，即群體中所含個體的數(shù)量，一般取為 20~100。2）T：遺傳運算的終止進化代數(shù)，一般取為 100~500。3）pc：交叉概率，一般取為 ~。4）pm：變異概率，一般取為 ~。這 4 個運行參數(shù)對遺傳算法的求解結(jié)果和求解效率都有一定的影響。種群規(guī)模過小將影響搜索范圍，從而得不到最優(yōu)解；種群規(guī)模過大則搜索時間長，搜索效率低。交叉和變異概率 Pc、Pm 越小，則算法的開發(fā)能力越強，越容易探測到新的超平面，但個體的平均適應(yīng)值波動較大；相反，Pc、Pm 越小，則算法的開發(fā)能力越強，使得較優(yōu)個體不易被破壞，個體的平均適應(yīng)值平衡。 基于遺傳算法的集成神經(jīng)網(wǎng)絡(luò)檢測方法 算法思想與步驟 在此采用的集成神經(jīng)網(wǎng)絡(luò)對網(wǎng)絡(luò)入侵的學(xué)習(xí)分為兩個步驟，首先，采用單個神經(jīng)網(wǎng)絡(luò)分別對樣本進行訓(xùn)練，然后，通過遺傳算法尋找那些差異較大的神經(jīng)網(wǎng)絡(luò)進行集成，得到最后的結(jié)果 。 個體網(wǎng)絡(luò)的構(gòu)建 構(gòu)建三種不同類型的神經(jīng)網(wǎng)絡(luò)即 BP 神經(jīng)網(wǎng)絡(luò)、RBF 神經(jīng)網(wǎng)絡(luò)和自組織競爭人工神經(jīng)網(wǎng)絡(luò) ，每一類按照隱含層神經(jīng)元個數(shù)和學(xué)習(xí)率的不同分為 6 個神經(jīng)網(wǎng)絡(luò)，共計 18 個神經(jīng)網(wǎng)絡(luò)，如下圖 44 所示 。23數(shù) 據(jù) 源BP 神經(jīng)網(wǎng)絡(luò)RBF 神經(jīng)網(wǎng)絡(luò)自組織神經(jīng)網(wǎng)絡(luò)選擇個體網(wǎng)絡(luò)、集成輸出圖 43 神經(jīng)網(wǎng)絡(luò)集成的過程 個體網(wǎng)絡(luò)的選擇 首先訓(xùn)練出如前所述的 18 個個體神經(jīng)網(wǎng)絡(luò) ，然后通過遺傳算法選擇{ 18, }中適合組成集成神經(jīng)網(wǎng)絡(luò)的子集 S。集成神經(jīng)網(wǎng)絡(luò)中，每個個體網(wǎng)絡(luò)對應(yīng)18,染色體中的一位，每一位的取值為離散的 0 或 1，1 表示該神經(jīng)網(wǎng)絡(luò)參與集成，0 表示該神經(jīng)網(wǎng)絡(luò)不參與集成，染色體長度為 18，由此，體網(wǎng)絡(luò)的選擇轉(zhuǎn)化為在 18 維 01 空間中選擇最優(yōu)染色體的問題。 初始種群中的個體產(chǎn)生方法是先把某一種攻擊中的一條樣本數(shù)據(jù)送入 18 個神經(jīng)網(wǎng)絡(luò)，計算每個網(wǎng)絡(luò)的輸出，這些輸出與驗證集相比較，算出每一個個體網(wǎng)絡(luò)的泛化誤差 ，取泛化誤差最大的一個神經(jīng)網(wǎng)絡(luò)為 0，其余 17 個神經(jīng)網(wǎng)絡(luò)為 1，作為第一條染色體；取泛化誤差較大的兩個神經(jīng)網(wǎng)絡(luò)為 0，其余 16 個神經(jīng)網(wǎng)絡(luò)為 1，作為第二條染色體；依此方法產(chǎn)生五條染色體。初始種群中的其它染色體全部參與集成即 18 個神經(jīng)網(wǎng)絡(luò)全為 1。把集成神經(jīng)網(wǎng)絡(luò)平均誤差的倒數(shù)作為遺傳算法的適應(yīng)度，即 （49）??sfvijjiC2式中 V 為驗證集, 為個體網(wǎng)絡(luò) ， 為 個體網(wǎng)絡(luò)相關(guān)度 ，個體網(wǎng)絡(luò)相關(guān)jif, VijCjif,度定義為 （410）dxfxdfxPCjiij )()(()???24實驗中采用的遺傳算法描述如下：1)獨立訓(xùn)練 18 個神經(jīng)網(wǎng)絡(luò) 。 18,2)在 18 個神經(jīng)網(wǎng)絡(luò)中抽取六個子集 稱為父代。 6321,.ss3)對父代中的六個子集 ，采用遺傳算法進行交叉操作，形成它的下一代即子6321,.s代，也稱為第一代。 4)將提取的父代和生成的子代按公式(9)求出其適應(yīng)度。 5)在父代和子代組成的種群中，選取適應(yīng)度較大的一半個體作為新的種群，進行交叉操作，形成第二代個體。 6)重復(fù)前面的 4，5 步操作。 7)通過若干次循環(huán) ，當(dāng)適應(yīng)度大于某一閾值，即認為已局部優(yōu)化，再對這些局部優(yōu)化后的個體進行變異，直到適應(yīng)度已達到我們確定的目標(biāo)為止。 網(wǎng)絡(luò)的集成輸出 在此采用簡單平均法 ，即對所選取的個體神經(jīng)網(wǎng)絡(luò)的輸出值作簡單的算術(shù)平均，作為集成神經(jīng)網(wǎng)絡(luò)的總輸出，通過對總的輸出值選擇恰當(dāng)?shù)拈撝?，判斷網(wǎng)絡(luò)是否存在入侵行為。255 仿真實驗分析 matlab 神經(jīng)網(wǎng)絡(luò)工具箱實驗中軟件采用 Windows XP、Matlab。硬件采用 2．4G 奔騰 Ⅳ處理器 ，1G 內(nèi)存。在 MATLAB 中，使用其外帶的神經(jīng)網(wǎng)絡(luò)工具箱，新建一個基于神經(jīng)網(wǎng)絡(luò)的入侵檢測系統(tǒng)的仿真，神經(jīng)網(wǎng)絡(luò)工具箱如圖 51 所示。圖 51 神經(jīng)網(wǎng)絡(luò)工具箱 實驗數(shù)據(jù)源實驗的數(shù)據(jù)取自 KDDCUP09 數(shù)據(jù)集。 以下是某些數(shù)據(jù)包的信息：0,tcp,SF,181,5450,0,0,0,0,0,1,0,0,0,0,0,0,0,0,0,0,8,8,,9,9,0,,normal.0,tcp,smtp,SF,523,277,0,0,0,0,0,1,0,0,0,0,0,0,0,0,0,0,1,1,,55,108,,,normal.0,udp,domain_u,SF,32,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,1,3,,56,46,,,teardrop.0,icmp,ecr_i,SF,1032,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,511,511,,255,255,,,smurf.0,tcp,SF,54540,8314,0,0,0,2,0,1,1,0,0,0,0,0,0,0,0,0,5,5,,25265,255,,,land.0,icmp,eco_i,SF,8,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,1,19,,2,42,0,,dos. 入侵檢測數(shù)據(jù)集預(yù)處理實驗使用的訓(xùn)練數(shù)據(jù)取自 KDDCUP09 數(shù)據(jù)集。為了方便操作、區(qū)分正常事件與攻擊事件、提取攻擊事件的特征。實驗中，我們首先對數(shù)據(jù)集進行了預(yù)處理。預(yù)處理過程包括：編碼、特征分類、特征值歸一化，具體方法和步驟如下：Protocol_type 字段編碼：TCP UDP ICMP1 2 3攻擊類型編碼：Normal Back Buffer_overflow ftp_write Guess_passwd0 1 2 3 4Imap Ipsweep Land Loadmodule Multihop5 6 7 8 9Neptune Nmap Perl Phf Pod10 11 12 13 14Portsweep Rootkit Satan Smurf Spy15 16 17 18 19Teardrop Warezclient Warezmaster Dos20 21 22 23實驗中，為了便于處理和分析，我們對數(shù)據(jù)集中的連續(xù)特征值進行了歸一化處理。通過歸一化算法，數(shù)據(jù)集中的每一個連續(xù)型特征值被限定在[,]范圍內(nèi)。歸一化算法如下： MINAXx??其中：x 是連續(xù)型數(shù)值變量。MIN 和 MAX 分別是屬于 x 變量的特征值的最小值和最大值。 仿真實驗27 導(dǎo)入數(shù)據(jù)把要輸入的數(shù)據(jù)集和期望輸出的數(shù)據(jù)集導(dǎo)入 matlab，并分別命名為 book1 和 book2。如下圖所示圖 52 數(shù)據(jù)導(dǎo)入 訓(xùn)練過程單個神經(jīng)網(wǎng)絡(luò)對四種攻擊類型的訓(xùn)練過程如下圖 53 所示。28圖 53 單個神經(jīng)網(wǎng)絡(luò)訓(xùn)練過程首先，獨立訓(xùn)練 18 個神經(jīng)網(wǎng)絡(luò)，其中的 6 個 BP 網(wǎng)絡(luò)和 6 個 RBF 網(wǎng)絡(luò)都含有一個隱含層，隱含層神經(jīng)元數(shù)分別為 4，5，6 個, 學(xué)習(xí)率分別為 和 ，自組織競爭人工神經(jīng)網(wǎng)絡(luò)含一個競爭層，競爭層神經(jīng)元數(shù)分別為 4，5，6 個，學(xué)習(xí)率分別為 和，然后利用驗證集采用遺傳算法選擇部分神經(jīng)網(wǎng)絡(luò)進行集成。集成神經(jīng)網(wǎng)絡(luò)對四種攻擊的訓(xùn)練過程如圖 54。29圖 54 集成神經(jīng)網(wǎng)絡(luò)訓(xùn)練過程部分程序（BP 和 RBF）如圖 55。圖 55 matlab 程序 仿真實驗數(shù)據(jù)分析表 51 集成神經(jīng)網(wǎng)絡(luò)與單個最佳神經(jīng)網(wǎng)絡(luò)結(jié)果的比較類型 單個神經(jīng)網(wǎng)絡(luò)檢測率(％) 集成神經(jīng)網(wǎng)絡(luò)檢測率(％)smurf land DOS teardrop 平均 表 52 各類集成神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)算法檢測率的比較算 法 檢測率(％)遺傳算法 Luca Didaci 研究的多數(shù)投票法，平均算法和置信函數(shù)組合 [12]Sfinivas Makkamala 研究的最小平均誤差值 [13] 計算公式：檢測率=正確檢測數(shù)據(jù)包數(shù)/實際攻擊數(shù)據(jù)包數(shù)。從表 1 顯示的結(jié)果來看，集成神經(jīng)網(wǎng)絡(luò)對絕大部分類型入侵的檢測率均達到 90%以上。在所有的入侵中 land 攻擊的檢測率最高，而 teardrop 攻擊的檢測率最低。出現(xiàn)這種現(xiàn)象的原因可能與神經(jīng)網(wǎng)絡(luò)訓(xùn)練的樣本數(shù)有關(guān)，land 攻擊在訓(xùn)練庫中占的比例最大，而teardrop 攻擊在訓(xùn)練庫中占的比例最小。從表 1 中看出集成神經(jīng)網(wǎng)絡(luò) 4 類樣本數(shù)據(jù)中，3類的檢測率都高于單個檢測率最好的網(wǎng)絡(luò)。通過集成，系統(tǒng)的檢測率從 提高到30，提高了 個百分點。通過表 2 說明，使用遺傳算法的選擇集成與目前流行的多數(shù)選舉算法和最小平均值算法相比有更好的結(jié)果。結(jié)論本文探討了集成神經(jīng)網(wǎng)絡(luò)在入侵檢測方面的應(yīng)用，先說明了現(xiàn)在的網(wǎng)絡(luò)安全的嚴峻性和重要性，又對各種檢測系統(tǒng)進行了對比，說明它們的不足和局限性，指出神經(jīng)網(wǎng)絡(luò)應(yīng)用于入侵檢測系統(tǒng)具有廣闊的研究前景。然后對人工神經(jīng)網(wǎng)絡(luò)作進一步的分析，提出神經(jīng)網(wǎng)絡(luò)技術(shù)在入侵檢測中的應(yīng)用還存在缺陷和不足。從而提出了基于集成神經(jīng)網(wǎng)絡(luò)的入侵檢測系統(tǒng)。對基于集成神經(jīng)網(wǎng)絡(luò)的入侵檢測系統(tǒng)的工作原理作了深入的分析，特別是對集成學(xué)習(xí)的原理和遺傳算法作了詳細的分析，并指出了二者的優(yōu)越性。采用遺傳算法選擇個體網(wǎng)絡(luò)的神經(jīng)網(wǎng)絡(luò)集成有很多的優(yōu)點。首先，采用集成神經(jīng)網(wǎng)絡(luò)極大地提高神經(jīng)網(wǎng)絡(luò)的泛化能力。再者，采用遺傳算法對個體網(wǎng)絡(luò)進行選擇，利用了遺傳算法適用于大規(guī)模、高度非線性優(yōu)化的特性，從個體網(wǎng)絡(luò)所在的空間選擇處那些差異最大的個體，保證了集成學(xué)習(xí)后的泛化誤差向減小的方向發(fā)展。利用 KDDCup09 入侵檢測數(shù)據(jù)集和用攻擊工具進行模擬攻擊時捕獲的報文數(shù)據(jù)進行了仿真實驗 ，所得到的性能令人滿意。它與平均值法和多數(shù)選舉法比較，更適合于大規(guī)模神經(jīng)網(wǎng)絡(luò)的集成。由于集成神經(jīng)網(wǎng)絡(luò)克服了單個神經(jīng)網(wǎng)絡(luò)的缺陷，能夠較好地實現(xiàn)模式分類的智能化，它在網(wǎng)絡(luò)安全中的應(yīng)用將會越來越廣泛。31參考文獻[1][M]. 北京: 機械工業(yè)出版社,2022:1.[2][M]. 北京: 機械工業(yè)出版社,2022:131，146.[3][M]. 北京: 清華大學(xué)出版社,2022:134.[4]唐正軍,[M] .北京: 清華大學(xué)出版社,2022:134137.[5][M]. 北京 :高等教育出版社,2022:69. [6]鐘珞,饒文碧,鄒承明. 人工神經(jīng)網(wǎng)絡(luò)及其融合應(yīng)用技術(shù) [M].北京：科學(xué)出版社,2022:1.[7]侯媛彬 杜京義 汪梅 [M].西安：西安電子科技大學(xué)出版社 ,2022:15.[8]田景文 高美娟 [M].北京：北京理工大學(xué)出版,:2527.[9]鐘珞 鐃文碧 [M].北京：科學(xué)出版社 .[10]唐正軍 李建華著 入侵檢測技術(shù)[M]. 北京: 清華大學(xué)出版社,2022:.[11]Holland J H. Adaptation in Natural and Artificial :MIT Press,.[12]L Didaci，G Giacinto，and F Roli．Ensemble Learning for Intrusion Detection in Computer Networks[C]．Proc．of AI*IA，Workshop on“Apprendimento automatico：metodi e applicazioni”， Sia，Italy Sept11，2022:137159.[13] S Makkamala，A H Sung，A Abraham．Intrusion detection using ensemble of soft puting paradigms[C]．In：Proc ．of the 3rd Int1．Conf. on Intelligent Systems Design and Applications，Intelligent Systerns Design and ,2022:239248.