【正文】 2） 個(gè)體適應(yīng)度評(píng)價(jià) 基本遺傳算法按與個(gè)體適應(yīng)度成正比的概率來(lái)決定當(dāng)前群體中每個(gè)個(gè)體遺傳到下一代群體中的機(jī)會(huì)多少。為正確計(jì)算這個(gè)概率，這里要求所有個(gè)體的適應(yīng)度必須為正數(shù)或零。 19 這樣，根據(jù)不同種類的問(wèn)題，必須預(yù)先確定好由目標(biāo)函數(shù)值到個(gè)體適應(yīng)度之間的轉(zhuǎn)化規(guī)則，特別是要預(yù)先確定好當(dāng)目標(biāo)函數(shù)值為負(fù)數(shù)時(shí)的處理方法。 3） 遺傳算子 基本遺 傳算法使用下述三種遺傳算子。 選擇運(yùn)算使用比例選擇算子 。 選擇是用來(lái)確定重組或交叉?zhèn)€體，以及被選個(gè)體將產(chǎn)生多少個(gè)子代個(gè)體。首先計(jì)算適應(yīng)度，后是實(shí)際的選擇，按照適應(yīng)度進(jìn)行父代個(gè)體的選擇 。 交叉運(yùn)算使用單點(diǎn)交叉算子 。 基因重組是結(jié)合來(lái)自父代交配種群中的信息產(chǎn)生新的個(gè)體。 最優(yōu)化問(wèn)題描述 適應(yīng)度 F（ X） 個(gè)體基因型 目標(biāo)函數(shù) f（ x） 個(gè)體表現(xiàn)型 X 解碼方法 確定運(yùn)行參數(shù) 編碼方法 設(shè)計(jì)遺傳算子 確定決策對(duì)象、約束條件 確定適宜度轉(zhuǎn)換規(guī)則 建立優(yōu)化模型 遺傳算法 第一步 第四步 第三步 第二步 第五步 第七步 第六步 圖 42 遺傳算法的構(gòu)造過(guò)程 20 變異運(yùn)算使用基本位變異算子或均因變異算子 。 交叉之后子代經(jīng)歷的變異，實(shí)際上是子代基因按小概率擾動(dòng)產(chǎn)生的變化。 基本遺傳算法的運(yùn)行參數(shù) 基本遺傳有下述 4 個(gè)運(yùn)行參數(shù)需要提前設(shè)定。 1） M：群體大小，即群體中所含個(gè)體的數(shù)量，一般取為 20~100。 2） T：遺傳運(yùn)算的終止進(jìn)化代數(shù)，一般取為 100~500。 3） pc：交叉概率，一般取為 ~。 4） pm：變異概率，一般取為 ~。 這 4 個(gè)運(yùn)行參數(shù)對(duì)遺傳算法的求解結(jié)果和求解效率都有一定的影響。種群規(guī)模過(guò)小將影響搜索范圍，從而得不到最優(yōu)解；種群規(guī)模過(guò)大則搜索時(shí)間長(zhǎng)，搜索效率低。交叉和變異概率 Pc、 Pm越小，則算法的開(kāi)發(fā)能力越強(qiáng)，越容易探測(cè)到新的超平面，但個(gè)體的平均適應(yīng)值波動(dòng)較大；相反， Pc、 Pm 越小，則算法的開(kāi)發(fā)能力越強(qiáng)，使得較優(yōu)個(gè)體不易被破壞，個(gè)體的平均適應(yīng)值平衡。 基于遺傳算法的集成神經(jīng)網(wǎng)絡(luò)檢測(cè)方法 算法思想與步驟 在此采用的集成神經(jīng)網(wǎng)絡(luò)對(duì)網(wǎng)絡(luò)入侵的學(xué)習(xí)分為兩個(gè)步驟，首先，采用單個(gè)神經(jīng)網(wǎng)絡(luò)分別對(duì)樣本進(jìn)行訓(xùn)練，然后，通過(guò)遺傳算法尋找那些差異較大的神經(jīng)網(wǎng)絡(luò)進(jìn)行集成，得到最后的結(jié)果 。 個(gè)體網(wǎng)絡(luò)的構(gòu)建 構(gòu)建三種不同類型的神經(jīng)網(wǎng)絡(luò)即 BP 神經(jīng)網(wǎng)絡(luò)、 RBF 神經(jīng)網(wǎng)絡(luò)和自組織競(jìng)爭(zhēng)人工神經(jīng)網(wǎng)絡(luò) ，每一類按照隱含層神經(jīng)元個(gè)數(shù)和學(xué)習(xí)率的不同分為 6 個(gè)神經(jīng)網(wǎng)絡(luò)，共計(jì) 18 個(gè)神經(jīng)網(wǎng)絡(luò)，如 下圖 44 所示 。 21 圖 43 神經(jīng)網(wǎng)絡(luò)集成的過(guò)程 個(gè)體網(wǎng)絡(luò)的選擇 首先訓(xùn)練出如前所述的 18 個(gè)個(gè)體神經(jīng)網(wǎng)絡(luò) 18,321 ..., ffff ，然后通過(guò)遺傳算法選擇{ 18,321 ..., ffff }中適合組成集成神經(jīng)網(wǎng)絡(luò)的子集 S。集成神經(jīng)網(wǎng)絡(luò)中，每個(gè)個(gè)體網(wǎng)絡(luò)對(duì)應(yīng)染色體中的一位，每一位的取值為離散的 0 或 1， 1 表示該神經(jīng)網(wǎng)絡(luò)參與集成， 0 表示該神經(jīng)網(wǎng)絡(luò)不參與集成，染色體長(zhǎng)度為 18，由此，體網(wǎng)絡(luò)的選擇轉(zhuǎn)化為在 18 維 01 空間中選擇最優(yōu)染色體的問(wèn)題。 初始種群中的個(gè)體產(chǎn) 生方法是先把某一種攻擊中的一條樣本數(shù)據(jù)送入 18 個(gè)神經(jīng)網(wǎng)絡(luò)，計(jì)算每個(gè)網(wǎng)絡(luò)的輸出，這些輸出與驗(yàn)證集相比較，算出每一個(gè)個(gè)體網(wǎng)絡(luò)的泛化誤差 ，取泛化誤差最大的一個(gè)神經(jīng)網(wǎng)絡(luò)為 0，其余 17 個(gè)神經(jīng)網(wǎng)絡(luò)為 1，作為第一 條染色體 ；取泛化誤差較大的兩個(gè)神經(jīng)網(wǎng)絡(luò)為 0，其余 16 個(gè)神經(jīng)網(wǎng)絡(luò)為 1，作為第二 條染色體 ；依此方法產(chǎn)生五 條染色體 。初始種群中 的其它 染色體全 部參與集成即 18 個(gè)神經(jīng)網(wǎng)絡(luò)全為 1。把集成神經(jīng)網(wǎng)絡(luò)平均誤差的倒數(shù)作為遺傳算法的適應(yīng)度，即 ? ? sff vijji Cs 2 （ 49） 式中 V 為驗(yàn)證集 , ji ff, 為個(gè)體網(wǎng)絡(luò) ， VijC 為 ji ff, 個(gè)體網(wǎng)絡(luò)相關(guān)度 ，個(gè)體網(wǎng)絡(luò)相關(guān)度定義為 dxxdxfxdxfxPC jiij ))()() ) (()(()( ??? ? （ 410） 實(shí)驗(yàn)中采用的遺傳算法描述如下： 數(shù) 據(jù) 源 BP 神經(jīng)網(wǎng)絡(luò) RBF 神經(jīng)網(wǎng)絡(luò) 自組織神經(jīng)網(wǎng)絡(luò) 選擇個(gè)體網(wǎng)絡(luò)、集成輸出 22 1)獨(dú)立訓(xùn)練 18 個(gè)神經(jīng)網(wǎng)絡(luò) 18,321 ..., ffff 。 2)在 18 個(gè)神經(jīng)網(wǎng)絡(luò)中抽取六個(gè)子集 6321 ,..., ssss 稱為父代。 3)對(duì)父代中的六個(gè)子集 6321 ,..., ssss ，采用遺傳算法進(jìn)行交叉操作，形成它的下一代即子代，也稱為第一代。 4)將提取的父代和生成的子代按公式 (9)求出其適應(yīng)度。 5)在父代和子代組成的種群中，選取適應(yīng)度較大的一半個(gè)體作為新的種群，進(jìn)行交叉操作，形成第二代個(gè)體。 6)重復(fù)前面的 4， 5 步操作。 7)通過(guò)若干次循環(huán) ，當(dāng)適應(yīng)度大于某一閾值，即認(rèn)為已局部?jī)?yōu)化，再對(duì)這些局部?jī)?yōu)化后的個(gè)體進(jìn)行變異，直到適應(yīng)度已達(dá)到我們確定的目標(biāo)為止。 網(wǎng)絡(luò) 的集成輸出 在此采用簡(jiǎn)單平均法 ，即對(duì)所選取的個(gè)體神經(jīng)網(wǎng)絡(luò)的輸出值作簡(jiǎn)單的算術(shù)平均，作為集成神經(jīng)網(wǎng)絡(luò)的總輸出，通過(guò)對(duì)總的輸出值選擇恰當(dāng)?shù)拈撝?，判斷網(wǎng)絡(luò)是否存在入侵行為。 23 5 仿真 實(shí)驗(yàn)分析 matlab 神經(jīng)網(wǎng)絡(luò)工具箱 實(shí)驗(yàn)中軟件采用 Windows XP、 Matlab。硬件采用 2． 4G 奔騰 Ⅳ處理器 ， 1G內(nèi)存。 在 MATLAB 中，使用其外帶的神經(jīng)網(wǎng)絡(luò)工具箱，新建一個(gè)基于神經(jīng)網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)的仿真，神經(jīng)網(wǎng)絡(luò)工具箱 如圖 51 所示 。 圖 51 神經(jīng)網(wǎng)絡(luò)工具箱 實(shí)驗(yàn)數(shù)據(jù)源 實(shí)驗(yàn)的數(shù)據(jù) 取自 KDDCUP09 數(shù)據(jù)集。 以下是某些數(shù)據(jù)包的信息： 0,tcp,SF,181,5450,0,0,0,0,0,1,0,0,0,0,0,0,0,0,0,0,8,8,,9,9,1.00,,normal. 0,tcp,smtp,SF,523,277,0,0,0,0,0,1,0,0,0,0,0,0,0,0,0,0,1,1,,55,108,,,normal. 0,udp,domain_u,SF,32,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,1,3,,56,46,,,teardrop. 0,icmp,ecr_i,SF,1032,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,511,511,,255,255,,,smurf. 0,tcp,SF,54540,8314,0,0,0,2,0,1,1,0,0,0,0,0,0,0,0,0,5,5,,25 24 5,255,,,land. 0,icmp,eco_i,SF,8,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,1,19,,2,42,1.00,,dos. 入侵檢測(cè)數(shù)據(jù)集預(yù)處理 實(shí)驗(yàn)使用的訓(xùn)練數(shù)據(jù)取自 KDDCUP09 數(shù)據(jù)集。為了方便操作、區(qū)分正常事件與攻擊事件、提取攻擊事件的特征。實(shí)驗(yàn)中，我們首先對(duì)數(shù)據(jù)集進(jìn)行了預(yù)處理。預(yù)處理過(guò)程包括：編碼、特征分類、特征值 歸一化，具體方法和步驟如下： Protocol_type 字段編碼 ： TCP UDP ICMP 1 2 3 攻擊類型編碼： Normal Back Buffer_overflow ftp_write Guess_passwd 0 1 2 3 4 Imap Ipsweep Land Loadmodule Multihop 5 6 7 8 9 Neptune Nmap Perl Phf Pod 10 11 12 13 14 Portsweep Rootkit Satan Smurf Spy 15 16 17 18 19 Teardrop Warezclient Warezmaster Dos 20 21 22 23 實(shí)驗(yàn)中，為了便于處理和分析，我們對(duì)數(shù)據(jù)集中的連續(xù)特征值進(jìn)行了歸一化處理。通過(guò)歸一化算法，數(shù)據(jù)集中的每一個(gè)連續(xù)型特征值被限定在 [,]范圍內(nèi)。歸一化算法如下： MINMAX MINxx ??? 其中： x是連續(xù)型數(shù)值變量 。MIN 和 MAX 分別是屬于 x變量的特征值的最小值和最大值。 仿真實(shí)驗(yàn) 導(dǎo)入數(shù)據(jù) 把要輸入的數(shù)據(jù)集和期望輸出的數(shù)據(jù) 集導(dǎo)入 matlab，并分別命名為 book1 和 book2。 25 如下 圖 所示 圖 52 數(shù)據(jù)導(dǎo) 入 訓(xùn)練過(guò)程 單個(gè)神經(jīng)網(wǎng)絡(luò)對(duì)四種攻擊類型的 訓(xùn)練過(guò)程 如下 圖 53 所示 。 26 圖 53 單個(gè) 神經(jīng)網(wǎng)絡(luò)訓(xùn)練過(guò)程 首先，獨(dú)立訓(xùn)練 18 個(gè)神經(jīng)網(wǎng)絡(luò)，其中的 6 個(gè) BP 網(wǎng)絡(luò)和 6 個(gè) RBF 網(wǎng)絡(luò)都含有一個(gè)隱含層，隱含層神經(jīng)元數(shù)分別為 4， 5， 6 個(gè) , 學(xué)習(xí)率分別為 和 ，自組織競(jìng)爭(zhēng)人工神經(jīng)網(wǎng)絡(luò)含一個(gè)競(jìng)爭(zhēng)層，競(jìng)爭(zhēng)層神經(jīng)元數(shù)分別為 4， 5， 6 個(gè)，學(xué)習(xí)率分別為 和 ，然后利 用驗(yàn)證集采用遺傳算法選擇部分神經(jīng)網(wǎng)絡(luò)進(jìn)行集成。 集成神經(jīng)網(wǎng)絡(luò)對(duì)四種攻擊的訓(xùn)練過(guò)程如 圖 54。 27 圖 54 集成神經(jīng)網(wǎng)絡(luò) 訓(xùn)練過(guò)程 部分程序（ BP 和 RBF）如 圖 55。 圖 55 matlab 程序 仿真實(shí)驗(yàn)數(shù)據(jù) 分析 表 51 集成神經(jīng)網(wǎng)絡(luò)與單個(gè)最佳神經(jīng)網(wǎng)絡(luò)結(jié)果的比較 類型 單個(gè)神經(jīng)網(wǎng)絡(luò)檢測(cè)率 (％ ) 集成神經(jīng)網(wǎng)絡(luò)檢測(cè)率 (％ ) smurf land DOS teardrop 平均 表 52 各類集成神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)算法檢測(cè)率的比較 算 法 檢測(cè)率 (％ ) 遺傳算法 Luca Didaci 研究的多數(shù)投票法，平均算法和置信函數(shù)組合 [12] Sfinivas Makkamala 研究的最小平均誤差值 [13] 計(jì)算公式：檢測(cè)率 =正確檢測(cè)數(shù)據(jù)包數(shù) /實(shí)際攻擊數(shù)據(jù)包數(shù)。 從表 1 顯示的結(jié)果來(lái)看，集成神經(jīng)網(wǎng)絡(luò)對(duì)絕大部分類型入侵的檢測(cè)率均達(dá)到 90%以上。在所有的入侵中 land 攻擊的檢測(cè)率最高，而 teardrop 攻擊的檢測(cè)率最低。出現(xiàn)這種現(xiàn)象的原因可能與神經(jīng)網(wǎng)絡(luò)訓(xùn)練的樣本數(shù)有關(guān)， land 攻擊在訓(xùn)練庫(kù)中占的比例最大，而teardrop 攻擊在訓(xùn)練庫(kù)中占的比例最小。從表 1 中看出集成神經(jīng)網(wǎng)絡(luò) 4 類樣本數(shù)據(jù)中， 3 類的檢測(cè)率都高于單個(gè)檢測(cè)率最好的網(wǎng)絡(luò)。 通過(guò)集成，系統(tǒng)的檢測(cè)率從 提高到 ，提高了 個(gè)百分點(diǎn)。 通過(guò)表 2 說(shuō)明，使用遺傳算法的選擇集成與目前流行的多數(shù)選舉算法和最小平均值算 28 法相比有更好的結(jié)果。 結(jié)論 本文 探討了集成神經(jīng) 網(wǎng)絡(luò) 在 入侵檢測(cè)方面的應(yīng)用， 先說(shuō)明了現(xiàn)在的網(wǎng)絡(luò)安全的嚴(yán)峻性和重要性，又 對(duì)各種檢測(cè)系統(tǒng)進(jìn)行了對(duì)比，說(shuō)明它們的不足和局限性， 指出神經(jīng)網(wǎng)絡(luò)應(yīng)用于入侵檢測(cè)系統(tǒng)具有廣闊的研究前景。然后對(duì)人工神經(jīng)網(wǎng)絡(luò)作進(jìn)一步的分析，提出神經(jīng)網(wǎng)絡(luò)技術(shù)在入侵檢測(cè)中的應(yīng)用還存在缺陷和不足。從而提出了基于集成神經(jīng)網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)。 對(duì) 基于集成神經(jīng)網(wǎng)絡(luò)的入侵檢測(cè) 系統(tǒng)的工作原理作了深入的分析 ， 特別是對(duì)集成學(xué)習(xí)的原理和遺傳算法作了詳細(xì)的分析，并指出了二者的優(yōu)越性。采用遺傳算法選擇個(gè)體網(wǎng)絡(luò)的神經(jīng)網(wǎng)絡(luò)集成有很多的優(yōu)點(diǎn)。首先，采用集成神經(jīng)網(wǎng)絡(luò)極大地提高神經(jīng)網(wǎng)絡(luò)的泛化能力。再者，采用遺傳算法對(duì)個(gè)體網(wǎng)絡(luò)進(jìn)行選擇，利用了遺傳算 法適用于大規(guī)模、高度非線性優(yōu)化的特性，從個(gè)體網(wǎng)絡(luò)所在的空間選擇處那些差異最大的個(gè)體，保證了集成學(xué)習(xí)后的泛化誤差向減小的方向發(fā)展。 利用 KDDCup09 入侵檢測(cè)數(shù)據(jù)集和用攻擊工具進(jìn)行模擬攻擊時(shí)捕獲的報(bào)文數(shù)據(jù)進(jìn)行了仿真實(shí)驗(yàn) ，所得到的性能令人滿意。 它與平均值法和多數(shù)選舉法比較，更適合于大規(guī)模神經(jīng)網(wǎng)絡(luò)的集成。 由于集成神經(jīng)網(wǎng)絡(luò)克服了單個(gè)神經(jīng)網(wǎng)絡(luò)的缺陷，能夠較好地實(shí)現(xiàn)模式分類的智能化，它在網(wǎng)絡(luò)安全中的應(yīng)用將會(huì)越來(lái)越廣泛。 29 參考文獻(xiàn) [1]唐正軍 .入侵檢測(cè)技術(shù)導(dǎo)論 [M].北京 :機(jī)械工業(yè)出版社 ,20xx:1. [2]俞永杭 .計(jì)算機(jī)網(wǎng)絡(luò)與信息安全技術(shù) [M]. 北京 :機(jī)械工業(yè)出版社 ,20xx:131， 146. [3]何德全 .入侵檢測(cè)技術(shù) [M]. 北京 :清華大學(xué)出版社 ,20xx:134. [4]唐正軍 ,李建華 .入侵檢測(cè)技術(shù) [M].北京 :清華大學(xué)出版社 ,20xx:134137. [5]李劍 .入侵檢測(cè)技術(shù) [M]. 北京 :高等教育出版社 ,20xx:69. [6]鐘珞 ,