【正文】 經(jīng)網(wǎng)絡(luò)的核心問題之一。通常它也是一個(gè)強(qiáng)非線性系統(tǒng)，學(xué)習(xí)功能反映在神經(jīng)網(wǎng)絡(luò)模型中，就是突觸連接權(quán)值 Wij 可以按學(xué)習(xí)規(guī)則隨時(shí)間改變。正是這種可塑性， 使得 神經(jīng)網(wǎng)絡(luò)可適應(yīng)不同信息處理需要。神經(jīng)網(wǎng)絡(luò)的學(xué)習(xí)規(guī)則有有導(dǎo)師學(xué)習(xí)和無導(dǎo)師學(xué)習(xí)兩大類，概括如下 1） 糾錯(cuò)規(guī)則 13 糾錯(cuò)規(guī)則基于梯度下降法，因此不能保證得到全局最優(yōu)解，同時(shí)要求大量的訓(xùn)練樣本，因此收斂速度慢；糾錯(cuò)規(guī)則對(duì)樣本的表示次序變化比較敏感，這就像導(dǎo)師必須認(rèn)真?zhèn)湔n，精心組織才能有效地讓學(xué)生學(xué)習(xí)。 2） Boltzman機(jī)學(xué)習(xí)規(guī) 則 Boltzman機(jī)學(xué)習(xí)規(guī)則提供了學(xué)習(xí)隱結(jié)點(diǎn)的一個(gè)有效方法，能學(xué)習(xí)復(fù)雜的非線性可分函數(shù)。其主要缺點(diǎn)是學(xué)習(xí)速度太慢，因?yàn)樵谀M退火過程中要求當(dāng)系統(tǒng)進(jìn)入平衡時(shí)，“冷卻”必須慢慢進(jìn)行，否則易陷入局部極小。它基本上是梯度下降法，所以要求提供大量的例子。 3） 無導(dǎo)師學(xué)習(xí)規(guī)則 無導(dǎo)師學(xué)習(xí)規(guī)則提供了新的選擇，它利用自適應(yīng)學(xué)習(xí)法，使結(jié)點(diǎn)有選擇地接收輸入空間上的不同特性，從而拋棄了普通神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)映射函數(shù)的學(xué)習(xí)概念，并提供了基于檢測(cè)特性空間的活動(dòng)規(guī)律的性能描寫。 神經(jīng)網(wǎng)絡(luò)的基本性質(zhì)及優(yōu)點(diǎn) 神經(jīng)網(wǎng)絡(luò)的基本性質(zhì)主 要包括：收斂性、容錯(cuò)性、魯棒性及推廣性等。 神經(jīng)網(wǎng)絡(luò)的收斂性是指神經(jīng)網(wǎng)絡(luò)的訓(xùn)練算法在有限次迭代之后可收斂到正確的權(quán)值或權(quán)向量。神經(jīng)網(wǎng)絡(luò)良好的容錯(cuò)性保證網(wǎng)絡(luò)將不完整的、無損的、畸變的輸入樣本恢復(fù)成完整的原型。容錯(cuò)性的研究歸結(jié)于神經(jīng)網(wǎng)絡(luò)動(dòng)力系統(tǒng)記憶模式吸引域的大小。吸引域越大，網(wǎng)絡(luò)從部分信息恢復(fù)全部信息的能力越大，表明網(wǎng)絡(luò)的容錯(cuò)性越大。神經(jīng)網(wǎng)絡(luò)的高度魯棒性使得網(wǎng)絡(luò)中的神經(jīng)元或突觸遭到破壞時(shí)網(wǎng)絡(luò)仍然具有學(xué)習(xí)和記憶能力，從而使網(wǎng)絡(luò)表現(xiàn)出高度的自組織性。訓(xùn)練好的神經(jīng)網(wǎng)絡(luò)應(yīng)能夠?qū)Σ粚儆谟?xùn)練樣本集合的輸入樣本正確識(shí)別或分 類，這種現(xiàn)象常稱為神經(jīng)網(wǎng)絡(luò)具有良好的推廣性。 神經(jīng)網(wǎng)絡(luò)具有以下優(yōu)點(diǎn)： 1）具有 很強(qiáng)的魯棒性和容錯(cuò)性，這是因?yàn)樾畔⑹欠植即鎯?chǔ)于網(wǎng)絡(luò)內(nèi)的神經(jīng)元； 2）并行處理方法，人工神經(jīng)元網(wǎng)絡(luò)在結(jié)構(gòu)上是并行的 ，而且網(wǎng)絡(luò)的各個(gè)單元可以同時(shí)進(jìn)行類似的處理過程，使得計(jì)算加快； 3）自學(xué)習(xí)、自組織、自適應(yīng)性，神經(jīng)元之間的連接多種多樣，各元之間連接強(qiáng)度具有一定可塑性，使得神經(jīng)網(wǎng)絡(luò)可以處理不確定或不知道的系統(tǒng) ； 4） 可以充分逼近任意復(fù)雜的非線性關(guān)系； 5）具有很強(qiáng)的信息綜合能力，能同時(shí)處理定量和定性的信息，能很好的協(xié)調(diào)多種輸入信息關(guān)系，適用于處理 復(fù)雜非線性和不確定對(duì)象。神經(jīng)網(wǎng)絡(luò)以其獨(dú)特的結(jié)構(gòu)和處理信息的方法，在許多實(shí)際應(yīng)用領(lǐng)域中取得了顯著的成效 [9]。 14 神經(jīng)網(wǎng)絡(luò)應(yīng)用于入侵檢測(cè) 神經(jīng)網(wǎng)絡(luò)技術(shù)應(yīng)用于入侵檢測(cè)領(lǐng)域具有以下優(yōu)勢(shì)： 1） 神經(jīng)網(wǎng)絡(luò)具有概括和抽象能力，對(duì)不完整輸入信息具有一定程度的容錯(cuò)處理能力。在網(wǎng)路環(huán)境中，常常會(huì)出現(xiàn)信息丟失不完整或者變形失真的情況，神經(jīng)網(wǎng)絡(luò)的非線性處理和概括抽象的特性對(duì)于處理此類情況是非常適合的。 2） 神經(jīng)網(wǎng)絡(luò)具備高度的學(xué)習(xí)和自適應(yīng)能力。通過對(duì)輸入正常樣本和異常樣本的不斷訓(xùn)練學(xué)習(xí)，神經(jīng)網(wǎng)絡(luò)不僅能夠以很高的準(zhǔn)確率識(shí)別出 訓(xùn)練樣本中已知的入侵行為特征，而且能夠以一定的概率識(shí)別出新的入侵行為特征和已知入侵行為的變種形式。這種通過學(xué)習(xí)能夠識(shí)別全新入侵行為特征的能力，可以克服基于專家系統(tǒng)檢測(cè)技術(shù)的局限性。 3） 神經(jīng)網(wǎng)絡(luò)所獨(dú)有的內(nèi)在并行計(jì)算和存儲(chǔ)特性。在傳統(tǒng)的計(jì)算技術(shù)中，計(jì)算和存儲(chǔ)是完全獨(dú)立的兩個(gè)部分。計(jì)算部件在計(jì)算前必須存儲(chǔ)部件中取出指令和待處理數(shù)據(jù)，然后進(jìn)行計(jì)算，最后將計(jì)算結(jié)果返送回存儲(chǔ)器。因此，存儲(chǔ)器和計(jì)算器之間的傳輸帶寬稱為制約計(jì)算機(jī)性能的瓶頸。而在神經(jīng)網(wǎng)模型中，信息的存儲(chǔ)和信息的處理計(jì)算從本質(zhì)上是合二為一的。各個(gè)神經(jīng)元的工 作方式本質(zhì)上是完全并行的，從輸入到輸出的計(jì)算過程實(shí)質(zhì)上是權(quán)值的傳遞過程，而在值傳遞的過程中，就同時(shí)完成了信息的存儲(chǔ)過程。此種并行計(jì)算模式所具有的潛在高速計(jì)算能力對(duì)于入侵檢測(cè)來說，就意味著在很短時(shí)間內(nèi)，能夠處理更多的檢測(cè)規(guī)則或者特征值，同時(shí)也意味著在更短時(shí)間內(nèi)發(fā)現(xiàn)入侵行為，減少可能的系統(tǒng)損失。 目前，神經(jīng)網(wǎng)絡(luò)技術(shù)在入侵檢測(cè)中的應(yīng)用還存在以下缺陷和不足： 1） 需要解決神經(jīng)網(wǎng)絡(luò)對(duì)大容量入侵行為類型的學(xué)習(xí)能力問題。不同的神經(jīng)網(wǎng)絡(luò)類型和拓?fù)浣Y(jié)構(gòu)，都存在學(xué)習(xí)能力的限制容量。面對(duì)現(xiàn)實(shí)環(huán)境中數(shù)以千計(jì)的不同攻擊特征，要做到完 整識(shí)別，還需要進(jìn)行進(jìn)一步的研究工作。 2） 需要解決神經(jīng)網(wǎng)絡(luò)的解釋能力不足的問題。神經(jīng)網(wǎng)絡(luò)具備很強(qiáng)的訓(xùn)練學(xué)習(xí)能力，能夠給出判定的類別信息，但是對(duì)于具體發(fā)生的事件類型，則缺乏明確的解釋能力。對(duì)于入侵檢測(cè)而言，僅僅判定當(dāng)前事件是否異常往往不夠，通常還需要得到關(guān)于該異常事件具體類型的明確信息。在這一點(diǎn)上，神經(jīng)網(wǎng)絡(luò)往往力不從心。另一方面，神經(jīng)網(wǎng)絡(luò)的訓(xùn)練和學(xué)習(xí)能力，往往是通過內(nèi)部的權(quán)值連接和拓?fù)浣Y(jié)構(gòu)來實(shí)現(xiàn)和存儲(chǔ)的，對(duì)于最終判定結(jié)果的產(chǎn)生，通常難以具體解釋詳細(xì)的判定過程，產(chǎn)生確定性的判定步驟。 3） 執(zhí)行速度問題。從理論上 講，神經(jīng)網(wǎng)絡(luò)具備并行計(jì)算的強(qiáng)大能力，但是在當(dāng)前計(jì)算機(jī)的存儲(chǔ) 計(jì)算架構(gòu)下來完全實(shí)現(xiàn)神經(jīng)網(wǎng)絡(luò)的并行計(jì)算潛力，則非常困難。要解決這個(gè)問題，或許需要設(shè)計(jì)專門的神經(jīng)網(wǎng)絡(luò)計(jì)算芯片或者計(jì)算機(jī) [10]。 15 4 基于 集成 神經(jīng)網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng) 系統(tǒng)設(shè)計(jì) 系統(tǒng)工作原理 設(shè)計(jì)的集成神經(jīng)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)體系結(jié)構(gòu)如圖 41 所示。 圖 41 集成神經(jīng)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)體系結(jié)構(gòu) 系統(tǒng)的工作原理是 ：數(shù)據(jù)采集模塊捕獲所有流經(jīng)系統(tǒng)監(jiān)測(cè)網(wǎng)段上的網(wǎng)絡(luò)數(shù)據(jù)流，把它 們送入特征提取模塊。特征提取模塊通過協(xié)議分析技術(shù) ，提取出代表網(wǎng)絡(luò)數(shù)據(jù)流的特征向量，然后，采用核主成分分析 (KFCA)對(duì)特征向量進(jìn)行降維處理，把降維后的向量送入集成神經(jīng)網(wǎng)絡(luò)分類引擎，作為遺傳算法集成神經(jīng)網(wǎng)絡(luò)分類引擎的輸入向量。集成神經(jīng)網(wǎng)絡(luò) 把輸入向量與攻擊樣本庫進(jìn)行比較，從而判別是否存在入侵。如果集成神經(jīng)網(wǎng)絡(luò)認(rèn)為是一種攻擊行為 ，它將向用戶報(bào)警。如果發(fā)現(xiàn)了新的入侵行為 ，可以把它加入到攻擊樣本庫中實(shí)現(xiàn)對(duì)攻擊樣本庫的更新。 特征提取 特征提取模塊將數(shù)據(jù)收集模塊中得到的數(shù)據(jù)，分不同報(bào)文類型，提取 出不同的檢測(cè)特征并進(jìn)行降維處理。在綜合權(quán)衡各種攻擊手段后，本模型選取的入侵特征主要包括協(xié)議碼、被監(jiān)控網(wǎng)絡(luò) 數(shù)據(jù)采集 人機(jī)界面 特征提取 KPCA 遺傳算法集成神經(jīng)網(wǎng)絡(luò)分類引擎 攻擊樣本庫 16 源地址 、 目的地址 、 源端口 、 目的端口 、 標(biāo)志位 、 數(shù)據(jù)報(bào)的類型碼 、 數(shù)據(jù)報(bào)的代碼 、 報(bào)文頭部長(zhǎng)度、數(shù)據(jù)報(bào)長(zhǎng)度 、 報(bào)文數(shù)據(jù)段內(nèi)容 (取前 3O 個(gè)字節(jié) )、端口、數(shù)據(jù)報(bào)頭部校驗(yàn)和。這13 個(gè)特征組成了入侵檢測(cè)中的一條特征，用它們可以描述網(wǎng)絡(luò)中出現(xiàn)的攻擊行為。 集成神經(jīng)網(wǎng)絡(luò)算法 Schapire 證明一個(gè)概念如果是弱可學(xué)習(xí)的，其充要條件是強(qiáng)可學(xué)習(xí)的。這一定理說明，多個(gè)分類器可以集成為一個(gè)強(qiáng)分類器，由此奠定了集成學(xué)習(xí)的理論基礎(chǔ)。集成學(xué) 習(xí)通常分為兩個(gè)步驟，首先，采用單個(gè)學(xué)習(xí)算法對(duì)樣本分別進(jìn)行訓(xùn)練，然后，對(duì)單個(gè)網(wǎng)絡(luò)的輸出按某種方法進(jìn)行集成，得到最后結(jié)果。 設(shè)神經(jīng)網(wǎng)絡(luò)輸入 x∈ Rm 滿足分布 P(x)，輸入 x的目標(biāo)輸出 d(x)，神經(jīng)網(wǎng)絡(luò) fi (i=1， 2，?，N)的輸出為 fi(x)，各神經(jīng)網(wǎng)絡(luò)的權(quán)值為 iw (i=1， 2，?， N)。 集成神經(jīng)網(wǎng)絡(luò)中的每一個(gè)權(quán)值 iw 0，且 11 ???Ni iw (41) 集成神經(jīng)網(wǎng)絡(luò)在輸入 x下的輸出定義為： )(xfw ii ??? ? Ni ii xfwf 1 )( (42) 神經(jīng)網(wǎng)絡(luò) i 的泛化誤差 Ei 和集成神經(jīng)網(wǎng)絡(luò)的泛化誤差 E 分別為： 2))()(()( xfixdXd xPEi ?? ? (43) 2))()(()( xifxdXd xPE ??? ? (44) 網(wǎng)絡(luò)泛化誤差的加權(quán)平均為： ini iEwE ??? ?1 (45) 神經(jīng)網(wǎng)絡(luò)的差異度 iA 和集成神經(jīng)網(wǎng)絡(luò)的差異度 ?A 分別為： 2))()(()( xfxfXd xPA ii ??? ? (46) iNi iAwA ??? ?1 (47) 則集成神經(jīng)網(wǎng)絡(luò)的泛化誤差為： 17 21201 ))()(()())()(()( xfxfXd x PwxfxdXd x PwAEE ini ini i????? ?????? ???? (48) 從 (8)式看出如果集成神經(jīng)網(wǎng)絡(luò)中的各個(gè)個(gè)體網(wǎng)絡(luò)差異度很小，即對(duì)相同的輸入 ，集成網(wǎng)絡(luò)中的各個(gè)個(gè)體網(wǎng)絡(luò)都給出相同或相近的輸出，則集成差異度 為 0，網(wǎng)絡(luò)集成的泛化誤差與個(gè)體網(wǎng)絡(luò)的加權(quán)平均誤差相當(dāng)，而當(dāng)個(gè)體網(wǎng)絡(luò)差異較大時(shí)，其集成的差異度較大，泛化誤差將遠(yuǎn)小于個(gè)體網(wǎng)絡(luò)的加權(quán)平均誤差。因此，集成神經(jīng)網(wǎng)絡(luò)中個(gè)體網(wǎng)絡(luò)差異越大，集成效果越好。 遺傳算法 1975 年，美國密執(zhí)安大學(xué)的心理學(xué)教授、電子工程學(xué)與計(jì)算機(jī)科學(xué)教授 Holland 和他的同事與學(xué)生共同研究了具有開創(chuàng)意義的遺傳算法理論和方法 [11]。 遺傳算法的定義 遺傳算法是一種模仿自然界生物進(jìn)化思想而得出的一種自適應(yīng)啟發(fā)式全局搜索算法，其實(shí)質(zhì)是由復(fù)制 — 交換 — 變異算子組成的周而復(fù) 始的循環(huán)過程。這種方法由于仿效生物的進(jìn)化與遺傳，根據(jù)生存競(jìng)爭(zhēng)和優(yōu)勝劣汰的原則，借助復(fù)制、交換、變異等操作，使要解決的問題一步步逼近最優(yōu)解和近優(yōu)解。遺傳算法的提出和發(fā)展給優(yōu)化搜索技術(shù)帶來了新的思想及活力。 遺傳算法的基本思想 遺傳算法是從代表問題可能潛在解集的一個(gè)種群（ population）開始的，而一個(gè)種群則由經(jīng)過基因（ gene）編碼（ coding）的一定數(shù)目的個(gè)體（ individual）組成。每個(gè)個(gè)體實(shí)質(zhì)上是染色體（ chromosome）帶有特征的實(shí)體。染色體作為遺傳物質(zhì)的主要載體，即多個(gè)基因的集合，其內(nèi)部表現(xiàn) (即基因型 )是某種基因組合，它決定了個(gè)體形狀的外部表現(xiàn)。因此，在一開始需要實(shí)現(xiàn)從表現(xiàn)型到基因型的映射即編碼工作。由于仿照基因編碼的工作很復(fù)雜，我們往往進(jìn)行簡(jiǎn)化，如二進(jìn)制編碼。初代種群產(chǎn)生之后，按照適者生存和優(yōu)勝劣汰的原理，逐代演化產(chǎn)生出越來越好的近視解。在每一代，根據(jù)問題域中個(gè)體的適應(yīng)度（ fitness）大小挑選（ selection）個(gè)體，并借助于自然遺傳學(xué)的遺傳算子（ geic operation）進(jìn)行組合交叉（ crossover）和變異（ mutation），產(chǎn)生出代表新的解集的種 群。這個(gè)過程將導(dǎo)致種群像自然進(jìn)化一樣的后生代種群比前代更加適應(yīng)于環(huán)境，末代種群中的最優(yōu)個(gè)體經(jīng)過解碼（ decoding），可以作為問題近似最優(yōu)解 [12]。 18 對(duì)一個(gè)需要進(jìn)行優(yōu)化計(jì)算的實(shí)際應(yīng)用問題，一般可按下述步驟來構(gòu)造求解該問題的遺傳算法。 1）確定決策變量及其各種約束條件，即確定出個(gè)體的表現(xiàn)型 X 和問題的解空間； 2）建立優(yōu)化模型，即確定出目標(biāo)函數(shù)的類型（是求目標(biāo)函數(shù)的最大值還是求目標(biāo)函數(shù)的最小值）及其數(shù)學(xué)描述形式或量化方法； 3）確定表示可行解的染色體編碼方法，也即確定出個(gè)體的基因型 X 及遺傳算法的搜索空間； 4）確定解碼方法，即確定出個(gè)體基因型 X 到個(gè)體表現(xiàn)型 X 的對(duì)應(yīng)關(guān)系或轉(zhuǎn)換方法； 5）確定個(gè)體適應(yīng)度的量化評(píng)價(jià)方法，即確定出由目標(biāo)函數(shù)值 f（ x）到個(gè)體適應(yīng)度 F（ x）的轉(zhuǎn)換規(guī)則； 6）設(shè)計(jì)遺傳算子，即確定出選擇運(yùn)算、交叉運(yùn)算、變異運(yùn)算等遺傳算子的具體操作方法； 7）確定遺傳算法的有關(guān)運(yùn)行參數(shù)，即確定出遺傳算法的 M,T,Pc,Pm等參數(shù)。 由上述構(gòu)造步驟可以看出，運(yùn)行解的編碼方法、遺傳算子的設(shè)計(jì)是構(gòu)造遺傳算法時(shí)需要考慮的兩個(gè)主要問題，也是設(shè)計(jì)遺傳算法時(shí)的兩個(gè)關(guān)鍵步驟。對(duì)不同的優(yōu)化問題需要使用不同的編碼方法和不同操作 的遺傳算子，它們與所求解的具體問題密切相關(guān)，因而對(duì)所求解問題的理解程度是遺產(chǎn)算法應(yīng)用成功與否的關(guān)鍵。如下圖 42 所示為遺傳算法的主要構(gòu)造過程示意圖。 基本遺傳算法 基本遺傳算法只使用選擇算子、交叉算子和變異算子這三種基本遺傳算子，其遺傳進(jìn)化操作過程簡(jiǎn)單，容易理解，是其他一些遺傳算法的雛形和基礎(chǔ)，它不僅給各種遺傳算法提供了一個(gè)基本框架，同時(shí)也具有一定的應(yīng)用價(jià)值。 1） 染色體編碼方法 基本遺傳算法使用固定長(zhǎng)度的二進(jìn)制符號(hào)串來表示群體中的個(gè)體，其等基因是由二值符號(hào)集 {0， 1}所組成的。初始群體中各個(gè) 個(gè)體的基因值可用均勻分布的隨機(jī)數(shù)來生成。如X=10110000101101 就可表示一個(gè)個(gè)體，該個(gè)體染色體長(zhǎng)度是 n=14。 2） 個(gè)體適應(yīng)度評(píng)價(jià) 基本遺傳算法按與個(gè)體適應(yīng)度成正比的概率來決