基于树突细胞算法与对支持向量机的入侵检测.docVIP

基于树突细胞算法与对支持向量机的入侵检测 　　摘要：针对入侵检测技术在处理大规模数据时存在的高误报率、低训练速度和低实时性的问题，提出了一种基于树突细胞算法与对支持向量机的入侵检测策略（DCTWSVM）。利用树突细胞算法（DCA）对威胁数据进行初始检测，在此基础上利用对支持向量机（TWSVM）进行检测结果的优化处理。为了验证策略的有效性，设计性能对比实验，实验结果表明，相较于DCA、支持向量机（SVM）、反向传播（BP）神经网络，DCTWSVM策略的检测精度提高了2.02%、2.30%、5.44%，误报率分别降低了0.26%、0.46%、0.90%，训练速度相较于SVM提高了两倍且只需耗费极少的训练时间，可以更好地适用于大规模数据下的实时入侵检测环境。 　　关键词：树突细胞算法；对支持向量机；入侵检测；大数据 　　中图分类号： TP393.08 　　文献标志码：A 　　0引言 　　入侵检测一直是计算机网络安全中重要的研究热点之一[1]。由于当前网络安全威胁形式呈现多样化，因黑客攻击、行业竞争等原因引发的安全问题无一不在威胁着计算机网络下的系统终端用户[2]。入侵检测系统（Intrusion Detection System， IDS）是一种集成了入侵行为过程的软件系统，并常与入侵防御系统（Intrusion Prevention System， IPS）并称为入侵检测防御系统（Intrusion Detection Prevention System， IDPS）。在网络环境中，入侵检测的延迟报警并不具备较高的实用性，但由于当前检测技术大都依赖于网络环境下产生的历史审计数据（Audit Data）进行分析，所以实时入侵检测的实现、提高检测正确率与效率也是当下重要的研究问题。 　　生物免疫系统（Immune System， IS）是生物体内保护生物免受病原体危害及保障生物稳态性的一种免疫机制[3]，该系统拥有动态性和自适应性等诸多特性。当病原体侵入人体后，将会引发免疫细胞的一系列活动来保障人体稳态性[4]。近些年通过对危险理论（Danger Theory， DT）的深入研究[5-6]，业界开始针对树突细胞（Dendritic Cell， DC）生物学来开拓免疫机制的新思路以应对日益严峻的安全形势[7]。由此衍生的树突细胞算法具备多项优势，如良好的实时性、较小的资源需求、较少的训练样本、精简的训练过程和优质的检测精度等。 　　将机器学习与数据挖掘技术应用在入侵检测领域已经取得了较好的成绩[8-10]。支持向量机（Support Vector Machine， SVM）技术作为其中的一项主流技术也取得了较多的研究成果[11-13]。SVM是根据Vapnik的统计学习理论产生，从二分类的研究衍生到多分类问题的研究，究其原理主要是通过求解空间超平面使分类距离最大化来解决分类最优解[14]。传统的SVM存在训练算法复杂度较高、计算时间较长等问题，因此应用SVM处理入侵检测问题时，需要对其进行算法层次的改进或寻找更为简单有效的核函数来简化运算，例如采用对支持向量机算法（TWin Support Vector Machine， TWSVM）来提升检测速度；另外也可以将SVM与其他算法进行结合优化，例如Shon利用遗传算法（Genetic Algorithm， GA）来优化传统算法[12]。 　　本文提出了一种基于树突细胞算法和对支持向量机（Dendritic Cell TWin Support Vector Machine， DCTWSVM）入侵检测策略。该策略有效提高入侵检测的检测准确率，降低误报率，并且在检测数据量大幅提升的情况下可以有效满足检测的实时性要求。 　　1树突细胞入侵检测模型 　　基于危险理论而衍生的树突细胞算法（Dendritic Cell Algorithm， DCA）在生物免疫学中突破了传统免疫理论中的“自我非我”（Selfnonself）免疫思路，转而采取针对危险信号（Danger Signal）的识别应答，这使得算法的适用条件比较广泛，如实时计算或半实时计算下的异步处理环境。 　　DC细胞对于存在于生物组织中的信息十分敏感，入侵检测的过程中，DC细胞的主要存在形式有3种：未成熟DC（immature DC，iDC）、半成熟DC（semimature DC，sDC）以及成熟DC（mature DC，mDC），通过界定DC的3种状态可以定义当前环境是否处于危险或者安全状态。DC细胞组成结构初始化信息包括：生命周期（lifespan）、初始signal值、信号转换权值矩阵（W）。DC进行状态转换的标准主要依据协同刺激信号（CoStimulatory Molecule，CSM）。算法的处理流程