一种新的基于ERAN的网络入侵检测方法.pdfVIP

高技术通讯2004·增刊 一种新的基于ERAN的网络入侵检测方法 陈红军①李传林 (山东大学计算机科学与技术学院系统结构研究所 济南250061) 摘要针对目前网络异常检测中存在的流量不稳定的难点，提出了一种新的基于扩展 资源分配网络(ERAN)的入侵检测方法。为了正确识别正常的网络流量行为，提出了一种 异常容限不稳定流量预报技术，它能够消除单脉冲和连续的异常。此外，还定义了动态阈 值，并将流量背离的量级和持续时间相结合确定了相应的异常入侵条件。 关键词入侵检测，网络异常，动态阈值，资源分配网络 是：隐藏单元的数量应该符合观测信号基本函数的 0 引言 复杂性。在其他网络中，由于数据的复杂性，计算时 间可能是线性的，也可能成指数增长。但是在RAN 基于流量的入侵检测的难点之一是因特网流量 中，通过分配新的资源，学习任务可以在多个时间内 的不稳定性，它是由于现实世界的多样性造成的。 完成。在RAN中，储存的观测少，这样使RAN的大 在网络中，不稳定的信号所引起的复杂动态行为，是 小呈亚线性增长并最终达到饱和。 很难用非线性的微分方程来描述的。为了预报不稳 1 异常容限不稳定流量预报 定的信号，传统的统计方法有：parzen窗估计、人工 神经网络(ANN)和径向基函数网络(fuBFN)。paxzen 窗估计为每一个学习样本分配一个新单元去接近潜 1．1资源分配网络 在的分配，该方法的缺点是当样本的数量很大时产 RAN可以简化为一个单隐藏层网络，它对连续 生高度复杂的计算。人工神经网络已经成功地实现 输人的输出是隐藏单元响应的线性组合(见图1)。 了多元的和非线性时间级数预报，然而由于缺乏输 入分配变化反馈机制，传统的ANNs在不稳定时间 ■出层 级数的预报中运行得非常不顺畅，另外还要为将来 的观测保留容量。RBFN方法将每个基本函数的核 ●■屡 心作为一个局部区域的模型，去明确地记住一组数 据的提取，隐藏单元的数量应该比训练样本的数量 ■入层 小。传统RBFN的一个主要缺点是它的核心的数量 必须事先确定，如果核心的数量确定得不合适， RBFN的精确性会受到严重影响。 图1 RAN网络的逻辑图 由于不稳定信号的时间变化性，固定大小的神 输出函数可表示为： 经网络不可能完全预报信号。如果一个神经网络很 —』、 (1) 简单，它就不能反映现实世界的复杂性，因而其预测 ／(X)=O／0+∑嘲(x) 精确性就低；如果神经网络太复杂，且有充足的训练 式中x是一个肘维输入向量，口。是偏移量，aj．是隐 样本，那么相应的计算需要很长时间。 藏层和输出层间的权重，参数．，是隐藏单元的数 为了克服这个问题，Platt提出了一种资源分配量。每一个隐藏单元占用一个单元核心，一个单元 网络(RAN)，无论何时一个新的模式出现在网络中，经过其核心与网络输入向量之间的欧几里得距离是 它就分配一个新的计算单元。该算法的基本思想 一个非线性函数。一般是将这个非线性函数选为一 ①男，1968年生，硕士生；研究方向：网络入侵检测；联系人。 (收稿日期：2004．03-25) ·-——