入侵检测系统中神经网络分析器的设计.docVIP

入侵检测系统中神经网络分析器的设计 　　摘要:通过对BP算法和CGBP算法的分析与比较,提出了基于CGBP算法的神经网络分析器并给出了具体的设计方案。该分析器具有一定的实用和参考价值,效果良好。 　　关键词:BP神经网络;共轭梯度;分析器;入侵检测 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)25-7229-04 　　The Designing of Neural Network Analyzer in Intrusion Detection System 　　LI Yan, LI Wei-chao 　　(Zhengzhou Institute of Aeronautical Industry Management,Zhengzhou 450015, China) 　　Abstract: By analyzing and comparing with BP algorithm and CGBP algorithm, the author proposes a neural network analyzer based on CGBP algorithm. After that, the author gives a specific design proposal. The analyzer has a practical and referential value. And the analyzer has obtained good results. 　　Key words: BP neural network; conjugate gradient; analyzer; intrusion detection 　　根据通用入侵检测框架(Common Intrusion Detection Framework, CIDF)模型,入侵检测系统通常有四个组件:事件产生器、事件分析器、响应单元和事件数据库。其中事件分析器,既分析子系统是入侵检测系统的核心部分,用于对获取的事件信息进行分析,从而判断是否有入侵行为发生并检测出具体的攻击手段。神经网络应用于分析器是研究入侵检测系统的一个方向。 　　在神经网络的实际应用中,使用最广泛的是BP(Back-Propagation)网络。它有一个不足是当学习速度较小时,其缓慢的学习速度使得网络的学习失去了意义。学习速度过大又会使得误差函数不能收敛。共轭梯度法在一定程度上克服了最速下降法迭代路径呈锯齿形现象。共轭梯度法用于训练神经网络称作共轭梯度反向传播算法(Conjugate Gradient Back Propagation, CGBP)[1]。 　　1 BP神经网络 　　1.1 神经元模型 　　任何一个神经网络都是由众多神经元组成的,每个神经元是生物神经元的模拟、抽象和简化,神经网络的处理能力正是来源于各层神经元之间的相互作用。每个神经元都具备以下三个基本的功能: 　　1) 接受输入。一般来说,一个神经元不止一个输入。如图1所示,具有R个输入的神经元其输入为p1,p2,…,pR 分别对应权值矩阵W的元素w1,1,w1,2,…,w1,R 。wi,j表示第j个神经元到第i个神经元的连接强度,简称权值。另一个输入是1乘上偏置值(或称偏移值)b。这个偏置值如果不想在神经网络中使用,也可以忽略。 　　2) 输入处理。神经元中对输入的处理按矩阵形式表示为: 　　 n=Wp+b (1) 　　如图1,单个神经元的权值矩阵W只有一列元素。所有输入的加权和与偏置值b累加形成净输入n。 　　 n=w1,1p1+w1,2p2+……+w1,RpR+b(2) 　　3) 计算输出。经过输入处理后所得到的n称为净输入,把它送入传输函数(也称活跃函数)f,在f中产生神经元的标量输出a: 　　 a=f(n) 或 a=f(Wp+b)(3) 　　传输函数可以是n的线性或非线性函数。可以用特定的传输函数满足神经元要解决的特定问题。常用的有线性传输函数、对数-S形传输函数等。 　　拿这个神经元模型与生物神经元相对照,权值w对应于突触的连接强度,累加器和传输函数代表了细胞体,神经元输出a相当于轴突的信号。 　　1.2 神经网络拓扑结构 　　Paul Werboos博士于1974年在他的博士论文中第一次描述了训练多层神经网络的一个算法―误差逆传播(Error Back-Propagation)[2]学习算法,通常简称BP(Back-Propagation)算法。后来人们把应用BP算法进行网络训练的前馈型网络简称BP网络。 　　BP网络是一个多层网络,能够解决单层感知机不能解决的非线性可分问题。网络由输入层、隐含层和输出层组成。其中隐含层可以是一层也可