人工神经网络在入侵检测中的应用

河南商业高等专科学校计算机系 刘征

人工神经网络在入侵检测中的应用

河南商业高等专科学校计算机系 刘征

随着计算机网络的迅速发展，网络安全问题已成为全球关注的焦点问题。经济全球化带动了迅速增长的互联网信息访问量。有线电视网、电话网、计算机网络的“三网合一”进一步放大了这种潜在的风险。在这里本文，笔者讨论将人工神经网络应用到入侵检测中的应用。

一、入侵检测

在信息系统中，入侵是指任何未经授权的访问或恶意利用信息资源。传统的计算机防御采用防火墙技术，它是构成计算机安全的第一道屏障。但是防火墙只能检测到正在发生的攻击，它是一种被动的防御技术。入侵检测正好可以弥补防火墙这一缺陷，他可以对企图入侵，正在进行的入侵或者已经发生的入侵进行识别，是一种主动防御技术。入侵检测一般可以分为2类：误用入侵检测和异常入侵检测。一般来说，误用入侵检测采用防火墙技术进行监测和定位，相对比较简单。异常入侵检测指是对偏离正常行为的检测方法，主要采用数据挖掘技术进行检测。

二、人工神经网络

由大量的节点（神经元）高度互联构成的人工神经网络是1个数学模型或者计算模型，其模型来源于生物神经网络。其中，每个节点代表一种特定的非线性输出函数（激励函数）。每2个节点间的连接都代表1个通过该连接信号的加权值（权重），这是用来确定1个节点会影响其他节点的度。网络的输出根据网络的连接方式、权重值和激励函数的不同而不同。从本质上讲人工神经网络是一种从输入到输出的映射关系，其输出值由输入值、权值和激励函数决定。通过训练和学习，神经网络就可以完成所需的输入、输出映射，即能推理产生一个可以自动识别的系统。

三、基于人工神经网络的入侵检测系统

基于神经网络的入侵检测系统属于异常入侵检测的范畴，因此它一般要包括以下几个模块：数据采集模块，数据训练检测模块及响应模块。

1.数据采集及模块。数据采集模块一般是从网卡中采集数据和读取主机日志文件中的数据，并把这些数据作为数据检测模块的输入。但是采集到的原始数据往往杂乱无章，要想直接输入到下一模块，必须首先进行预处理。预处理首先要对数据进行格式化，形成统一的格式，然后把它们存储到特定的数据结构中，最后还要检查这些数据的正确性。

2.数据训练检测模块。数据训练检测模块是入侵检测的核心模块，它的好坏直接影响到系统的效率。但它刚开始并没有检测能力，必须通过学习才能具有检测能力。学习分为监督学习、非监督学习和强化学习。学习的过程主要是通过输入一组训练数据来完成。这组数据包括正常的数据和异常的数据。通过这些训练数据来不断地修改网络中的参数，使该模块对入侵数据具有检测能力。这样就可以对数据采集模块得到的数据进行分类，从而判定是入侵还是正常的数据，从而决定是否产生告警。训练数据和函数直接影响着检测模块性能的高低，因此来对它们的选择一定要慎重。

3.相应模块。响应模块主要是使用记录和报警的方式对数据训练和检测模块进行响应。记录主要是以日志的形式存在，里面主要记录了黑客攻击的类型、时间和攻击的强度等信息。报警则是用信息通知用户网络遭受到攻击，可以用报警声音或者是弹出对话框的形式进行。

四、人工神经网络的优缺点

经过实验证明，基于人工神经网络的入侵检测可以大幅度地降低入侵检测的漏报率和误报率，它的优势主要体现在以下几个方面。

1.神经网络具有高度的灵活性和自适应能力。传统的入侵检测要求获取的攻击数据必须是完整的，只有这样才能检测出攻击。一旦网络上攻击数据不完整，它们将无能为力。另外，网络上的攻击可能是由多个攻击者相互协调来完成的。神经网络的非线性处理和高度的灵活性非常适合检测此类攻击。

2.人工神经网络检测速度快。人工神经网络计算速度非常快，它能很快地对攻击进行响应，从而避免系统遭受严重破坏。

3.人工神经网络可以对攻击进行预测。人工神经网络一般以输出概率的形式表示对未知攻击的检测预测能力。一个基于人工神经网络的入侵检测系统将确定一个特定的事件或一系列的事件，表明对系统攻击的可能性。人工神经网络具有学习的能力，通过学习得到确定某个事件是否发生的信息。然后，这些信息用来预测一系列事件的发生，通过跟踪这些事件，系统将能够预测到可能发生的攻击并采取行之有效的防御措施。

4.人工神经网络可以实时更新，提高入侵检测的能力。黑客对网络的攻击五花八门且千变万化，这就需要入侵检测能够识别不同的攻击。另外，黑客往往效仿其他成功攻击的经验，不断改进自己的技术，以提高攻击的效率。所有这些都需要入侵检测系统不断地更新自己，识别新的攻击。人工神经网络最重要的优势就是学习能力和有效识别以前所发生攻击的能力。

但是，人工神经网络应用于入侵检测也存在一些缺点。首先，就是神经网络的学习能力受限于训练数据。入侵的准确分析对训练数据的要求非常高。其次，要想获得成千上万的黑客攻击数据，这就需要从不同的部门获得到敏感信息，但这是很难实现的。

book=65,ebook=8