基于神经网络的入侵检测技术

李曾吉

摘要:随着计算机的普及和Internet的迅速发展,计算机系统和网络安全的漏洞问题不断暴露出来,网络恶意攻击事件不断发生,网络安全问题日益严重,因此,网络安全技术逐渐受到人们的重视。

关键词:网络安全入侵检测技术神经网络算法

中图分类号:TP3 文献标识码:A 文章编号:1674-098X(2012)06(c)-0022-01

1 网络安全概述

1.1 网络安全

通俗来讲,网络安全就是指网络上的信息安全。详细来说,网络安全是指网络系统的硬件、软件及其系统中的数据受到保护,在偶然的或者恶意的因素影响下不遭受破坏、更改和泄露,保证系统连续正常可靠地运行,保证网络服务不中断。网络安全的研究领域包括网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论。网络安全技术非常复杂,集成了多种安全技术和设备。

1.2 影响网络安全的因素

网络安全是保护用户信息安全的基础,一些黑客利用网络上的漏洞,非法进入未被授权的目标计算机,对目标计算机内部网络和数据资源进行访问或者破坏、删除、复制计算机内部的数据信息;有些非法访问者登陆未被授权的计算机窃取计算机信息,从而获取机密文件或者非法获取密码;非法入侵者利用非法手段获取未被授权的权限入侵网络,同时利用这些网络上的漏洞传播病毒、泄露信息、致使网络瘫痪等网络安全问题的发生;总结来说,黑客入侵、窃取信息、计算机病毒、网络管理漏洞是影响网络安全的三个主要因素。

2 基于神经网络算法的入侵检测技术

2.1 常用网络安全技术

网络安全技术的使用可以保证信息的安全、建立起一套完整的网络防御体系,保护系统中的数据不被篡改,保证系统连续正常可靠地运行,保证网络服务不中断。目前,防火墙技术、认证技术入、侵检测技术和数据加密技术等是常用的几种网络安全技术。

2.2 基于神经网络算法的入侵检测技术

(1)入侵检测技术

入侵检测技术是用来发现入侵行为,防止网络攻击的技术,在一定程度上保证了网络的安全。入侵检测主要通过对计算机系统或者网络中的一些关键点收集信息并然后分析这些关键点,从而发现系统或网络中的违反安全策略的行为和被攻击的迹象。入侵检测可以对内部入侵、外部入侵和误操作实时保护,在网络系统受到危害之前拦截入侵,可以说是一种积极主动的安全防护技术。入侵检测可以监测并分析用户和系统的活动;评估系统关键资源和数据文件的完整性;核查系统配置和漏洞;识别已经知道的攻击行为;分析统计异常的行为;操作系统日志管理,并识别违反安全策略的用户活动;当发现入侵时系统能够及时作出响应,切断网络连接、记录事件和报警等。

(2)基于神经网络算法的入侵检测技术

近年来,基于神经网络算法的入侵检测技术逐渐成为众多学者研究的热点。神经网络理论是仿效生物信息处理模式以获得智能信息处理功能的理论和方法。在误用检测和异常检测时均可使用。尤其是异常检测,由于要对检测对象行为特征进行建模或学习,分析的数据依赖于对象行为和海量的信息资源,特别适宜用神经网络的计算方法来实现。同时神经网络分类具备的自学习和识别未知攻击行为的能力,可以对获取的新攻击类型存储,不断地更新样本库,可以提高识别攻击的能力,提高入侵检测系统的性能。

基于神经网络的入侵检测模型如图1。

收集到的数据须经过处理转换为神经网络所能识别的数据,作为输入层数据;隐含层节点均采用Sigmoid转换函数g(h)=1/ (1+);设置两个输出层节点,其中,y1和y2分别表示正常行为和异常行为的概率,在[0,1]之间取值,并设定和分别表示正常和异常的阈值。

判断方法有4种:

(a)y1=1,y2=0代表正常;

(b)y1=0,y2=1代表异常,进行异常处理;

(c)y1>y2且y1与y2的值在(0,1)之间,y1>,可认为是正常,只需给出必要的提示信息;

(d)y1,进行报警。

(3)神经网络入侵检测设计

神经网络算法需要进行训练学习,之后才能运用于实际问题的处理。给定一个学习样本库和网络训练要达到的目标作为神经网络模块的输入,之后利用某种训练算法对该训练样本库中的样本进行学习处理,直到达到所要求的训练目标。经过训练以后,用于判别攻击行为的有关知识就以权值的形式被神经网络记忆,从而在神经网络内部建立起了对攻击行为的识别模型,在获得未知样本的输入之后,就可以对该样本进行分析处理,以达到判别的目的。设计神经网络模型的注意事项如下:

①设置隐含层数。BP网络设置为三层时就能够满足所有的维到维的映射,也就是说一层隐含层就可以满足神经网络模型的计算能力。②确定输入层和输出层单元数。一般来说输入维数是特征向量元数,输出维数指的是类别数。③确定隐含层的单元数。在确定隐含层层数以及隐含层单元数目时,没有一个严格的理论依据指导,需要根据特定的问题,结合经验公式设置大致范围来进行逐步试算比较得到,或者将值取为输出输人单元数和的一半,然后进行试验性调整。④初始化权值。初始化权值的目的是保证网络的收敛性,通常把权值初始化为小随机数。⑤样本的预处理。将输入特征进行标准化和归一化,即将每组数据都归一化变为[-1,1]之间的数值的处理过程,目的是为了加快网络的训练速度。

基于上述的注意事项,设计了可以判别网络入侵行为的BP神经网络分类模型。

在入侵检测系统中,应该先得到典型网络攻击行为的样本作为学习样本库,然后将这些样本应用于对神经网络分类的训练中。通过训练,神经网络以权值的形式保存上述攻击行为的特征模式,把神经网络分类用于实际工作之后,就能够对获取的网络数据流进行分析处理,并判别行为的正常与否。实验结果显示:这个模型不仅能够准确检测出现有的攻击手段,同时对以前未接受过训练的攻击手段也可以有效地识别。

3 结语

随着计算机技术的普及和Internet的迅速发展,计算机系统和网络安全的漏洞问题不断暴露出来,如何保证信息的安全、建立起一套完整的网络防御体系,已经成为网络安全问题研究的关键点。

参考文献

[1] 张千里,陈光英.网络安全新技术[J].北京:人民邮电出版社,2003.

[2] 周国民.入侵检测系统评价与技术发展研究[J].现代电子技术,2004(12).