改進EHO算法在無線傳感網(wǎng)絡入侵檢測中的應用

周 躍

(安徽工業(yè)職業(yè)技術學院， 安徽 銅陵 244000)

入侵檢測是網(wǎng)絡運行中為了保護內部用戶信息、防止外部攻擊所采用的一種系統(tǒng)保護機制。入侵檢測機制包括入侵檢測技術和機器學習方法兩部分，入侵檢測技術需在機器學習的基礎上來實現(xiàn)[1-2]。無線傳感網(wǎng)絡入侵檢測需要具備較高的測算精準度、較強的檢測穩(wěn)定性及較低的檢測誤差率等優(yōu)勢的算法模型來支撐。入侵檢測在模式匹配、規(guī)則匹配和協(xié)議分析的基礎上完成，其識別率和精準度有待進一步提高。象群算法是基于象群移動特性而設計的一種群體智能優(yōu)化算法[3]。一個象群同時可分為好幾個氏族，每個氏族中都有一個女族長，每一代都有成年雄象因適應性差而離開族群，因此族群會以族長為中心進行重新分類，進而優(yōu)化族群位置結構[4]。象群分析算法具有較高的收斂能力、識別能力及分離能力。本次研究中，將象群算法用于無線傳感網(wǎng)絡入侵檢測，以進一步優(yōu)化侵檢測技術。

1 無線傳感網(wǎng)絡入侵檢測EHO模型優(yōu)化建構

1.1 結合飛行及融合粒子策略的算法模型建構

象群優(yōu)化算法是基于象群同類相識的行動原理來尋求系統(tǒng)最優(yōu)策略的算法，算法內容包括氏族更新與氏族分離。在氏族更新的過程中，依據(jù)大象以女族長為中心的原則進行更新活動。假設，在n個種群中，每個氏族有j頭大象，女族長標記為ci，則象群更新后的位置模型如式(1)所示：

xnew，ci，j=xci，j+α·(xbest，ci-xci，j)·r

(1)

式中：xnew，ci，j—— 象群更新后的位置；

xbest，ci—— 女族長適應度最佳的位置；

α—— 象群個體因女族長位置變化所受的影響，取值范圍為[0，1]；

r—— 隨機數(shù)，用來提高象群變化的多樣性，取值范圍為[0，1]；

xci，j—— 象群位置；

xci—— 象群女族長位置，象群會跟隨族長一起移動。

因為氏族中可能同時存在多個女族長，而氏族的更新變化只能有一個中心，因此女族長的位置受中心位置的約束。其模型如式(2)所示：

xnew，ci，j=β×xcenter，ci

(2)

式中：β—— 第2個算法參數(shù)，取值范圍[0，1]；

χcenter，ci—— 氏族中心位置；

d—— 空間轉移中的維度數(shù)，它大于1并且小于所搜索空間的總維度；

nci—— 氏族中大象的總數(shù)。

經(jīng)過一定周期后，成年大象會離開原氏族重新建立新的氏族，從而擴大象群搜索范圍。象群分離包括適應度較差的大象個體與恒定數(shù)量的成年象的移動，其分離位置模型如式(3)所示：

xworst，ci=xmin+(xmax-xmin+1)·r

(3)

式中：xworst，ci—— 象群分離后所處的新位置。

xmin—— 分離象群的更新搜索范圍下限；

xmax—— 分離象群的更新搜索范圍上限。

傳統(tǒng)象群算法的不足是，無法適應高維度計算數(shù)據(jù)集，容易陷入局部最優(yōu)困境[5-6]。為了提高算法的全局搜索能力和收斂速度，對傳統(tǒng)象群算法作了優(yōu)化，在其基礎上加入飛行及融合粒子策略。從以上分析可知，單個個體的運行活動受女族長位置的影響。如果沒有約束條件，一旦女族長受到局部最優(yōu)影響而提早陷入局部最優(yōu)困境，則受其影響的一部分群體便會隨之陷入局部最優(yōu)困境[7]。為了避免這種情況，在原位置更新公式的基礎上加入了飛行策略，優(yōu)化模型如式(4)所示：

xnew，ci，j=xci，j+Levy(λ)+α·

(xbest，ci-xci，j)·r

(4)

式中：Levy (λ) —— 萊維隨機數(shù)，是一種短距搜索與偶爾長距行走相間的模式，該模式服從參數(shù)λ的萊維分布。在一般情況下使用Mantegna算法模擬計算。

通過式(4)計算優(yōu)化結果，在象群個體短距離搜索的基礎上加入長距離跳躍式搜索，通過拓寬個體行動搜索范圍，使得個體擺脫局部最優(yōu)困境，增加象群位置更新的多樣性與最優(yōu)程度。為了降低象群替換適應度較差個體的隨機性，在基本算法的基礎上加入了具有較高群居搜索能力和收斂速度的融合粒子算法。在每次替換計算時將個體象群粒子化，根據(jù)個體的適應值來判斷是否進行分離更新，以及是否對適應度最差大象個體進行更新優(yōu)化。其算法模型如式(5)所示：

(5)

式中：vi—— 粒子更新速度；

ω—— 慣性權重系數(shù)；

t—— 時間；

c1、c2—— 加速常數(shù)；

r1、r2—— 隨機數(shù)，取值范圍為[0，1]。

根據(jù)式(5)所示最差個體大象最優(yōu)位置計算結果，在保留最優(yōu)值的基礎上判斷結果是否滿足迭代次數(shù)。若滿足迭代次數(shù)，則不必進行位置更新；反之，則對適應度較差個體進行位置更新，直到滿足迭代次數(shù)為止。

1.2 Spark-EHO特征選擇模型建構

改進后的象群算法，雖然實現(xiàn)了全局最優(yōu)及收斂速度提升的目標，但仍采用二進制函數(shù)進行運算，只能處理連續(xù)性問題。而入侵函數(shù)是一個特征選擇的二進制組合問題，因此，還需要在象群優(yōu)化的基礎上與Spark結合，對算法二進制進行編碼，從而縮短分類時間，提高檢測精度[8-9]。用sig函數(shù)進行二進制向量轉換，如式(6)所示：

(6)

式中：大象的位置都按照0或者1取值；δ表示飛行的象群位置差量，其差量值等于Levy(λ)⊕α·(xbest，ci-xci，j)·r。大象個體的二進制函數(shù)則如式(7)所示：

(7)

對于第j頭大象的第d個維度，都會產(chǎn)生一個相對應的位置更新差量，將差量δ映射到[0，1]值域上。通過差量的映射結果來判斷第j頭大象第d個維度對應值是0或者1的概率，據(jù)此選擇二進制特征。

基于Spark的二進制特征選擇流程如圖1所示。首先，隨機設定大象個體初始位置，進行最優(yōu)特征子集搜索。若找到最優(yōu)子集，就停止搜索，輸出最優(yōu)結果；反之，則進行位置更新，建立新的搜索范圍(即新的象群結構)，重復搜索動作，直到找到最優(yōu)特征子集并輸出結果為止。在搜索過程中，給定搜索空間，降低搜索維度，可提高搜索效率；給定適應度函數(shù)，提供判斷子集優(yōu)劣指標，可提高搜索結果的正確率。

圖1 基于Spark的二進制特征選擇流程

1.3 EHO-SVM入侵技術模型建構

SVM函數(shù)實質上是一個分類問題。前述改進后的象群算法模型及其參數(shù)的選擇也較為簡單，而具體參數(shù)的選擇會直接影響分類能力及分類結果的精準度[10]。因此，在參數(shù)選擇方面結合SVM參數(shù)，以象群位置作為函數(shù)參數(shù)和自身參數(shù)，用入侵的精準度作為適應度函數(shù)，以提高入侵檢測的精準度，降低誤報率。設SVM訓練樣本集為S，且S={(xi，yi)，i=1，2，…，r}，xi∈Rd，yi∈{-1，+1}，那么加入SVM分類函數(shù)，則有：

(8)

式中：ai—— 支持向量樣本，不能取0；

b—— 偏移向量，它可以在支持選定之后，通過約束條件求得。

在線性部分可分的情況下，支持向量機將最優(yōu)分類面約束優(yōu)化為式(9)：

yi[w·xi+b]-1+ζ≥0，i=1，2，…，n

(9)

在式(9)所示約束條件下，目標函數(shù)如式(10)所示：

s.t.y[w·xi+b]-1+ζi≥0，

(10)

i=1，2，…，r，ζ≥0

式中：C—— SVM函數(shù)的自身參數(shù)，大于0，它控制了求解過程中對錯劃分的懲罰力度;

w—— 平面向量；

ζi—— 松弛變量，ζi=max(0，1-yi(w·xi+b))。

基于SVM函數(shù)的象群算法優(yōu)化流程如圖2所示。在引入SVM函數(shù)之后，整個網(wǎng)絡入侵檢測模型可分為4個模塊，分別是數(shù)據(jù)獲取、數(shù)據(jù)預處理、參數(shù)優(yōu)化及分類模型。數(shù)據(jù)獲取模塊的任務是，建立測試集，通過對系統(tǒng)或者網(wǎng)絡數(shù)據(jù)進行打包而形成檢測初始數(shù)據(jù)訓練樣本集；數(shù)據(jù)預處理模塊的任務是，對數(shù)據(jù)集進行歸一化、數(shù)值化和降維處理；參數(shù)優(yōu)化模塊的任務是，根據(jù)已經(jīng)建立的SVM函數(shù)對最優(yōu)參數(shù)進行判斷；分類模型模塊的任務是，建立SVM分類模型，通過分類處理得到預測函數(shù)，進而建立入侵函數(shù)，完成入侵檢測預測模型的建構。

圖2 EHO-SVM入侵檢測模型結構圖

2 無線傳感網(wǎng)絡入侵檢測EHO模型評測

2.1 模型算法評測

為了驗證算法建構的合理性，分別選用2個單峰值函數(shù)和2個多峰值函數(shù)對改進前后的適應度進行測試，測試結果如圖3所示。 其中，a、b圖分別為改進前后象群算法在單峰值Schwefel 2.22和SumSquare測試函數(shù)下的實驗結果，c、d圖分別為改進前后象群算法在多峰值Griewank和Schaffer測試函數(shù)下的實驗結果。

圖3 單峰值與多峰值函數(shù)適應度收斂曲線

從其曲線變化可以看出，無論在單峰值還是多峰值條件下，改進后的象群算法都表現(xiàn)出較為穩(wěn)定的迭代能力，且平均值和平均最優(yōu)值比之前的基礎函數(shù)更佳。這表明改進后象群算法的收斂速度和全局最優(yōu)性能均較高，在入侵求解最優(yōu)問題上具有更好的適應能力。

2.2 模型Spark-EHO特征選擇評測

為了驗證特征選擇向量模型建構的合理性，以30個種群數(shù)為標準，進行50次迭代，對PSO、MFO及改進前后的EHO模型進行給定訓練集驗證。各算法在不同數(shù)據(jù)集中的適應度收斂對比結果如圖4所示。

圖4 不同數(shù)據(jù)集的適應度收斂曲線

在各數(shù)據(jù)集中，改進后的象群算法均具有較穩(wěn)定的適應度，而且可以較好地規(guī)避局部最優(yōu)困境，避免由于過早局部最優(yōu)導致的算法缺陷。這表明改進后的象群算法在入侵檢測數(shù)據(jù)集中的訓練情況良好。

2.3 模型EHO-SVM入侵技術評測

為了驗證分類模型建構的合理性，選用大小不同的數(shù)據(jù)集對4種算法進行分類效果對比檢測，結果如圖5所示。 用于不同大小的數(shù)據(jù)集時，改進后的象群算法適應度均較高，在保證分類性能的同時避免了陷入過早最優(yōu)化困境，且在分類結果的后期階段還表現(xiàn)出自我學習的優(yōu)化更新現(xiàn)象。這表明分類模型的建立能夠在有效范圍內完成無線傳感網(wǎng)絡入侵檢測。

圖5 各算法對不同大小入侵檢測數(shù)據(jù)集的分類效果

3 算法應用效果評測

3.1 模型精準率及誤報率評測

在無線傳感網(wǎng)絡入侵檢測分別完成算法優(yōu)化、特征選擇、參數(shù)優(yōu)化、入侵檢測模型建構之后，對無線傳感網(wǎng)絡的檢測精準度和誤報率進行效果評測，結果如圖6所示。

圖6 4種算法平均入侵檢測的精準度和誤報率

可以看出，改進后的象群算法在Normal、Dos、Probe、R2L、U2R等5種攻擊下的檢測值都高于PSO、MFO及改進前的EHO算法。相較于改進之前的象群算法，其精準度分別提高了4.25%、5.66%、7.54%、6.75%和3.54%，平均精準度提高了5.548%左右。這表明在相同條件下，改進之后的象群算法能夠更加有效地提高無線傳感網(wǎng)絡入侵檢測的精準度，實現(xiàn)入侵攔截。

改進之后的象群算法誤報率顯著低于其他幾種算法。相較于改進前的象群算法，平均誤報率分別降低了3.74%、3.72%、3.78%、1.91%、2.22%，平均誤報率降低了3.047%左右。這表明改進后的象群算法在準確實現(xiàn)攔截的同時，還可保證攔截信息的準確性，并降低誤報率。

3.2 模型穩(wěn)定性及運行效率評測

改進前的象群算法參數(shù)簡單、女族長隨機性較高、個體搜索范圍較窄，導致其算法偶然性較高。入侵模型的穩(wěn)定性與檢測效率將直接關系到網(wǎng)絡運行系統(tǒng)的安全性。因此，在相同條件下，將算法獨立運行5次，對比其在Dos、Probe、R2L、U2R 這4種攻擊形式下的精準度，以檢測改進后象群算法的穩(wěn)定性及運行效率。評測結果如圖7所示。

圖7 不同算法獨立運行5次的精準度對比

在4種攻擊形式下，改進后象群算法的精準度高于其他算法，且精準度預測曲線在迭代次數(shù)增加的同時仍然保持了較高的穩(wěn)定性。這表明，改進后的象群算法不僅能夠很好地進行入侵檢測，而且還能夠保持監(jiān)測的穩(wěn)定性及收斂效率。

4 結 語

無線傳感網(wǎng)絡入侵檢測在保護內部用戶信息、防止外部入侵、維護網(wǎng)絡安全方面具有重要意義。本次研究是在傳統(tǒng)象群算法的基礎上，實現(xiàn)了算法、特征選擇及入侵技術參數(shù)的優(yōu)化設計，建立了新型象群算法模型。算法性能評測結果顯示，改進后的象群算法在Normal、Dos、Probe、R2L、U2R5攻擊形式下，其入侵檢測精準度分別提高了4.25%、5.66%、7.54%、6.75%和3.54%，誤差率分別降低3.74%、3.72%、3.78%、191%、2.22%。經(jīng)過5次迭代測評，其入侵檢測穩(wěn)定性和檢測效率都遠高于基礎象群算法，模型評測結果較優(yōu)。不足之處是建構參數(shù)選用較少，在SVM函數(shù)的參數(shù)選擇方面有待進一步優(yōu)化設計，以提高模型的穩(wěn)定性。