入侵检测技术作为提高网络安全的有效手段日益受到重视，在此旨在利用RBF网络解决入侵检测问题。针对入侵检测研究的通用审计数据集，首先将其所有字符串行式的元素转换为数值形式；为了提高RBF网络的逼近性能和运算速度，去除对输出无影响的输入项，并且将剩余输入项的可能取值转换到合理的范围内；最后在Matlab平台下进行仿真实验，并与BP网络进行了比较，仿真结果表明，RBF网络在入侵检测中体现出良好的特性。
1082008,44(24) Computer Engineering and Applications计算机工程与应用 表7隐层结点数为346时的仿真结果 0.88 测试样本对应测试输出测试输出 0.86 输出值个数正确个数错误个数正率错误率 0.84 42% 0.82 100% 0.80 100% 5 94 17% 总计500130 370 74% 0.76 0.74 70 由表5~7可以得到如下结论 隐层结点数 (1)对于RBF网络,性能不是随着隐层结点数的增加而不 图3BP网络总计正确率与隐层结点数的关系 断增加,甚至还会减少。只有选择正确的隐层结点数,即网络结 BP网络从逼近器角度看,只要满足隐层和隐层结点数的 构,才能获得最佳的性能。 要求它就可以逼近任意连续函数;从收敛角度看,它容易陷入 (2)对于测试样本输出值为3和4情况,即对应输出为局部极值,即对应的映射函数只是局部逼近。而RBF网络是全 named和xock,于在训练数据和测试数据中出现次数很少,局逼近,因此对于不同的隐层结点数,RBF网络更具规律性。 所以它们对应的错误率很高。 43全数据参与训练和测试的仿真结果 同时经过大量对比性仿真,需要说明的是: 对于隐层结点数为31的RBF网络,当将1000组数据既 (1)如果数据不经过前面介绍的初步处理过程,BF网络作为训练数据又作为测试数据时,仿真结果如表8所示 将无法使用这些数据。 (2)如果数据不经过进一步处理过程中的第一个环节,RBF 表8隐层结点数为31时的仿真结果 网络的运算时间将显著增加,不是简单地呈现出线性关系,同 测试样本对应测试输出测试输出 时仿真结果略有下降,但依然满足要求。 输出值个数正确个数错误个数 正确率错误率 (3)如果数据不经过进一步处理过程中的第二个环节,RBF 703 103 49% 网络的仿真结果将很差,无法满足基本要求,而且运算时间将 0100% 有所增加 0 100% 由此不难看出,数据预处理的必要性,好的预处理策略带 187 87%13% 来好的RBF网络性能。 总计1000888 11% 图2给出了总计正确率与隐层结点数之间的关系,其中横 坐标表示隐层结点数,纵坐标表示正确率,下同。 由表8不难看出,RBF网络对于全数据的训练和测试,同 样满足要求,并且相对部分数据训练、部分数据测试的情况,总 计正确率略有提高。 5结束语 本文针对入侵检测研究的通用数据集,首先进行了数据预 处理,该处理方式一是使数据能够按照数值的方式操作和运 算,二是使不必要的数据被剔除,三是使数据取值范围合理。上 述一系列的处理方式,使得处理后的数据满足神经网络的应 用,也对神经网络的性能起到决定性的作用。在数据预处理的 05010015020025030035040045050 隐层结点数 基础上,然后采用RBF网络进行入侵检测分析,并与BP网络 图2RBF网络总计正确率与隐层结点数的关系 进行比较,从仿真结果可以发现,RBF网络得到的结果更具规 由图2不难看出,在隐层结点数由1增加到500的过程 律性,隐层结点数更易于确定,并且运算速度和收敛速度要大 中,正确率先增加,在大于29以后基本保持不变,然后在346 大高于BP网络。未来的工作在于,进一步利用更多的数据训 处突然大幅降低,最后又基本保持不变。因此,隐层结点数为练RBF网络,并采取新的数据预处理策略,以提高入侵检测的 31时即可达到最高正确率87%,并且运算时间较短。 4.2BP网络仿真结果 参考文献: 对于同样采用上述经过预处理的数据,以及仅包含一个隐 层的BP网络,图3给出了仿真结果。仿真中利用 Matlab神经lYeN,IiXY, Chen Q, et al. Probabilistic techniques for intrusion detection based on computer audit data J. IEEE Transaction on Sys 网络工具箱中的函数new(、 train()和sim()来建立、训练和 tems, Man, and Cybernetics-Part A: Systems and Humans, 2001 测试BP网络。 31(4):266-274 由图3不稚看出,其最高正确率达到87.6%,略高于RBF21凌军曹阳,尹建华,等一种实时入侵检测专家系统的设计与实现叮 网络,但其规律性不明显,比较难于选择隐层结点数,并且当隐 计算机工程与应用,2002,38(9):9-10. 层结点数较大时运算时间很长 (下转111页)