李帥，張軍

（哈爾濱師范大學(xué) 計(jì)算機(jī)科學(xué)與信息工程學(xué)院，黑龍江 哈爾濱 150025）

0 引言

在信息時代，隨著各種信息技術(shù)不斷創(chuàng)新與發(fā)展，計(jì)算機(jī)網(wǎng)絡(luò)給人們帶來了極大的方便與好處，但隨之而來的是一系列網(wǎng)絡(luò)安全[1]問題。網(wǎng)絡(luò)安全問題不僅關(guān)乎個人的財(cái)產(chǎn)安全，更關(guān)乎群體利益乃至國家的穩(wěn)定發(fā)展，在這個新型的互聯(lián)平臺，守護(hù)平臺和諧穩(wěn)定，共建美好網(wǎng)絡(luò)環(huán)境是每一個人的共同責(zé)任。為了保證網(wǎng)絡(luò)系統(tǒng)的安全性和穩(wěn)定性，學(xué)者們對此進(jìn)行了大量的研究。隨著網(wǎng)絡(luò)吞吐量和安全威脅的不斷增加，入侵檢測系統(tǒng)（IDS）[2]的研究受到了計(jì)算機(jī)科學(xué)領(lǐng)域的廣泛關(guān)注。當(dāng)前反復(fù)無常的入侵類別不僅對入侵防御系統(tǒng)構(gòu)成挑戰(zhàn)，而且對其龐大的計(jì)算能力構(gòu)成挑戰(zhàn)。LIAO等[3]針對當(dāng)前存在的入侵防御檢測系統(tǒng)的研究給出了一個詳盡的圖像進(jìn)行全面的綜述，表達(dá)出每種技術(shù)都有其優(yōu)越性和局限性，而且學(xué)習(xí)算法在安全和隱私方面有較高的成功率，也為之后的學(xué)者們將機(jī)器學(xué)習(xí)的技術(shù)融入網(wǎng)絡(luò)安全中提供了重要依據(jù)。

風(fēng)險(xiǎn)分析是軟件開發(fā)的一項(xiàng)重要活動，做得好可以確保關(guān)鍵資產(chǎn)以安全可靠的方式運(yùn)行。故障樹分析法（Fault Tree Analysis，F(xiàn)TA）是其中最突出的技術(shù)，被各行業(yè)廣泛使用。FLAGE等[4]應(yīng)用了一個綜合概率可能性計(jì)算框架，將認(rèn)知的不確定性聯(lián)合傳播到故障樹的基本事件的概率值上，并使用可能性概率轉(zhuǎn)換在純概率和可能性設(shè)置中傳播認(rèn)知不確定性。將不同方法的結(jié)果與頂部事件概率的不確定性表示進(jìn)行比較，這個方法的提出有助于分析人員有效地應(yīng)對新興技術(shù)帶來的安全挑戰(zhàn)。

反向傳播（Back Propagation，BP）神經(jīng)網(wǎng)絡(luò)具有良好的自學(xué)習(xí)能力、自適應(yīng)能力和泛化能力。QIU等[5]針對傳統(tǒng)BP神經(jīng)網(wǎng)絡(luò)入侵檢測模型在檢測率和收斂速度方面的缺陷，結(jié)合粒子群優(yōu)化算法（Particle Swarm Optimization，PSO）將改進(jìn)的PSO-BP神經(jīng)網(wǎng)絡(luò)應(yīng)用于入侵檢測系統(tǒng)模型中，分析了梯度下降算法和附加動量算法，驗(yàn)證了系統(tǒng)在假負(fù)率、假陽性率和收斂速度方面的改進(jìn)效果，為網(wǎng)絡(luò)安全的未來發(fā)展提供建設(shè)性的建議，值得在實(shí)踐中進(jìn)一步推廣。

1 網(wǎng)絡(luò)系統(tǒng)故障診斷分析模型

1.1 網(wǎng)絡(luò)系統(tǒng)故障FTA模型

網(wǎng)絡(luò)系統(tǒng)故障FTA模型本質(zhì)是將網(wǎng)絡(luò)系統(tǒng)故障作為頂事件，逐層分析其可能引發(fā)頂事件的一系列原因，通過與門操作符和或門操作符將各事件之間的邏輯關(guān)系建立邏輯連接，最終生成一張倒立的樹狀邏輯因果關(guān)系圖。

1.2 BP神經(jīng)網(wǎng)絡(luò)模型

BP神經(jīng)網(wǎng)絡(luò)是一種梯度下降方法，通過網(wǎng)絡(luò)計(jì)算將輸入層的值分別傳輸?shù)诫[含層和輸出層，將最終輸出值與樣本值進(jìn)行比較，計(jì)算誤差。BP算法是一種誤差函數(shù)按梯度遞減的學(xué)習(xí)方法[6]，圖1顯示了這樣一個網(wǎng)絡(luò)。在這個網(wǎng)絡(luò)中，有一個輸入層、一個輸出層，以及它們之間的一個或多個隱含層。三層BP神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)如圖1所示。

圖1 三層BP神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)圖

根據(jù)BP神經(jīng)網(wǎng)絡(luò)的特性，只需具備單層隱含層和有限數(shù)量的神經(jīng)單元，就能以任意精度擬合任意復(fù)雜度的函數(shù)。那么，若用表示輸入層的集合，其輸入層的集合表示如下：

其中，x表示輸入層，h表示隱含層，i表示輸入層的次序數(shù)，k表示隱含層的次序數(shù)，wik表示輸入層第i節(jié)點(diǎn)到隱含層第節(jié)點(diǎn)的權(quán)值，若用hk表示隱含層的輸出，其隱含層的輸出表示如下：

其中，f1表示輸入層到隱含層的傳遞函數(shù)，f2表示隱含層到輸出層的傳遞函數(shù)，θ是隱含層的閾值。

與傳統(tǒng)的BP神經(jīng)網(wǎng)絡(luò)不同，在激活函數(shù)部分進(jìn)行了改進(jìn)，由于Sigmoid的收斂比較緩慢，并且Sigmoid函數(shù)是軟飽和，所以容易產(chǎn)生梯度消失的問題。根據(jù)不同的情況混合使用Sigmoid函數(shù)、Softsign函數(shù)和ReLU函數(shù)用來改善單一函數(shù)所存在的一些問題（圖2）。

圖2 BP神經(jīng)網(wǎng)絡(luò)傳遞函數(shù)圖像

從Sigmoid函數(shù)圖像上可以看出，當(dāng)神經(jīng)元輸出接近1時，曲線變得非常平緩，此時的導(dǎo)數(shù)也趨近于0，輸出層飽和，收斂速度開始變慢，容易產(chǎn)生梯度消失。而softsign函數(shù)圖像也是“S”形函數(shù)，不同的是Sigmoid函數(shù)的取值范圍是[0，1]，而Softsign函數(shù)的取值范圍是[-1，1]，從圖2可以看出，Softsign函數(shù)圖像相對于Sigmoid函數(shù)圖像而言過渡得更加平滑，而且解決了Sigmoid函數(shù)以非0為中心的問題，但是梯度消失的問題仍然沒有解決，因此引入ReLU函數(shù)，與Sigmoid函數(shù)和Softsign函數(shù)相比，ReLU函數(shù)不會在正數(shù)的區(qū)域產(chǎn)生飽和現(xiàn)象，有效解決了梯度爆炸和梯度消失的問題，并且ReLU函數(shù)的效率更高，收斂速度更快，而且ReLU函數(shù)的特點(diǎn)是會使其中一部分的神經(jīng)元輸出為0，那么就會促使網(wǎng)絡(luò)變得稀疏，并且減少參數(shù)之間的相互依存關(guān)系，從而達(dá)到緩解過擬合的問題。在BP神經(jīng)網(wǎng)絡(luò)中激活函數(shù)并不是唯一的，但根據(jù)情況選擇合適的激活函數(shù)是有必要的，對于圖2中的3種函數(shù)的優(yōu)缺點(diǎn)進(jìn)行自由混合，利用其優(yōu)勢解決相應(yīng)問題，這樣可以在設(shè)計(jì)學(xué)習(xí)模型時減少網(wǎng)絡(luò)的參數(shù)和隱含層的節(jié)點(diǎn)數(shù)量，簡化結(jié)構(gòu)，有效提高泛化能力。

在學(xué)習(xí)模型的訓(xùn)練過程中，關(guān)鍵是通過損失函數(shù)計(jì)算學(xué)習(xí)的誤差及確定模型的可靠性。假設(shè)Tj是輸出層y上第j節(jié)點(diǎn)的期望輸出，那么損失函數(shù)e表示如下：

2 實(shí)例研究

2.1 數(shù)據(jù)集采集

采用FTA-BP故障診斷模型對網(wǎng)絡(luò)系統(tǒng)故障中網(wǎng)絡(luò)入侵[7]分支進(jìn)行分析實(shí)驗(yàn)。本次實(shí)驗(yàn)選用的數(shù)據(jù)集是第三屆國際知識發(fā)現(xiàn)和數(shù)據(jù)挖掘工具競賽使用的KDD CUP 99數(shù)據(jù)集，選取總計(jì)500條樣本用于本次實(shí)驗(yàn)。其中，400條為正常流量，100條為異常流量。次序隨機(jī)打亂，隨機(jī)選擇400條作為訓(xùn)練數(shù)據(jù)，100條作為測試數(shù)據(jù)進(jìn)行實(shí)驗(yàn)。

2.2 性能指標(biāo)

在損失函數(shù)的基礎(chǔ)上將均方誤差（MSE）[8]作為FTA-BP模型的誤差輸出函數(shù)，用于測試該模型的性能。均方誤差不僅可以減少整個訓(xùn)練集的全局誤差，而且可以降低每個特定樣本輸入時的局部誤差，并通過BP神經(jīng)網(wǎng)絡(luò)不斷學(xué)習(xí)，不斷調(diào)整更新權(quán)值和閾值，從而不斷降低誤差，使實(shí)際輸出越來越接近期望輸出。均方誤差MSE表示如下：

其中，w表示權(quán)值，θ表示閾值，80%n表示輸入層全部樣本的80%為訓(xùn)練樣本，20%為測試樣本。通過把得到的均方誤差不斷向前反饋，進(jìn)行多次迭代采用，廣義的感知學(xué)習(xí)規(guī)則不斷更新權(quán)值和閾值[9]，直至算法達(dá)到預(yù)期的效果為止。本研究基于梯度下降法，以目標(biāo)的負(fù)梯度方向?qū)?shù)進(jìn)行更新，對均方誤差MSE（w，θ）給定學(xué)習(xí)率η，計(jì)算均方誤差對于權(quán)值部分的變化率進(jìn)行調(diào)整，那么遵循反饋神經(jīng)網(wǎng)絡(luò)誤差不斷減小的原則，權(quán)值的調(diào)整量△wik和△wkj分別表示如下：

同樣的，計(jì)算均方誤差對于閾值部分的變化率進(jìn)行調(diào)整，那么遵循反饋神經(jīng)網(wǎng)絡(luò)誤差不斷減小的原則，閾值的調(diào)整量△θik和△θkj分別表示如下：

2.3 數(shù)據(jù)預(yù)處理

該數(shù)據(jù)并不是統(tǒng)一的數(shù)字?jǐn)?shù)據(jù)類型，還有其他的一些字符特征描述，如果隨意將字符數(shù)據(jù)丟棄，將會導(dǎo)致預(yù)測結(jié)果出現(xiàn)偏差。所以本研究通過Python Pandas中的Transform函數(shù)對文本信息進(jìn)行字符特征向數(shù)字特征轉(zhuǎn)換，即對該數(shù)據(jù)集中的文本數(shù)據(jù)類型轉(zhuǎn)化為BP神經(jīng)網(wǎng)絡(luò)訓(xùn)練使用的數(shù)字?jǐn)?shù)據(jù)類型。

2.4 實(shí)驗(yàn)結(jié)果

通過FTA-BP模型對KDDCUP 99數(shù)據(jù)集進(jìn)行了多次預(yù)測訓(xùn)練，最佳FTA-BP實(shí)驗(yàn)結(jié)果如圖3所示。

圖3 FTA-BP模型攻擊預(yù)測結(jié)果

實(shí)驗(yàn)確定了最佳的隱含層節(jié)點(diǎn)個數(shù)為9，相應(yīng)的均方誤差為2.7298×10－5，準(zhǔn)確率為96.51%。訓(xùn)練結(jié)果顯示驗(yàn)證性能在第96輪時表現(xiàn)最佳。

3 結(jié)語

在傳統(tǒng)BP神經(jīng)網(wǎng)絡(luò)的基礎(chǔ)上，結(jié)合故障樹分析法對傳統(tǒng)BP模型進(jìn)行了改進(jìn)，提出了一種FTA-BP網(wǎng)絡(luò)系統(tǒng)故障診斷模型。通過仿真實(shí)驗(yàn)分析，提出的FTA-BP網(wǎng)絡(luò)系統(tǒng)故障診斷模型相比傳統(tǒng)的BP模型和ELM模型具有明顯的優(yōu)勢，不僅提高了模型的精確率，而且預(yù)測效果較穩(wěn)定。信息時代面臨尤為重要的網(wǎng)絡(luò)安全問題，網(wǎng)絡(luò)系統(tǒng)故障診斷方法是必不可少的。該模型還存在著一定的缺陷，雖然預(yù)測的準(zhǔn)確率比傳統(tǒng)的BP模型要高，但是平均準(zhǔn)確率還未達(dá)到最高標(biāo)準(zhǔn)。而且，實(shí)驗(yàn)選用的數(shù)據(jù)集也存在著一定的局限性。下一步需要解決的問題是如何將FTA-BP模型的精確度進(jìn)一步提升及如何將FTA-BP模型應(yīng)用在網(wǎng)絡(luò)系統(tǒng)故障的其他部分。