CN108093406A

CN108093406A - 一种基于集成学习的无线传感网入侵检测方法

Info

Publication number: CN108093406A
Application number: CN201711226219.3A
Authority: CN
Inventors: 陶洋; 代建建; 章思青; 许湘扬; 梅思梦; 杨飞跃; 李朋; 邓行; 谢金辉
Original assignee: Chongqing University of Post and Telecommunications
Current assignee: Chongqing University of Post and Telecommunications
Priority date: 2017-11-29
Filing date: 2017-11-29
Publication date: 2018-05-29
Anticipated expiration: 2037-11-29
Also published as: CN108093406B

Abstract

本发明提出了一种基于集成学习的无线传感网入侵检测方法，属于通信技术领域。该方法包括：从无线传感网中收集各节点的数据，将数据预处理，抽取出每个节点的特征集，将符号特征转化为数值；将每一个特征值进行归一化；使用特征选择算法从预处理后的特征集筛选出最优特征集；使用改进的SVM算法作为弱分类器，结合筛选出来的最优特征训练集进行训练；使用Adaboost集成学习算法对训练出来的弱分类器组合起来形成强分类器，再利用训练出来的强分类器对实际数据进行测试，分辨出无线传感网正常节点和异常节点。本方法可以提高对无线传感网中出现的入侵攻击检测的准确度，减少一定的标记样本的代价，减少入侵检测检测与训练时间，增强入侵检测系统的可靠性。

Description

一种基于集成学习的无线传感网入侵检测方法

技术领域

本发明属于通信技术领域，涉及一种基于集成学习的无线传感网入侵检测方法。

背景技术

无线传感器网络(Wireless Sensor Networks，WSN)是一个由部署在广泛区域内的众多传感器节点组成的分布式感知探测系统，传感器节点感知并监测部署区域内的信息，通过多跳路由的方式将数据传送到簇头，经簇头转发到基站或者通过其他簇头进行转发到基站，实现数据的釆集和任务的检测。由于具备节点成本低廉、部署简单、无需基础设施、抗毁性强、对高动态网络拓扑适应能力强等特点，无线传感器网络在车辆监控、环境监视、智能交通、智能医疗、智能农业、军事对抗等多个领域得到了广泛的应用。但是由于节点资源受限、无线通信易受干扰、无人值守等原因，无线传感器网络面临严峻的安全问题。目前学术在加密、安全协议、认证授权、安全路由、信任机制等安全防护技术有很多成果。毋庸置疑，这些成果为WSN的安全提供了一定的保障，但是这些都属于被动防护手段。比如说，微型加密算法(Tiny Encryption Algorithm，TEA)基于数据加密协议，综合高级加密标准(Advanced Encryption Standard，AES)算法，RSA公钥加密算法和数字签证自组织按需距离矢量安全(Secure Ad hoc On-demand Distance Vector，SAODV)路由协议，但是随着攻击者攻击手段的不断升级，如迄今被识别的WSN攻击类型有：DoS攻击、访问攻击、虚假路由信息攻击、选择性的转发攻击、黑洞攻击、洪泛攻击等。攻击者已经具备突破或者绕过加密、认证等防护机制的能力。这些方法缺乏实时性和灵活应对新的入侵攻击方式，所以需要有一个算法或者模型具备学习能力和响应能力去应对层出不穷的入侵攻击方式。

目前入侵检测常采用的算法，基于免疫理论的入侵检测算法，利用生物为了区别出外界有危害物质和自体，然后消除有害抗原，以保证机体健康所形成了生物安全系统，而衍生的理论和算法。算法模拟生物的免疫系统中的抗原、抗体、淋巴细胞、免疫应答、免疫耐受等概念应用到入侵检测中，利用模式匹配、特征提取、学习记忆、多样性等方式形成一个免疫系统机制对WSN入侵进行检测。基于危险理论的入侵检测算法，是免疫理论的一种改进算法。基于博弈论的入侵检测算法，将机器学习(Machine Learning，ML)的算法应用于入侵检测系统，早有学者对这个方面进行研究。将机器学习的算法加到模式识别的应用中，去解决入侵检测的问题，目前国内外学者在这个方向进行努力并取得很多成果，使用的算法大概分为决策树、神经网络、贝叶斯理论等。

由于传感器节点部署算法会受节点计算能力的限制，如果使用计算复杂和需要大量数据进行训练的算法和模型，会阻塞SN或者CH的正常工作，增加SN或者CH的能，导致SN或者CH的存货周期减少。如何设计一种能够保证不影响无线传感网正常工作具有高准确性和适用性的入侵检测方法，成为目前研究的重点。

发明内容

有鉴于此，本发明的目的在于提供一种基于集成学习的无线传感网入侵检测方法，反复选择入侵特征构建弱分类器，选出分类能力优的弱分类器，然后根据挑选出的弱分类器的加权组合构成最终的强分类器。训练过程中采用迭代的方法选择训练子集，每一轮循环挑选出在当前权重分布下误差最小的弱分类器，即选出具有最佳分类表现的相应特征。根据误差来更新权重分布，得到的对应每一个弱分类器的权重，在一定程度上还可以用来衡量不同特征对分类的贡献度，提高对未知入侵攻击的检测准确度。

为达到上述目的，本发明提供如下技术方案：

一种基于集成学习的无线传感网入侵检测方法，包括以下步骤：

第一步：从层次结构无线传感网中收集到各个节点的数据，将数据进行预处理，抽取出每个节点的特征集，将符号特征转化为数值；

第二步：将每一个特征值进行归一化；

第三步：使用特征选择算法从预处理后的特征集筛选出最优特征集；

第四步：使用改进的SVM算法作为弱分类器，结合筛选出来的最优特征训练集进行训练；

第五步：使用Adaboost集成学习算法对训练出来的弱分类器组合起来，形成强分类器。

进一步，所述步骤第一步中，对无线传感网中采集的特征值进行数值化，具体数值转化如表1-1：

表1-1特征数值化

进一步，所述步骤第二步中，将收集到的特征值利用公式进行归一化处理，其中i(x)表示未经过归一化的特征值，V_min(x)表示未经过归一化的特征值的最小值，V_max(x)表示未经过归一化的特征值的最大值，N_i(x)表示归一化后的特征值，范围在0～1之间。

进一步，所述步骤第三步中，筛选出最优特征集：从层次结构无线传感网中收集到各个节点的数据，将数据进行预处理，抽取出每个节点的特征集，使用特征选择算法对安全数据维度进行降维处理；

一种基于主成分分析方法(Principal Component Analysis,PCA)的特征选择算法：无线传感网内节点数：假设给定样本{X₁,X₂,...,X_N}，X是n维数特征值据数据输入，求得其均值μ，

X的协方差矩阵为：

协方差矩阵C的特征值的解：

Cν_i＝λ_iν_i

其中λ_i(i＝1,2,...,n)为特征值，ν_i(i＝1,2,...,n)为对应的特征向量；

计算m(m＜n)个最大特征向量，m最大特征向量可以代表低维向量的特征值数据样本，令：

Φ＝[v₁，v₂,...,v_m]

Λ＝diag[λ₁,λ₂,...,λ_m]

所以：

CΦ＝ΦΛ

当精确参数k表示m最大特征向量的估计精度时，可以用下面的等式表示：

根据精确参数k，选择出最优的特征向量数，而精确参数k由Kaiser经验法则：按照相关阵计算的主成分，取特征值超过1的对应的主成分，一般参数k取0.85。

进一步，所述步骤第四步中，先对SVM算法的核函数进行改进，使SVM能处理非线性数据，将数据映射到高维空间，然后将改进的SVM算法作为弱分类器；

将处理后的n条特征集作为训练集其对应的标记数据集为y1,y2,...,y_n∈{-1,1}，其-1代表被入侵的数据，1代表正常节点数据；初始化训练集的权重分布，第一次迭代开始对每一个训练集赋予相同的权重,D₁代表第一次迭代训练集权重分布，

然后结合弱分类器进行训练，在这些训练集中找到一个最大边距的超平面，用于区分出正常节点和非正常节点；

假设M为超平面的边距，为了最大化M：

是超平面的法向量，表示从输入空间到特征空间的映射，其中

(1)式等价于：

(2)式等价于：

引入Soft Margin软边距代替Hard Margin硬边距，因此

其中是允许惩罚违反约束限制的松弛变量，C是用于权衡大边距和约束之间的控制参数。

为了增加SVM对非线性数据的处理性能，需要对其设置核函数，假设从输入空间到特征空间的映射可以通过一个向量参数p去找到一个向量参数p和最大边距的超平面，不同向量参数p对应不同的特征空间，由于在两个不同的特征空间中不能直接比较，需要对边距进行归一化处理：

如果p是固定的，则找到最大边距的超平面的归一化边距等价于找到最大的正常边距，让则表示为

(4)式等价于：

(5)式等价于：

引入Soft Margin软边距去代替Hard Margin硬边距，因此

最后求得分离超平面为：

相对应的分类决策函数为：

计算出得到最大的边距。

进一步，所述步骤第五步中，将弱分类器设为G_m(x)，计算出弱分类器得到的超平面分类器在训练集中的分类误差率e_m：

误差率e_m就是被G_m(x)错误分类的权重之和，

然后，计算出G_m(x)在最终分类器的权重a_m：

这样完成第一次迭代，然后重新更新训练集中权重分布，进行下一步迭代：

D_m+1＝(w_m+1,1,w_m+1,2,...,w_m+1,i,...,w_m+1,N),i＝1,2,...,N

随着不停的迭代算法训练之后，被弱分类器错误分类的训练样本的权重会增大，而被正确分类的样本的权重会减少，其中为归一化因子，使D_m+1成为一个概率分布；

最后将训练出来的弱分类器组装起来：

得到强分类器：

再利用训练出来的强分类器对实际数据进行测试，分辨出无线传感网正常节点和异常节点。

与现有的技术相比，本发明的有益效果在于：本发明所述方法可以提高对无线传感网中日益出现的入侵攻击检测的准确度，减少一定的标记样本的代价，减少入侵检测检测时间与模型训练时间，增强入侵检测系统(Instrusion Detection System，IDS)的可靠性。

附图说明

为了使本发明的目的、技术方案和有益效果更加清楚，本发明提供如下附图进行说明：

图1为无线传感网三层检测模型流程图；

图2为基于改进SVM-Adaboost入侵检测算法模型训练的流程图。

具体实施方式

下面将结合附图，对本发明的优选实施例进行详细的描述。

根据Adaboost集成学习算法的结构特点，将其嵌入到无线传感网络中，利用WSN硬件的不对称性，将各类弱分类器部署到节点，经过层层节点训练与学习，在基站上强分类器是从某节点的开始，到基站结束，路由途径中多个节点上的弱分类器组合而成，而每一个节点上的分类器的权值也不同，到基站的强分类器也不同，有助于对不同入侵模式进行检测，具体流程如图1所示。然而AdaBoost算法训练过程是对同一数据集使用多个弱分类器进行迭代训练，然而在无线传感网中，有簇头到节点再到基站，途中经过了多个簇头，每个簇头都有自己的集群，所以在簇头的改进的SVM弱分类器训练簇头上存储的数据集和该簇头连接的节点数据集。针对实际无线传感网部署，设计基于固定簇头的层次结构的无线传感网的入侵检测模型，利用无线传感网的层次性和硬件不对称性，利用集成学习的特点，固定簇头，在降低一定的传感器网络的寿命和灵活性的基础上，也一定程度上提高了入侵检测准确度和降低算法复杂度。

步骤1)：对收集的数据进行数值化处理：

实例使用的KDD cup99数据集是KDD竞赛使用的入侵检测数据，是林肯实验室模拟美国空军局域网收集到的一个9周的网络数据，包含了各类网络攻击，数据集大小743M，一共有41种特征。

步骤2)：对特征值归一处理：

首先将数据集根据表所示，将特征进行数值化，然后使用特征值归一化函数，将特征值控制在0～1之间：

步骤3)：使用特征选择算法筛选出最优特征集：

然后将得到的归一化之后的数据集分为10份，取其中9份作为训练集，另外1份作为测试集。使用PCA特征选择方法对训练集进行特征筛选：

样本{X₁,X₂,...,X_N}，X是41维数特征值数据输入，求得其均值μ。

X的协方差矩阵为：

因为这里的输入的特征维度为41维度：

C协方差矩阵的特征值的解：

Cv_i＝λ_iv_i

其中λ_i(i＝1,2,...,41)为特征值，v_i(i＝1,2,...,41)为对应的特征向量。

计算m(m＜n)个最大特征向量，m特征向量可以代表低维向量的特征值数据样本，

令：

Φ＝[v₁,v₂,...,v_m]

Λ＝diag[λ₁,λ₂,...,λ_m]

所以：

CΦ＝ΦΛ

当k＝0.85参数表示m最大特征向量的估计精度时，可以用下面的等式表示：

从计算得到的Λ＝diag[λ₁,λ₂,...,λ_m]得到13个特征具备了入侵攻击的最优特性，分别为protocol_type、service、flag、src_bytes、logged_in、count、srv_count、rerror_rate、srv_diff_host_rate、dst_host_count、dst_host_srv_count、dst_host_same_srv_rate、dst_host_diff_srv_rate。

步骤4)：使用改进的SVM进行训练弱分类器：

将上述步骤3)中得到的13个特征重新整合成为一个新的训练集，作为下一步模型训练的训练集，训练模型流程图如图2所示。

对数据集进行权重分配：

然后将输入导入到改进的SVM模型中，计算出最优值，利用拉格朗日定理和KKT条件：目标最小化决策函数，首先构造拉格朗日函数：

求其偏导：

由上式可得，分离超平面：

计算得到：

计算训练出来的G_weak(x)的权重：

步骤5)：使用Adaboost算法多次迭代训练的模型进行组合：

更新训练集的权重：

D_m+1＝(w_m+1,1,w_m+1,2,...,w_m+1,i,...,w_m+1,N),i＝1,2,...,N

重复计算新训练出来的G_weak(x)的权重，将训练出来的多个弱分类器组合：

综上所述，将计算得到的权重和弱分类器结合得到强分类器：

再利用最后保留的十分之一的数据集作为测试集，来测试训练出来的分类器模型。在基站上利用模型训练阶段得到的弱分类器的权值分布，进行每一级弱分类器组合的结构，以及联合检测周围节点发送的弱分类器测试的结果进行判断，确认入侵行为的存在，将决策的结果发送到远端数据中心，以待做出后续的响应。

实验证明，在牺牲一定的训练模型的复杂度，使用改进的Adaboost-SVM算法对无线传感网入侵攻击进行检测的准确度比一般的IDS更加优秀，对不同类别的入侵攻击的检测度也有不同的准确度提高。与仅仅使用SVM算法相比，使用改进的Adaboost-SVM算法在具有自组织和动态性的无线传感网具有更高的性能。

最后说明的是，以上优选实施例仅用以说明本发明的技术方案而非限制，尽管通过上述优选实施例已经对本发明进行了详细的描述，但本领域技术人员应当理解，可以在形式上和细节上对其作出各种各样的改变，而不偏离本发明权利要求书所限定的范围。

Claims

1.一种基于集成学习的无线传感网入侵检测方法，其特征在于：该方法包括以下步骤：

S1：从层次结构无线传感网中收集到各个节点的数据，将数据进行预处理，抽取出每个节点的特征集，将符号特征转化为数值；

S2：将每一个特征值进行归一化；

S3：使用特征选择算法从预处理后的特征集筛选出最优特征集；

S4：使用改进的SVM(Support Vector Machine)算法作为弱分类器，结合筛选出来的最优特征训练集进行训练；

S5：使用Adaboost集成学习算法对训练出来的弱分类器组合起来，形成强分类器，再利用训练出来的强分类器对实际数据进行测试，分辨出无线传感网正常节点和异常节点。

2.如权利要求1所述的一种基于集成学习的无线传感网入侵检测方法，其特征在于：所述步骤S2中，将收集到的特征值利用公式进行归一化处理，其中i(x)表示未经过归一化的特征值，V_min(x)表示未经过归一化的特征值的最小值，V_max(x)表示未经过归一化的特征值的最大值，N_i(x)表示归一化后的特征值，范围在0～1之间。

3.如权利要求1所述的一种基于集成学习的无线传感网入侵检测方法，其特征在于：所述步骤S3中，筛选出最优特征集：从层次结构无线传感网中收集到各个节点的数据，将数据进行预处理，抽取出每个节点的特征集，使用基于主成分分析方法(Principal ComponentAnalysis,PCA)的特征选择算法对安全数据维度进行降维处理，具体算法如下：

无线传感网内节点数：假设给定样本{X₁,X₂,...,X_N}，X是n维数特征值据数据输入，求得其均值μ，

<mrow> <mi>&mu;</mi> <mo>=</mo> <mfrac> <mn>1</mn> <mi>N</mi> </mfrac> <munderover> <mo>&Sigma;</mo> <mrow> <mi>t</mi> <mo>=</mo> <mn>1</mn> </mrow> <mi>N</mi> </munderover> <msub> <mi>X</mi> <mi>t</mi> </msub> </mrow>

X的协方差矩阵为：

<mrow> <mi>C</mi> <mo>=</mo> <mfrac> <mn>1</mn> <mi>N</mi> </mfrac> <munderover> <mo>&Sigma;</mo> <mrow> <mi>t</mi> <mo>=</mo> <mn>1</mn> </mrow> <mi>N</mi> </munderover> <mrow> <mo>(</mo> <msub> <mi>X</mi> <mi>t</mi> </msub> <mo>-</mo> <mi>&mu;</mi> <mo>)</mo> </mrow> <msup> <mrow> <mo>(</mo> <msub> <mi>X</mi> <mi>t</mi> </msub> <mo>-</mo> <mi>&mu;</mi> <mo>)</mo> </mrow> <mi>T</mi> </msup> </mrow>

协方差矩阵C的特征值的解：

Cν_i＝λ_iν_i

Φ＝[v₁，v₂,...,v_m]

Λ＝diag[λ₁,λ₂,...,λ_m]

所以：

CΦ＝ΦΛ

<mrow> <mfrac> <mrow> <munderover> <mo>&Sigma;</mo> <mrow> <mi>i</mi> <mo>=</mo> <mn>1</mn> </mrow> <mi>m</mi> </munderover> <msub> <mi>&lambda;</mi> <mi>t</mi> </msub> </mrow> <mrow> <munderover> <mo>&Sigma;</mo> <mrow> <mi>i</mi> <mo>=</mo> <mn>1</mn> </mrow> <mi>n</mi> </munderover> <msub> <mi>&lambda;</mi> <mi>t</mi> </msub> </mrow> </mfrac> <mo>&GreaterEqual;</mo> <mi>k</mi> </mrow>

根据精确参数k，选择出最优的特征向量数，而精确参数k由Kaiser经验法则：按照相关阵计算的主成分，取特征值超过1的对应的主成分。

4.如权利要求1所述的一种基于集成学习的无线传感网入侵检测方法，其特征在于：所述步骤S4中，先对SVM算法的核函数进行改进，使SVM能处理非线性数据，将数据映射到高维空间，然后将改进的SVM算法作为弱分类器；

将处理后的n条特征集作为训练集其对应的标记数据集为y₁,y₂,...,y_n∈{-1,1}，其-1代表被入侵的数据，1代表正常节点数据；初始化训练集的权重分布，第一次迭代开始对每一个训练集赋予相同的权重,D₁代表第一次迭代训练集权重分布，

假设M为超平面的边距，为了最大化M：

(1)式等价于：

(2)式等价于：

引入Soft Margin软边距代替Hard Margin硬边距，因此

其中是允许惩罚违反约束限制的松弛变量，C是用于权衡大边距和约束之间的控制参数；

(4)式等价于：

(5)式等价于：

引入Soft Margin软边距去代替Hard Margin硬边距，因此

最后求得分离超平面为：

相对应的分类决策函数为：

计算出得到最大的边距。

5.如权利要求1所述的一种基于集成学习的无线传感网入侵检测方法，其特征在于：所述步骤S5中，将弱分类器设为G_m(x)，计算出弱分类器得到的超平面分类器在训练集中的分类误差率e_m：

<mrow> <msub> <mi>e</mi> <mi>m</mi> </msub> <mo>=</mo> <mi>P</mi> <mrow> <mo>(</mo> <msub> <mi>G</mi> <mi>m</mi> </msub> <mo>(</mo> <msub> <mi>x</mi> <mi>i</mi> </msub> <mo>)</mo> <mo>&NotEqual;</mo> <msub> <mi>y</mi> <mi>i</mi> </msub> <mo>)</mo> </mrow> <mo>=</mo> <munderover> <mo>&Sigma;</mo> <mrow> <mi>i</mi> <mo>=</mo> <mn>1</mn> </mrow> <mi>N</mi> </munderover> <msub> <mi>w</mi> <mrow> <mi>m</mi> <mi>i</mi> </mrow> </msub> <mi>I</mi> <mrow> <mo>(</mo> <msub> <mi>G</mi> <mi>m</mi> </msub> <mo>(</mo> <msub> <mi>x</mi> <mi>i</mi> </msub> <mo>)</mo> <mo>&NotEqual;</mo> <msub> <mi>y</mi> <mi>i</mi> </msub> <mo>)</mo> </mrow> <mo>,</mo> </mrow>

误差率e_m就是被G_m(x)错误分类的权重之和，

然后，计算出G_m(x)在最终分类器的权重a_m：

D_m+1＝(w_m+1,1,w_m+1,2,...,w_m+1,i,...,w_m+1,N),i＝1,2,...,N

<mrow> <msub> <mi>w</mi> <mrow> <mi>m</mi> <mo>+</mo> <mn>1</mn> <mo>,</mo> <mi>i</mi> </mrow> </msub> <mo>=</mo> <mfrac> <msub> <mi>w</mi> <mrow> <mi>m</mi> <mi>i</mi> </mrow> </msub> <msub> <mi>Z</mi> <mi>m</mi> </msub> </mfrac> <mi>exp</mi> <mrow> <mo>(</mo> <mo>-</mo> <msub> <mi>&alpha;</mi> <mi>m</mi> </msub> <msub> <mi>y</mi> <mi>i</mi> </msub> <msub> <mi>G</mi> <mi>m</mi> </msub> <mo>(</mo> <msub> <mi>x</mi> <mi>i</mi> </msub> <mo>)</mo> <mo>)</mo> </mrow> <mo>,</mo> <mi>i</mi> <mo>=</mo> <mn>1</mn> <mo>,</mo> <mn>2</mn> <mo>,</mo> <mn>...</mn> <mo>,</mo> <mi>N</mi> <mo>,</mo> </mrow>

最后将训练出来的弱分类器组装起来：

<mrow> <msub> <mi>f</mi> <mrow> <mi>f</mi> <mi>i</mi> <mi>n</mi> <mi>a</mi> <mi>l</mi> </mrow> </msub> <mrow> <mo>(</mo> <mi>x</mi> <mo>)</mo> </mrow> <mo>=</mo> <munderover> <mo>&Sigma;</mo> <mrow> <mi>m</mi> <mo>=</mo> <mn>1</mn> </mrow> <mi>M</mi> </munderover> <msub> <mi>&alpha;</mi> <mi>m</mi> </msub> <msub> <mi>G</mi> <mi>m</mi> </msub> <mrow> <mo>(</mo> <mi>x</mi> <mo>)</mo> </mrow> <mo>,</mo> </mrow>

得到强分类器：

<mrow> <mi>G</mi> <mrow> <mo>(</mo> <mi>x</mi> <mo>)</mo> </mrow> <mo>=</mo> <mi>s</mi> <mi>i</mi> <mi>g</mi> <mi>n</mi> <mrow> <mo>(</mo> <mi>f</mi> <mo>(</mo> <mi>x</mi> <mo>)</mo> <mo>)</mo> </mrow> <mo>=</mo> <mi>s</mi> <mi>i</mi> <mi>g</mi> <mi>n</mi> <mrow> <mo>(</mo> <munderover> <mo>&Sigma;</mo> <mrow> <mi>m</mi> <mo>=</mo> <mn>1</mn> </mrow> <mi>M</mi> </munderover> <msub> <mi>&alpha;</mi> <mi>m</mi> </msub> <msub> <mi>G</mi> <mi>m</mi> </msub> <mo>(</mo> <mi>x</mi> <mo>)</mo> <mo>)</mo> </mrow> <mo>,</mo> </mrow>