2024年2月29日发(作者：方淑华)
维普资讯
第３４卷 第１１期 计算机工程 ２００８年６月 ＶｏＬ３４ Ｎｏ． Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ Ｊｕｎｅ ２００８ ・安全技术・ 文章编号：１０００—３４２８（２００８）１１—０１５５—０２ 文献标识码：Ａ 中图分类号：ＴＰ３９３ 基于模糊ＳＯＦＭ的网络入侵检测方法 胡玉荣 （荆楚理工学院计算机系，荆门４４８０００） 摘要：针对目前入侵检测系统误报率过高、检测率不高和对未知入侵检测能力有限的缺陷，提出一种基于模糊ＳＯＦＭ的网络入侵检测方 法，经训练后可形成一个稳定的神经网络系统，有效地识别网络正常行为和异常行为。采用ＫＤＤ９９数据集对系统进行实验，结果表明， 系统在保持误报率低于３％的情况下，入侵检测率最高可以达到９２％以上。 关键词：入侵检测；神经网络；模糊技术；自组织特征映射 Ｍｅｔｈｏｄ ｏｆ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｂａｓｅｄ ｏｎ Ｆｕｚｚｙ ＳＯＦＭ ＨＵ Ｙｕ－ｒｏｎｇ （Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ，Ｊｉｎｇｃｈｕ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ，Ｊｉｎｇｍｅｎ ４４８０００） ［Ａｂｓｔｒａｃｔ］Ｃｏｎｓｉｄｅｒｉｎｇ ｃｕｒｒｅｎｔ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ ｗｉｔｈ ｈｉｇｈ ｍｉｓｉｎｆｏｒｍａｔｉｏｎ ｒａｔｅ ａｎｄ ｌｏｗ ｄｅｔｅｃｔｉｏｎ ｒａｔｅ，ｔｈｉｓ ｐａｐｅｒ ａｐｐｌｉｅｓ ｆｕｚｚｙ Ｓｅｌｆ－ Ｏｒｇａｎｉｚｉｎｇ Ｆｅａｔｕｒｅ Ｍａｐ（ＳＯＦＭ）ｎｅｕｒａｌ ｎｅｔｗｏｒｋ ｔｏ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ．Ａｆｔｅｒ ｂｅｉｎｇ ｔｒａｉｎｅｄ，ｔｈｅ ｆｕｚｚｙ ＳＯＦＭ ｎｅｔｗｏｒｋ ｃａｌｌ ｂｅｃｏｍｅ ａ ｓｔａｂｌｅ ｎｅｒｖｅ ｎｅｔｗｏｒｋ ｓｙｓｔｅｍ ａｎｄ ｉｄｅｎｔｉｆｙ ａ ｎｅｔｗｏｒｋ ｎｏｒｍａｌ ａｎｄ ａｂｎｏｒｍａｌ ｂｅｈａｖｉｏｒ ｅｆｆｅｃｔｉｖｅｌｙ．Ｅｘｐｅｒｉｍｅｎｔａｌ ｒｅｓｕｌｔｓ ｓｈｏｗ ｔｈａｔ ｕｓｉｎｇ ｔｈｅ ＫＤＤ９９ ｄａｔａｂａｓｅｓ， ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｒａｔｅ ｉｓ ｍｏｒｅ ｔｈａｎ ９２％ｗｈｅｎ ｔｈｅ ｍｉｓｉｎｆｏｒｍａｔｉｏｎ ｒａｔｅ ｉｓ ｂｅｌｏｗ ３％． ［Ｋｅｙ ｗｏｒｄｓ］ｉｎｔｕｒｓｉｏｎ ｄｅｔｅｃｔｉｏｎ；ｎｅｕｒａｌ ｎｅｔｗｏｒｋ；ｆｕｚｚｙ ｔｅｃｈｎｏｌｏｇｙ；Ｓｅｌｆ－Ｏｒｇａｎｉｚｉｎｇ Ｆｅａｔｕｒｅ Ｍａｐ（ＳＯＦＭ） １概述 下几个方面构成 ：（１）数据预处理，把从网络上获得的数据 目前，在模糊入侵检测系统领域中，研究者们已经作了 包进行处理，以便进一步对数据进行分析；（２）模糊神经网络， 大量的相关工作。文献…提出的ＦＩＲＥ（Ｆｕｚｚｙ Ｉｎｔｒｕｓｉｏｎ 将预处理后的数据信息作为输入矢量输入到神经网络中，对 Ｒｅｃｏｇｎｉｔｉｏｎ Ｅｎｇｉｎｅ）是一个使用模糊系统来检测网络恶意行 数据信息进一步分析，得到数据信息输出值；（３）聚类分析， 为的网络入侵检测系统，只对特定的攻击行为论证了方法的 根据模糊神经网络的输出值，判断该输出值属于正常行为模 可行性及改进性，并没有给出确切的结果。文献［２］提出的 式还是异常行为模式；ｆ４）响应模块，依据判断的结果决定所 ｃ—Ｍｅｄｏｉｄｓ模糊聚类算法，用来建立正常行为的聚类模型，模 要采取的措施，包括报告管理员、切断网络连接等。 型中包括了运用文献［３］的数据集简化方法进行简化的进程、 ２．１数据预处理 系统和网络的数据。新数据通过和已有聚类的比较来检测入 入侵检测系统的检测数据来自网络数据包，实际操作时 侵行为。检测模型表现出了较高的检测率，但误报率也很高。 将网卡的接收模式设为混杂模式，截取网络数据包。先将网 Ａｍｂａｒｅｅｎ Ｓｉｒａｊ等人提出了一个智能入侵检测系统（ＩＩＤＳ） 络数据的所有特征转变成数字特征，然后才能对这些数据进 的检测引擎，它融合了来自各个不同的入侵检测传感器的信 行神经网络的聚类分析。对所有数据进行归一化处理，这样 息，这些传感器都使用了一种人工智能技术 ｌ。此入侵检测 可消除数据不同特征对分类结果的影响差异很大的情况，使 引擎主要是将多源的数据进行融合，在基于专家知识和经验 特征之问处在更加平等的地位，便于进行后面的入侵分析。 产生规则的基础上，利用模糊识别图来进行模糊逻辑推理， ２．２聚类分析 、 完成入侵检测的任务。早期基于神经网络的ＩＤＳ研究大多采 本文应用聚类方法可以将网络行为模式分成正常行为模 用多层前馈网络ＢＰ为基础建模 Ｊ，也有多层感知器和 式和异常行为（入侵行为）模式。聚类算法采用模糊ｃ一均值聚 Ｈａｍｍｉｎｇ神经网络参与建模，但都存在自身的限制与不足。。ｌ。 类方法 Ｊ。模糊ｃ一均值聚类方法不是将模式分成分明子集， 自组织特征映射（Ｓｅｌｆ－Ｏｒｇａｎｉｚｉｎｇ Ｆｅａｔｕｒｅ Ｍａｐ，ＳＯＦＭ）神 而是求出每个模式属于各模类的隶属度。该方法首先随机选 经网络较上述网络的最大优点是无监督学习，用ＳＯＦＭ构建 取若干聚类中心，所有数据点都被赋予对聚类中心一定的模 的系统移植到新环境中，训练数据可以是无标记的 ｌ。与ＢＰ 糊隶属度，然后通过迭代方法不断修正聚类中心，迭代过程 神经网络相比，这种自组织自适应的学习能力进一步拓宽了 中以极小化所有数据点到各个聚类中心的距离与隶属度值的 人工神经网络在模式识别、分类方面的应用。 加权和为优化目标。 本文提出将自组织特征映射神经网络和模糊技术相结合 的模糊神经网络用于入侵检测系统，能较充分地发挥２种技 基金项目：国家自然科学基金资助重点项目（６０４６３００４）；湖北省教育 术的优点，克服神经网络的不足，构造一个较为有效的入侵 厅科研基金资助项目（Ｂ２００７６７００２）；荆楚理工学院自然科学基金资 检测系统。 助项目（ＺＲ２００６０１） ２一种基于模糊ＳＯＦＭ的网络入侵检测方法 作者简介：胡玉荣（１９７Ｏ一），女，硕士，．主研方向：数据挖掘 本文提出的基于模糊神经网络的入侵检测系统主要由以 收稿日期：２００７—０７—２２ Ｅ－ｍａｉｌ：ｙｕｒｏｎｇｈｕ５０１＠ｓｉｎａ．ｃｏｍ １５５～
维普资讯
２．３检测规则 当模糊ＳＯＦＭ神经网络学会了系统正常工作模式后，再 依据相应的检测规则，就能够对偏离系统正常工作的事件作 出反应，进而可以发现一些新的攻击模式，本文提出了以下 检测规则。 假设有神经元集ｗ：｛ｗｌ， ，…，ｗＭｊ，其中，子集Ｗ ：｛ｗｌ …进行了验证。 （１）为了证织本文所提出的模糊神经网络的可行性和有 效性，本文采用了ＫＤＤ Ｃｕｐ １９９９数据集对系统进行实验。 ＫＤＤ９９的数据集包含几种主要的攻击种类：侦测攻击ＰＲＯＢＥ （信息收集攻击），拒绝服务攻击ＤｏＳ（拒绝对系统的合法要 求），获取根用户权限攻击Ｕ２Ｒ（ｔ￣认证的以超级用户或根用 户的权限访问系统）。ＫＤＤ９９数据集的数据包括连续属性值、 离敞属性值和符号属性值等多种类型的属性，属性值的变化 范围也各不相同。因此，本文要对数据进行预处理。 （３）将实验数据集分为训练数据集和检测数据集２部分。 ，， １ ｝和ｗ２：｛ 。， 。，…，ｗＭ２ ｝分别为正常行为特征 类和入侵行为特征类（ＭＩ＋Ｍ２＝Ｍ），当某一检测数据ｘ输入模 糊ＳＯＦＭ网络中时，本文规定判别函数为 ｇ （ｘ）＝￣ｏ｛Ｊ ｘ—ｗ刈） ｋ＝ｌ’２，一，Ｍ ＝１，２ 判别规则为：若ｇ，（ｘ）＝Ｉ ＆（ｘ），ｉ＝ｌ ２，则Ｘ∈Ｗ 。 这种判别方法称为最近邻法，也可称为模式匹配法。其 直观理解相当简单，对未知检测样本Ｘ，只须比较它与模糊 ＳＯＦＭ网络中的Ｍ个已知类别的神经元之间的距离，并决策 ｘ与离它最近的那个神经元同类。这时，若设该最近神经元 为ｗ０，也可把ｗ 称为ｘ的最佳匹配点。若 Ｗ ，则判定 先把全部网络数据特征转变为数字特征，然后进行数据预 处理。 （３）根据该数据样本的特征数目，确定模糊ＳＯＦＭ网络的 输入层和输出层神经元个数。根据数据样本中的特征数目， 可以确定模糊ＳＯＦＭ网络的输入层有４１个神经元组成。竞 争层神经元个数的选取，直接影响模糊ＳＯＦＭ网络的性能， 数目过多则增加计算量，降低学习速度；数目过少，则有可 能把２个相近模式误判为一个。结合入侵检测的实际情况， 确定竞争层神经元个数为１５ｘ１５＝２２５。 ｘ为正常行为；若 Ｗ ，则判定ｘ为入侵行为。 ２．４基于模糊ＳＯＦＭ的网络入侵检测 假设输入模式为ｎ维，输入样本空间｛ｘ ，Ｘ 一，Ｘ ｝，其 中，Ｘ ＝ｆ ，Ｘｋ，，…，Ｘｋ ）， ＝１，２，…，ｎ，它与输出层神经元的 （４）输入训练数据，对模糊ＳＯＦＭ网络进行学习，然后对 网络的输出结果进行聚类分析。 隶属度函数为｛ ， ，…， 】，其中，输出层为２维ＳＯＦＭ（Ｍ＝ ｍｘｍ），输入层与输出层神经元 之间的连接权矢量为 （５）用检测数据进行入侵检测仿真实验。实验中的检测规 则用上文所述规则进行判断。 Ｗ ＝（ｗ１ ，Ｗ２ ．．，ｗ ）’，其算法描述如下： （１）确定ｎ维输入模式｛ｘ ，Ｘ ．．，ｘ ｝和竞争层神经元个 数Ｍ（ｍｘｍ）。 实验结果主要由ＩＤＳ的性能指标中的准确性来体现，其 准确性由检测率、误报率和漏报率这３个因素组成。检测率 是发生入侵行为时发出的正确报警数量占所有入侵行为的百 （２）对输入模式的特征值进行预处理，并初始化自组织特 征映射所需的各参数值，如输入模式的归一化处理、归一随 分比；误报率是没有发生入侵行为时发出的报警数量占所有 正常行为的百分比；漏报率即发生入侵行为时没有发出报警 的数量占所有入侵行为的百分比。 由于ＫＤＤ９９数据集的数据量较大，且其本身含有大量 的冗余数据，为了简化计算，本文采用了随机提取记录的方 法来降低数据集的大小，分别提取５ ０００条 １和１０ ０００条 ２记录作为训练数据集；另外，提取４组（Ｔ１，丁２，７＿３，Ｔ４）各 机化处理初始权值ｗ，、最大循环次数、学习速率等。 （３）对输出层神经元进行自组织训练，学习算法采用模糊 化学习算法 可得输入模式的自组织特征映射结果。 （４）对模糊ＳＯＦＭ网络的输出结果进行模糊Ｃ一均值聚类， 分成２类：１）正常行为的聚类团；２）异常行为的聚类团。 （５）将检测数据输入到模糊ＳＯＦＭ网络中，并在模糊 ＳＯＦＭ网络中找到它的最佳匹配点ｗｏ。 （６）按照检测规则判断，如果属于入侵特征的映射点，则 判断为入侵行为样本点，发出报警，程序结束。 这种算法是在对基于自组织特征映射（ＳＯＦＭ）聚类的网 络入侵检测算法进行了改进的基础上提出的，主要的改进是 ２ ０００条随机记录来分别进行神经网络训练和网络测试。在对 模糊神经网络进行了训练后，分别用４组检测数据集对该网 络进行测试，测试结果见表１和表２。 表１ ｉＩｌＩ练集 １ ｉＩｌＩ练后的实验数据对照表 数据集录总数录总譬 薹 数检出数……… 误报数漏报数一 ，（％） ，（％） “％） 当用ＳＯＦＭ网络对目标空间数据进行特征统计时，引入模糊 化学习算法的思想，形成的模糊ＳＯＦＭ网络可保证更准确地 对数据特征的统计分析，特别是在ＳＯＦＭ通过自学习从数据 中提取行为特征模式时，对某些处于正常和异常行为边界的 特征模式的准确表达是更加有利的。 表２ ｉＩｌＩ练集 ２ ｉＩｌＩ练后的实验数据对照表 ２．５入侵回应 入侵回应主要是接收来自入侵检测模块的检测结果并进 数据集录总曩数录总 嚣盛误报数检出数…… 数漏…Ｍ报数 『（％） ，（％） 『（％） 行相关的处理。入侵回应有多种方法，例如与其他安全技术 相结合进行联动、报告管理员、发出警告信息等。本文采用 了简单的报告管理员的处理方法。 ３仿真实验 本实验在Ｍａｔｌａｂ６．５环境下实现入侵检测算法的各功 能，分析了参数变化对检测结果的影响 Ｊ。利用该软件进行 入侵检测仿真实验，对基于模糊ＳＯＦＭ的网络入侵检测算法 可以看出，在训练次数相同的情况下，训练集的记录越 多，能识别的数据也越多，检测率越高，误报率越低，这充 分说明了本系统的检测性能很大程度上取决于训练集的性 （下转第１５９页）
维普资讯
Ｇ一暑Ｉ 祭露窖嘲 蹈 并没有完全反映出来。 弛 如 ３０ ２５ ２０ 十历史平均排各船，８月６日排名 ８月１３ １５ ｌＯ ５ ０ ０ ２ ４ ６ ８ １０ １２ １４ １６ １８ ２０ ２２ ２４ ｅｈ（每天的２４个小时） （从８月１日０Ａ开始计时） 图３排名曲线比较 图２ ８月份靖日流量曲线 ５结束语 序贯频繁模式是一种很好的反映网民用网习惯的方式， 使用该模式可以挖掘出流量相关的宏观网络异常。 其主要原因是“魔波”下载木马在流量上影响比较大， 因此在“魔波”来袭且用户没有防护手段的时候显示的异常 更为严重。为此，考虑了一种介于以上两者之间的方法—— 流量排名比较，它相对于序贯频繁模式挖掘更直观，然而在 细节方面反映的问题要差一些；同时它比使用绝对流量更能 参考文献 ［１】中国互联网中心．第十次中国互联网络发展状况调查统计报告： 第四部分一一调查结果（下）［ＥＢ／ＯＬ］．（２００２—０７—１０）．ｈｔｔｐ：／／ｎｅｗｓ． ｘｉｎｈｕａｎｅｔ．ｃｏｍ／ｚｉｌｉａｏ／２００３—０１／２１／ｃｏｎｔｅｎｔ７００６３７．ｈｔｍ． ＿反映网民的网络习惯。在给２４个流量值排序时，每个小时的 流量都对应于一个排名值。训练时期算出不同流量类型的各 小时平均排名值，并在检测阶段把新的排名与历史排名盐线 相比较，这样可以直观地看出流量相对大小关系的异常。 取它们的最大频繁项集，取出有代表性的排名盐线，即 如图３所示的菱形标记盐线（历史平均排名盐线）。同时，取 出８月６日与８月１３日的当天排名盐线的最大频繁项集。 由图３可以看出，８月６日的流量排名与历史平均排名 ［２】Ａｇｒａｗａｌ Ｒ，Ｓｒｉｋａｎｔ Ｒ．Ｍｉｎｉｎｇ Ｓｅｑｕｅｎｔｉａｌ Ｐａｔｔｅｒｎｓ［Ｃ］／，＇Ｐｒｏｃ．ｏｆ ｔｈｅ １ｌｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｄａｔａ Ｅｎｇｉｎｅｅｒｉｎｇ．［Ｓ．１．］：１ＥＥＥ Ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔｙ Ｐｒｅｓｓ，１９９５． ［３］Ｚｈａｏ Ｑｉａｎｋｕｎ，Ｂｈｏｗｍｉｃｋ Ｓ Ｓ．Ｓｅｑｕｅｎｔｉａｌ Ｐａｔｔｅｒｎ Ｍｉｎｉｎｇ：Ａ Ｓｕｒｖｅｙ［Ｒ］．Ｓｉｎｇａｐｏｒｅ：Ｎａｎｙａｎｇ Ｔｅｃｈｎｏｌｏｇｉｃａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｔｅｃｈｎｉ— ｃａｌ Ｒｅｐｏｒｔ：２００３１１８，２００３． ［４］瑞星．２００６年８月７日“橙色八月”病毒疫情报告［ＥＢ／ＯＬ］． ｒ２００６—０８—０７）．ｈ￣ｐ：Ｈｋ．ｒｉｓｉｎｇ．ｃｏｍ．ｃｒｄＣｈａｎｎｅｌｓ／Ｉｎｆｏ／Ｖｉｒｕｓ／２００６—０８— ０７／１１５４９３４７９６ｄ３６９１８．ｓｈｔｍ１． 几乎相反，从中可以看出８月上旬的流量异常。然而，８月 １３日的流量与历史平均排名极为相似，从中并不能反映出８ 月１３日的流量异常性，它不能从细节上反映出流量的异常。 所以，序贯频繁模式挖掘比起以上２种方法更能反映出流量 的异常。 …………………………………［５】网易科技．瑞星黄色安全警报［ＥＢ／ＯＬ］．（２００６—０８—１５）．ｈｔｔｐ：／／ｔｅｃｈ． １６３．ｃｏｍ／０６／０８１５／１０／２ＯＩＤＱＪ９４０００９１ＫＵＩ．ｈｔｍ１． ……………………………… （上接第１５６页） 能。从实验结果看，本系统在保持误报率低３％的情况下，入 侵检测率最高可以达到９２％以上。 将本文的系统与前述的一些系统进行比较，详见表３。 表３不同系统的检测率和误报率比较表 时，使检测率得到一定提高。 参考文献 ［１］Ｄｉｃｋｅｒｓｏｎ Ｊ Ｅ，Ｊｕｓｉｔｎ Ｊ，Ｋｏｕｌｏｕｓｏｕｌａ Ｏ，ｅｔ ａ１．Ｆｕｚｚｙ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ［Ｃ］／，＇Ｐｒｏｃ．ｏｆ ＩＦＳＡ Ｗｏｒｌｄ Ｃｏｎｇｒｅｓｓ ａｎｄ ｔｈｅ ２０ｔｈ ＮＡＦＩＰＳ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ．Ｖａｎｃｏｕｖｅｃ Ｂｒｉｔｉｓｈ Ｃｏｌｕｍｂｉａ，Ｃａｎａｄａ： ［ｓ．ｎ．］，２００１． ［２］Ｋｒｉｓｈｎａｐｕｒａｍ Ｒ，Ｊｏｓｈｉ Ａ，Ｎａｓｒａｏｕｉ Ａ，ｅｔ ａ１．Ｌｏｗ—ｃｏｍｐｌｅｘｉｔｙ Ｆｕｚｚｙ Ｒｅｌａｔｉｏｎａｌ Ｃ￣ｓｔｅｒｉｎｇ Ａｌｇｏｒｉｔｈｍｓ ｆｏｒ Ｗｅｂ Ｍｉｎｉｎｇ［Ｊ］．ＩＥＥＥ 从表３中可见，本文的系统与ＦＣＭｄｄ，ＮＦＩＤＳ相比，检 Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｆｕｚｚｙ Ｓｙｓｔｅｍｓ，２００１，９（４）：５９５—６０７． 测率较高而误报率却很低，这表明本文的系统有较好的实用 性。训练后的模糊神经网络并不能完全正确识别所有的测试 数据，这说明训练集是不全面的，没有包括所有可能的输入 数据的类型，导致网络对攻击行为识别不清楚；训练不够充 分也是导致识别能力不足的一个关键因素。但训练集是不可 能完备的，因为攻击行为总是不断变化的，所以错误报警也 是不可避免的。 ‘ ［３］Ａｎｄｅｒｓｏｎ Ｅ，Ｂａｉ Ｚ，Ｂｉｓｃｈｏｆ Ｃ，ｅｔ ａ１．ＬＡＰＡＣＫ Ｕｓｅｒ’ｓ Ｇｕｉｄｅ［Ｍ］． Ｐｈｉｌａｄｅｌｐｈｉａ，ＰＡ，ＵＳＡ：ＳＩＡＭ Ｐｒｅｓｓ，１９９９． ［４］ｓｉｒａ１ Ａ，Ｖａｕｇｈｎ Ｒ Ｂ，Ｂｒｉｄｇｅｓ Ｍ．Ｉｎｔｒｕｓｉｏｎ Ｓｅｎｓｏｒ Ｄａｔａ Ｆｕｓｉｏｎ ｉｎ ａｎ Ｉｎｔｅｌｌｉｇｅｎｔ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｅｔｕｒｅ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ３７ｔｈ Ａｎｎｕａｌ Ｈａｗａｉｉ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｓｙｓｔｅｍ Ｓｃｉｅｎｃｅｓ．Ｂｉｇ Ｉｓｌｎｄ，Ｈａｗａｉａｉ，ＵＳＡ：［ｓ．ｎ．】，２００４． ［５］肖道举，毛［６］丛辉，陈晓苏．ＢＰ神经网络在入侵检测中的应用［ＪＪ． 华中科技大学学报：自然科学版，２００３，３１（５）：６－８． 爽．面向ＭＡＴＡＢ工具箱的神经网络理论与应用［Ｍ］．合肥： 中国科学技术大学出版社，１９９８． ［７］赵振宇，徐用懋．模糊理论和神经网络的基础与应用［Ｍ］．北京： 清华大学出版社，１９９６． ４结束语 基于模糊ＳＯＦＭ网络能更准确地提取检测数据的统计特 征，对入侵检测的某些边缘检测率有所提高，这说明对ＳＯＦＭ 进行模糊化改进是有实际作用的。实验表明，本文提出的基 于模糊神经网络的入侵检测方法在未知入侵检测方面是可行 且有效的，具有良好的可扩展性，能在有效降低误检率的同 ［８］唐正军．网络入侵检测系统的设计与实现［Ｍ］．北京：电子工业 出版社，２００２． 一】５９一
2024年2月29日发(作者：方淑华)
维普资讯
第３４卷 第１１期 计算机工程 ２００８年６月 ＶｏＬ３４ Ｎｏ． Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ Ｊｕｎｅ ２００８ ・安全技术・ 文章编号：１０００—３４２８（２００８）１１—０１５５—０２ 文献标识码：Ａ 中图分类号：ＴＰ３９３ 基于模糊ＳＯＦＭ的网络入侵检测方法 胡玉荣 （荆楚理工学院计算机系，荆门４４８０００） 摘要：针对目前入侵检测系统误报率过高、检测率不高和对未知入侵检测能力有限的缺陷，提出一种基于模糊ＳＯＦＭ的网络入侵检测方 法，经训练后可形成一个稳定的神经网络系统，有效地识别网络正常行为和异常行为。采用ＫＤＤ９９数据集对系统进行实验，结果表明， 系统在保持误报率低于３％的情况下，入侵检测率最高可以达到９２％以上。 关键词：入侵检测；神经网络；模糊技术；自组织特征映射 Ｍｅｔｈｏｄ ｏｆ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｂａｓｅｄ ｏｎ Ｆｕｚｚｙ ＳＯＦＭ ＨＵ Ｙｕ－ｒｏｎｇ （Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ，Ｊｉｎｇｃｈｕ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ，Ｊｉｎｇｍｅｎ ４４８０００） ［Ａｂｓｔｒａｃｔ］Ｃｏｎｓｉｄｅｒｉｎｇ ｃｕｒｒｅｎｔ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ ｗｉｔｈ ｈｉｇｈ ｍｉｓｉｎｆｏｒｍａｔｉｏｎ ｒａｔｅ ａｎｄ ｌｏｗ ｄｅｔｅｃｔｉｏｎ ｒａｔｅ，ｔｈｉｓ ｐａｐｅｒ ａｐｐｌｉｅｓ ｆｕｚｚｙ Ｓｅｌｆ－ Ｏｒｇａｎｉｚｉｎｇ Ｆｅａｔｕｒｅ Ｍａｐ（ＳＯＦＭ）ｎｅｕｒａｌ ｎｅｔｗｏｒｋ ｔｏ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ．Ａｆｔｅｒ ｂｅｉｎｇ ｔｒａｉｎｅｄ，ｔｈｅ ｆｕｚｚｙ ＳＯＦＭ ｎｅｔｗｏｒｋ ｃａｌｌ ｂｅｃｏｍｅ ａ ｓｔａｂｌｅ ｎｅｒｖｅ ｎｅｔｗｏｒｋ ｓｙｓｔｅｍ ａｎｄ ｉｄｅｎｔｉｆｙ ａ ｎｅｔｗｏｒｋ ｎｏｒｍａｌ ａｎｄ ａｂｎｏｒｍａｌ ｂｅｈａｖｉｏｒ ｅｆｆｅｃｔｉｖｅｌｙ．Ｅｘｐｅｒｉｍｅｎｔａｌ ｒｅｓｕｌｔｓ ｓｈｏｗ ｔｈａｔ ｕｓｉｎｇ ｔｈｅ ＫＤＤ９９ ｄａｔａｂａｓｅｓ， ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｒａｔｅ ｉｓ ｍｏｒｅ ｔｈａｎ ９２％ｗｈｅｎ ｔｈｅ ｍｉｓｉｎｆｏｒｍａｔｉｏｎ ｒａｔｅ ｉｓ ｂｅｌｏｗ ３％． ［Ｋｅｙ ｗｏｒｄｓ］ｉｎｔｕｒｓｉｏｎ ｄｅｔｅｃｔｉｏｎ；ｎｅｕｒａｌ ｎｅｔｗｏｒｋ；ｆｕｚｚｙ ｔｅｃｈｎｏｌｏｇｙ；Ｓｅｌｆ－Ｏｒｇａｎｉｚｉｎｇ Ｆｅａｔｕｒｅ Ｍａｐ（ＳＯＦＭ） １概述 下几个方面构成 ：（１）数据预处理，把从网络上获得的数据 目前，在模糊入侵检测系统领域中，研究者们已经作了 包进行处理，以便进一步对数据进行分析；（２）模糊神经网络， 大量的相关工作。文献…提出的ＦＩＲＥ（Ｆｕｚｚｙ Ｉｎｔｒｕｓｉｏｎ 将预处理后的数据信息作为输入矢量输入到神经网络中，对 Ｒｅｃｏｇｎｉｔｉｏｎ Ｅｎｇｉｎｅ）是一个使用模糊系统来检测网络恶意行 数据信息进一步分析，得到数据信息输出值；（３）聚类分析， 为的网络入侵检测系统，只对特定的攻击行为论证了方法的 根据模糊神经网络的输出值，判断该输出值属于正常行为模 可行性及改进性，并没有给出确切的结果。文献［２］提出的 式还是异常行为模式；ｆ４）响应模块，依据判断的结果决定所 ｃ—Ｍｅｄｏｉｄｓ模糊聚类算法，用来建立正常行为的聚类模型，模 要采取的措施，包括报告管理员、切断网络连接等。 型中包括了运用文献［３］的数据集简化方法进行简化的进程、 ２．１数据预处理 系统和网络的数据。新数据通过和已有聚类的比较来检测入 入侵检测系统的检测数据来自网络数据包，实际操作时 侵行为。检测模型表现出了较高的检测率，但误报率也很高。 将网卡的接收模式设为混杂模式，截取网络数据包。先将网 Ａｍｂａｒｅｅｎ Ｓｉｒａｊ等人提出了一个智能入侵检测系统（ＩＩＤＳ） 络数据的所有特征转变成数字特征，然后才能对这些数据进 的检测引擎，它融合了来自各个不同的入侵检测传感器的信 行神经网络的聚类分析。对所有数据进行归一化处理，这样 息，这些传感器都使用了一种人工智能技术 ｌ。此入侵检测 可消除数据不同特征对分类结果的影响差异很大的情况，使 引擎主要是将多源的数据进行融合，在基于专家知识和经验 特征之问处在更加平等的地位，便于进行后面的入侵分析。 产生规则的基础上，利用模糊识别图来进行模糊逻辑推理， ２．２聚类分析 、 完成入侵检测的任务。早期基于神经网络的ＩＤＳ研究大多采 本文应用聚类方法可以将网络行为模式分成正常行为模 用多层前馈网络ＢＰ为基础建模 Ｊ，也有多层感知器和 式和异常行为（入侵行为）模式。聚类算法采用模糊ｃ一均值聚 Ｈａｍｍｉｎｇ神经网络参与建模，但都存在自身的限制与不足。。ｌ。 类方法 Ｊ。模糊ｃ一均值聚类方法不是将模式分成分明子集， 自组织特征映射（Ｓｅｌｆ－Ｏｒｇａｎｉｚｉｎｇ Ｆｅａｔｕｒｅ Ｍａｐ，ＳＯＦＭ）神 而是求出每个模式属于各模类的隶属度。该方法首先随机选 经网络较上述网络的最大优点是无监督学习，用ＳＯＦＭ构建 取若干聚类中心，所有数据点都被赋予对聚类中心一定的模 的系统移植到新环境中，训练数据可以是无标记的 ｌ。与ＢＰ 糊隶属度，然后通过迭代方法不断修正聚类中心，迭代过程 神经网络相比，这种自组织自适应的学习能力进一步拓宽了 中以极小化所有数据点到各个聚类中心的距离与隶属度值的 人工神经网络在模式识别、分类方面的应用。 加权和为优化目标。 本文提出将自组织特征映射神经网络和模糊技术相结合 的模糊神经网络用于入侵检测系统，能较充分地发挥２种技 基金项目：国家自然科学基金资助重点项目（６０４６３００４）；湖北省教育 术的优点，克服神经网络的不足，构造一个较为有效的入侵 厅科研基金资助项目（Ｂ２００７６７００２）；荆楚理工学院自然科学基金资 检测系统。 助项目（ＺＲ２００６０１） ２一种基于模糊ＳＯＦＭ的网络入侵检测方法 作者简介：胡玉荣（１９７Ｏ一），女，硕士，．主研方向：数据挖掘 本文提出的基于模糊神经网络的入侵检测系统主要由以 收稿日期：２００７—０７—２２ Ｅ－ｍａｉｌ：ｙｕｒｏｎｇｈｕ５０１＠ｓｉｎａ．ｃｏｍ １５５～
维普资讯
２．３检测规则 当模糊ＳＯＦＭ神经网络学会了系统正常工作模式后，再 依据相应的检测规则，就能够对偏离系统正常工作的事件作 出反应，进而可以发现一些新的攻击模式，本文提出了以下 检测规则。 假设有神经元集ｗ：｛ｗｌ， ，…，ｗＭｊ，其中，子集Ｗ ：｛ｗｌ …进行了验证。 （１）为了证织本文所提出的模糊神经网络的可行性和有 效性，本文采用了ＫＤＤ Ｃｕｐ １９９９数据集对系统进行实验。 ＫＤＤ９９的数据集包含几种主要的攻击种类：侦测攻击ＰＲＯＢＥ （信息收集攻击），拒绝服务攻击ＤｏＳ（拒绝对系统的合法要 求），获取根用户权限攻击Ｕ２Ｒ（ｔ￣认证的以超级用户或根用 户的权限访问系统）。ＫＤＤ９９数据集的数据包括连续属性值、 离敞属性值和符号属性值等多种类型的属性，属性值的变化 范围也各不相同。因此，本文要对数据进行预处理。 （３）将实验数据集分为训练数据集和检测数据集２部分。 ，， １ ｝和ｗ２：｛ 。， 。，…，ｗＭ２ ｝分别为正常行为特征 类和入侵行为特征类（ＭＩ＋Ｍ２＝Ｍ），当某一检测数据ｘ输入模 糊ＳＯＦＭ网络中时，本文规定判别函数为 ｇ （ｘ）＝￣ｏ｛Ｊ ｘ—ｗ刈） ｋ＝ｌ’２，一，Ｍ ＝１，２ 判别规则为：若ｇ，（ｘ）＝Ｉ ＆（ｘ），ｉ＝ｌ ２，则Ｘ∈Ｗ 。 这种判别方法称为最近邻法，也可称为模式匹配法。其 直观理解相当简单，对未知检测样本Ｘ，只须比较它与模糊 ＳＯＦＭ网络中的Ｍ个已知类别的神经元之间的距离，并决策 ｘ与离它最近的那个神经元同类。这时，若设该最近神经元 为ｗ０，也可把ｗ 称为ｘ的最佳匹配点。若 Ｗ ，则判定 先把全部网络数据特征转变为数字特征，然后进行数据预 处理。 （３）根据该数据样本的特征数目，确定模糊ＳＯＦＭ网络的 输入层和输出层神经元个数。根据数据样本中的特征数目， 可以确定模糊ＳＯＦＭ网络的输入层有４１个神经元组成。竞 争层神经元个数的选取，直接影响模糊ＳＯＦＭ网络的性能， 数目过多则增加计算量，降低学习速度；数目过少，则有可 能把２个相近模式误判为一个。结合入侵检测的实际情况， 确定竞争层神经元个数为１５ｘ１５＝２２５。 ｘ为正常行为；若 Ｗ ，则判定ｘ为入侵行为。 ２．４基于模糊ＳＯＦＭ的网络入侵检测 假设输入模式为ｎ维，输入样本空间｛ｘ ，Ｘ 一，Ｘ ｝，其 中，Ｘ ＝ｆ ，Ｘｋ，，…，Ｘｋ ）， ＝１，２，…，ｎ，它与输出层神经元的 （４）输入训练数据，对模糊ＳＯＦＭ网络进行学习，然后对 网络的输出结果进行聚类分析。 隶属度函数为｛ ， ，…， 】，其中，输出层为２维ＳＯＦＭ（Ｍ＝ ｍｘｍ），输入层与输出层神经元 之间的连接权矢量为 （５）用检测数据进行入侵检测仿真实验。实验中的检测规 则用上文所述规则进行判断。 Ｗ ＝（ｗ１ ，Ｗ２ ．．，ｗ ）’，其算法描述如下： （１）确定ｎ维输入模式｛ｘ ，Ｘ ．．，ｘ ｝和竞争层神经元个 数Ｍ（ｍｘｍ）。 实验结果主要由ＩＤＳ的性能指标中的准确性来体现，其 准确性由检测率、误报率和漏报率这３个因素组成。检测率 是发生入侵行为时发出的正确报警数量占所有入侵行为的百 （２）对输入模式的特征值进行预处理，并初始化自组织特 征映射所需的各参数值，如输入模式的归一化处理、归一随 分比；误报率是没有发生入侵行为时发出的报警数量占所有 正常行为的百分比；漏报率即发生入侵行为时没有发出报警 的数量占所有入侵行为的百分比。 由于ＫＤＤ９９数据集的数据量较大，且其本身含有大量 的冗余数据，为了简化计算，本文采用了随机提取记录的方 法来降低数据集的大小，分别提取５ ０００条 １和１０ ０００条 ２记录作为训练数据集；另外，提取４组（Ｔ１，丁２，７＿３，Ｔ４）各 机化处理初始权值ｗ，、最大循环次数、学习速率等。 （３）对输出层神经元进行自组织训练，学习算法采用模糊 化学习算法 可得输入模式的自组织特征映射结果。 （４）对模糊ＳＯＦＭ网络的输出结果进行模糊Ｃ一均值聚类， 分成２类：１）正常行为的聚类团；２）异常行为的聚类团。 （５）将检测数据输入到模糊ＳＯＦＭ网络中，并在模糊 ＳＯＦＭ网络中找到它的最佳匹配点ｗｏ。 （６）按照检测规则判断，如果属于入侵特征的映射点，则 判断为入侵行为样本点，发出报警，程序结束。 这种算法是在对基于自组织特征映射（ＳＯＦＭ）聚类的网 络入侵检测算法进行了改进的基础上提出的，主要的改进是 ２ ０００条随机记录来分别进行神经网络训练和网络测试。在对 模糊神经网络进行了训练后，分别用４组检测数据集对该网 络进行测试，测试结果见表１和表２。 表１ ｉＩｌＩ练集 １ ｉＩｌＩ练后的实验数据对照表 数据集录总数录总譬 薹 数检出数……… 误报数漏报数一 ，（％） ，（％） “％） 当用ＳＯＦＭ网络对目标空间数据进行特征统计时，引入模糊 化学习算法的思想，形成的模糊ＳＯＦＭ网络可保证更准确地 对数据特征的统计分析，特别是在ＳＯＦＭ通过自学习从数据 中提取行为特征模式时，对某些处于正常和异常行为边界的 特征模式的准确表达是更加有利的。 表２ ｉＩｌＩ练集 ２ ｉＩｌＩ练后的实验数据对照表 ２．５入侵回应 入侵回应主要是接收来自入侵检测模块的检测结果并进 数据集录总曩数录总 嚣盛误报数检出数…… 数漏…Ｍ报数 『（％） ，（％） 『（％） 行相关的处理。入侵回应有多种方法，例如与其他安全技术 相结合进行联动、报告管理员、发出警告信息等。本文采用 了简单的报告管理员的处理方法。 ３仿真实验 本实验在Ｍａｔｌａｂ６．５环境下实现入侵检测算法的各功 能，分析了参数变化对检测结果的影响 Ｊ。利用该软件进行 入侵检测仿真实验，对基于模糊ＳＯＦＭ的网络入侵检测算法 可以看出，在训练次数相同的情况下，训练集的记录越 多，能识别的数据也越多，检测率越高，误报率越低，这充 分说明了本系统的检测性能很大程度上取决于训练集的性 （下转第１５９页）
维普资讯
Ｇ一暑Ｉ 祭露窖嘲 蹈 并没有完全反映出来。 弛 如 ３０ ２５ ２０ 十历史平均排各船，８月６日排名 ８月１３ １５ ｌＯ ５ ０ ０ ２ ４ ６ ８ １０ １２ １４ １６ １８ ２０ ２２ ２４ ｅｈ（每天的２４个小时） （从８月１日０Ａ开始计时） 图３排名曲线比较 图２ ８月份靖日流量曲线 ５结束语 序贯频繁模式是一种很好的反映网民用网习惯的方式， 使用该模式可以挖掘出流量相关的宏观网络异常。 其主要原因是“魔波”下载木马在流量上影响比较大， 因此在“魔波”来袭且用户没有防护手段的时候显示的异常 更为严重。为此，考虑了一种介于以上两者之间的方法—— 流量排名比较，它相对于序贯频繁模式挖掘更直观，然而在 细节方面反映的问题要差一些；同时它比使用绝对流量更能 参考文献 ［１】中国互联网中心．第十次中国互联网络发展状况调查统计报告： 第四部分一一调查结果（下）［ＥＢ／ＯＬ］．（２００２—０７—１０）．ｈｔｔｐ：／／ｎｅｗｓ． ｘｉｎｈｕａｎｅｔ．ｃｏｍ／ｚｉｌｉａｏ／２００３—０１／２１／ｃｏｎｔｅｎｔ７００６３７．ｈｔｍ． ＿反映网民的网络习惯。在给２４个流量值排序时，每个小时的 流量都对应于一个排名值。训练时期算出不同流量类型的各 小时平均排名值，并在检测阶段把新的排名与历史排名盐线 相比较，这样可以直观地看出流量相对大小关系的异常。 取它们的最大频繁项集，取出有代表性的排名盐线，即 如图３所示的菱形标记盐线（历史平均排名盐线）。同时，取 出８月６日与８月１３日的当天排名盐线的最大频繁项集。 由图３可以看出，８月６日的流量排名与历史平均排名 ［２】Ａｇｒａｗａｌ Ｒ，Ｓｒｉｋａｎｔ Ｒ．Ｍｉｎｉｎｇ Ｓｅｑｕｅｎｔｉａｌ Ｐａｔｔｅｒｎｓ［Ｃ］／，＇Ｐｒｏｃ．ｏｆ ｔｈｅ １ｌｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｄａｔａ Ｅｎｇｉｎｅｅｒｉｎｇ．［Ｓ．１．］：１ＥＥＥ Ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔｙ Ｐｒｅｓｓ，１９９５． ［３］Ｚｈａｏ Ｑｉａｎｋｕｎ，Ｂｈｏｗｍｉｃｋ Ｓ Ｓ．Ｓｅｑｕｅｎｔｉａｌ Ｐａｔｔｅｒｎ Ｍｉｎｉｎｇ：Ａ Ｓｕｒｖｅｙ［Ｒ］．Ｓｉｎｇａｐｏｒｅ：Ｎａｎｙａｎｇ Ｔｅｃｈｎｏｌｏｇｉｃａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｔｅｃｈｎｉ— ｃａｌ Ｒｅｐｏｒｔ：２００３１１８，２００３． ［４］瑞星．２００６年８月７日“橙色八月”病毒疫情报告［ＥＢ／ＯＬ］． ｒ２００６—０８—０７）．ｈ￣ｐ：Ｈｋ．ｒｉｓｉｎｇ．ｃｏｍ．ｃｒｄＣｈａｎｎｅｌｓ／Ｉｎｆｏ／Ｖｉｒｕｓ／２００６—０８— ０７／１１５４９３４７９６ｄ３６９１８．ｓｈｔｍ１． 几乎相反，从中可以看出８月上旬的流量异常。然而，８月 １３日的流量与历史平均排名极为相似，从中并不能反映出８ 月１３日的流量异常性，它不能从细节上反映出流量的异常。 所以，序贯频繁模式挖掘比起以上２种方法更能反映出流量 的异常。 …………………………………［５】网易科技．瑞星黄色安全警报［ＥＢ／ＯＬ］．（２００６—０８—１５）．ｈｔｔｐ：／／ｔｅｃｈ． １６３．ｃｏｍ／０６／０８１５／１０／２ＯＩＤＱＪ９４０００９１ＫＵＩ．ｈｔｍ１． ……………………………… （上接第１５６页） 能。从实验结果看，本系统在保持误报率低３％的情况下，入 侵检测率最高可以达到９２％以上。 将本文的系统与前述的一些系统进行比较，详见表３。 表３不同系统的检测率和误报率比较表 时，使检测率得到一定提高。 参考文献 ［１］Ｄｉｃｋｅｒｓｏｎ Ｊ Ｅ，Ｊｕｓｉｔｎ Ｊ，Ｋｏｕｌｏｕｓｏｕｌａ Ｏ，ｅｔ ａ１．Ｆｕｚｚｙ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ［Ｃ］／，＇Ｐｒｏｃ．ｏｆ ＩＦＳＡ Ｗｏｒｌｄ Ｃｏｎｇｒｅｓｓ ａｎｄ ｔｈｅ ２０ｔｈ ＮＡＦＩＰＳ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ．Ｖａｎｃｏｕｖｅｃ Ｂｒｉｔｉｓｈ Ｃｏｌｕｍｂｉａ，Ｃａｎａｄａ： ［ｓ．ｎ．］，２００１． ［２］Ｋｒｉｓｈｎａｐｕｒａｍ Ｒ，Ｊｏｓｈｉ Ａ，Ｎａｓｒａｏｕｉ Ａ，ｅｔ ａ１．Ｌｏｗ—ｃｏｍｐｌｅｘｉｔｙ Ｆｕｚｚｙ Ｒｅｌａｔｉｏｎａｌ Ｃ￣ｓｔｅｒｉｎｇ Ａｌｇｏｒｉｔｈｍｓ ｆｏｒ Ｗｅｂ Ｍｉｎｉｎｇ［Ｊ］．ＩＥＥＥ 从表３中可见，本文的系统与ＦＣＭｄｄ，ＮＦＩＤＳ相比，检 Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｆｕｚｚｙ Ｓｙｓｔｅｍｓ，２００１，９（４）：５９５—６０７． 测率较高而误报率却很低，这表明本文的系统有较好的实用 性。训练后的模糊神经网络并不能完全正确识别所有的测试 数据，这说明训练集是不全面的，没有包括所有可能的输入 数据的类型，导致网络对攻击行为识别不清楚；训练不够充 分也是导致识别能力不足的一个关键因素。但训练集是不可 能完备的，因为攻击行为总是不断变化的，所以错误报警也 是不可避免的。 ‘ ［３］Ａｎｄｅｒｓｏｎ Ｅ，Ｂａｉ Ｚ，Ｂｉｓｃｈｏｆ Ｃ，ｅｔ ａ１．ＬＡＰＡＣＫ Ｕｓｅｒ’ｓ Ｇｕｉｄｅ［Ｍ］． Ｐｈｉｌａｄｅｌｐｈｉａ，ＰＡ，ＵＳＡ：ＳＩＡＭ Ｐｒｅｓｓ，１９９９． ［４］ｓｉｒａ１ Ａ，Ｖａｕｇｈｎ Ｒ Ｂ，Ｂｒｉｄｇｅｓ Ｍ．Ｉｎｔｒｕｓｉｏｎ Ｓｅｎｓｏｒ Ｄａｔａ Ｆｕｓｉｏｎ ｉｎ ａｎ Ｉｎｔｅｌｌｉｇｅｎｔ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｅｔｕｒｅ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ３７ｔｈ Ａｎｎｕａｌ Ｈａｗａｉｉ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｓｙｓｔｅｍ Ｓｃｉｅｎｃｅｓ．Ｂｉｇ Ｉｓｌｎｄ，Ｈａｗａｉａｉ，ＵＳＡ：［ｓ．ｎ．】，２００４． ［５］肖道举，毛［６］丛辉，陈晓苏．ＢＰ神经网络在入侵检测中的应用［ＪＪ． 华中科技大学学报：自然科学版，２００３，３１（５）：６－８． 爽．面向ＭＡＴＡＢ工具箱的神经网络理论与应用［Ｍ］．合肥： 中国科学技术大学出版社，１９９８． ［７］赵振宇，徐用懋．模糊理论和神经网络的基础与应用［Ｍ］．北京： 清华大学出版社，１９９６． ４结束语 基于模糊ＳＯＦＭ网络能更准确地提取检测数据的统计特 征，对入侵检测的某些边缘检测率有所提高，这说明对ＳＯＦＭ 进行模糊化改进是有实际作用的。实验表明，本文提出的基 于模糊神经网络的入侵检测方法在未知入侵检测方面是可行 且有效的，具有良好的可扩展性，能在有效降低误检率的同 ［８］唐正军．网络入侵检测系统的设计与实现［Ｍ］．北京：电子工业 出版社，２００２． 一】５９一