融合BVM与ELM的网络异常检测方法.pdf

《融合BVM与ELM的网络异常检测方法.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2012年7月西安石油大学学报(自然科学版)Ju1．2012第27卷第4期JournalofXianShiyouUniversity(NaturalScienceEdition)Vo1．27No．4文章编号：1673-064X(2012)04-0097-04融合BVM与ELM的网络异常检测方法蔡长宁，潘华贤，程国建。(1．中国石油勘探开发研究院西北分院，甘肃兰州730020；2．西安财经学院行知学院，陕西西安710038；3．西安石油大学计算机学院，陕西西安710065)摘要：针对用单一分类器对网络进行异常检测时存在的检测率低、虚警率高等问题，提出了一种新的融合球向量机(BVM

2、，BallVectorMachine)与极限学习机(ELM，ExtremeLearningMachine)的异常检测方法．该方法分别用BVM与ELM对三类网络特征进行学习，通过BP神经网络训练出相应权值来融合标签．实验表明：使用该融合方法进行网络异常检测的性能要优于使用单一的BVM或ELM；相对于融合传统的SVM与BP网络的方法，融合BVM与ELM网络异常检测方法的检测率与虚警率与传统方法相当，但其训练速度快、整体性更优．关键词：网络异常检测；球向量机；极限学习机；神经网络；数据融合中图分类号：TP393文献标识码：A随着各种网络服务的增长，维护网络信息安全融合one—clas

3、sSVM和k-means2种无监督学习算法变得越来越重要．随之而诞生的网络异常检测系统，进行网络异常检测J，和融合SVM与BMPM2种有受到越来越多学者的关注．异常检测的目的是试图监督学习算法来进行异常检测j．寻找已知或未知的攻击类型，并及时发出警报．基于考虑到有关异常检测数据量大的特点，本文采模式识别和基于根据实例进行学习的方法，可从大用极限学习机(ExtremeLearningMachine，ELM)量的异常实例当中泛化出模型，因此相比于传统的与球向量机(BallVectorMachine，BVM)作为分类异常检测系统，具有探测出新异常类型的能力．而使器，此两种算法在对大规

4、模数据处理中，都表现出优用某些有监督的学习方法，可利用其根据用户行为良的性能引．通过使用可训练的融合策略来对2种进行的建模能力，进行异常检测，并不需要事先知道分类器进行融合，旨在提高异常检测的稳定性和多确切的用户模型．如利用神经网络⋯、贝叶斯网分类器的学习速度．络、支持向量机(SupportVectorMachine，SVM)1相关算法理论对异常进行检测，都取得了较好的效果．而这些模型在提供了较强的泛化能力的同时，也带来了较高的1．1ELn算法虚警率．因此，融合多模型的算法来进行网络异常检极限学习机通过建立一个单隐层的前向神经网测，可提高系统的测量精度，增强容错能力，提升稳络来

5、实现．相对于其他智能学习方法，ELM在学习定性和可靠性，因而成为解决该问题的一种较为有的过程中隐层节点不需要迭代改变，只需要设置隐效的方法．按照融合分类器性质的不同，一般可分为层节点个数，并且产生惟一的最优解．因此，参数选融合有监督学习方法和融合无监督学习的方法．如择容易，学习速度快，人为干预少．收稿日期：2011·12-25基金项目：国家自然科学基金资助项目(编号：40872087)作者简介：蔡长宁(1962一)，男，高级工程师，研究方向为网络安全技术、高性能计算、并行计算等E·mail：caicn@petrochina．com一98一西安石油大学学报(自然科学版)已知训练样

6、本{，t}，∈Rp，t∈Rp，i=1，0]，=[1，⋯，1]，且K=[K(，)]为核函⋯，Ⅳ，一个标准的含有L个节点，且激励函数为数矩阵．而以训练集合为{(，Y)Ii=1，⋯，m}的厂()的单隐层前馈神经网络可以表示为．两类支持向量机(Two—ClassSVM)的问题可描述工∑卢·+bi)=oj，=1，⋯，Ⅳ．(1)为：minj：IlwlI+b一2p+C∑；(7)⋯一，P，，=1式中：为连接第i个隐层节点与输出神经元的输出s．t．Yi(w，(￡)+b)≥P一，i=1，2，⋯，m．权值；加为连接输入神经元与第i个隐层节点的输其对偶问题可表述为入权值；6为第i个隐层节点的偏置；o为

7、第个输入max一；(8)样本的输出值．S．t．≥0．tr=1．个隐层节点的标准单隐层前馈神经网络可以其中满足条件式(5)，从式(6)与式(8)可知，2类零误差逼近于Ⅳ个训练样本支持向量机问题可以转换为一个MEB问题．并可使L∑lIoj一圳，存在一个，W，b使得用(1+占)近似算法求解出一个包围球问题，=1(EnclosedBall，EB)，当很小时，ES(S)的球心与L∑卢i·+bi)=，=1，⋯，Ⅳ．(2)MES(s)的球心非常接近，且要比直接求解MEB问题速度更快．最终，通过求解出EB(