基于极限学习机的网络安全态势预测模型

2018-08-16瑞李芯蕊马双斌

信息安全研究 2018年8期

王瑞李芯蕊马双斌

1(甘肃省公安厅网络安全保卫总队兰州 730030)2(兰州大学甘肃省信息安全等级保护测评中心兰州 730030)2(兰州大学应用技术研究院有限责任公司兰州 730030)(313916914@qq.com)

随着互联网的高速发展，网络安全事件的逐年大幅递增，使得网络安全问题成为各国研究的热点.网络安全态势预测是指对网络安全原始数据进行采集后，使用信息识别技术提取网络安全的态势因子，运用合理的安全态势预测方法得到网络安全态势值，并对网络安全状况进行预测[1].围绕安全态势要素、安全态势预测和态势可视化等进行研究；安全态势预测技术是核心问题[2-3].

目前有很多文献对网络安全态势预测方法进行研究，主要采用D-S理论、粗糙集理论、贝叶斯、神经网络、嫡理论和专家系统等方法，都取得了一定的成果，对后续的研究工作起到了积极的指导作用.以Tim Bassb的理论为基础，Salerno等人[4]提出通用的态势感知的框架；Ames等人[5]将隐马尔可夫模型运用到网络安全态势评估领域，通过当前网络状态计算网络威胁值；美国的劳伦斯伯克利国家实验室(Lawrence Berkeley National Lab)利用一种三维空间的视角对网络流量进行描述，提高对威胁的感知能力[6]；韦勇等人[7]提出将通过各节点的网络安全态势值的结合，综合评判节点所在网络的安全态势，其特点在于对节点日志信息的关联分析，还通过节点的性能指标对相应的威胁权重进行修正；张勇等人[8]分析态势感知中威胁的传播规律，并建立Markov博弈模型对产生威胁的三方进行博弈推理，动态地评估网络安全态势.网络安全态势预测的研究对于提高网络的监控能力、应急响应能力和预防干预能力都具有重要的意义.网络安全态势预测并不仅仅是对数据源进行预测，针对目前网络安全态势评估方法中的模型参数不容易获取、模型消耗时间长且可信度不高等问题，本文综合考虑网络安全态势的各方面因素，设计基于ELM的网络安全态势预测模型，可以直观方便预测当前网络安全态势值，对当前网络安全态势有一个全面的把握.

1 极限学习机原理

极限学习机(ELM)的网络模型结构图如图1所示.具有N个隐含神经元的单隐层前向神经网络(SLFN)，可以学习N个具有任意小误差的不同样本，其输入权重和隐含层偏差随机分配.因此只需要调整输出权重，而对输入权重和隐层偏差的调整对SLFN的性能没有贡献.极限学习机(ELM)随机选择输入权重和隐层偏差，然后可以获得输出权重.与传统算法相比，ELM具有更快的学习速度和更好的泛化性能.其具体工作原理如下[9-10].

图1 ELM模型结构图

给定n个不同样例(xj,yj)，其中xj为输入向量，yj为输出向量，有l个隐含层节点，激活函数为h(*)，wi=[wi 1,wi 2,…,wi n]T表示输入节点与第i个隐含节点之间的输入权重，βi=[βi 1,βi 2,…,βi m]T是第i个隐含节点与输出节点之间的权重，bi为第i个隐含节点的偏移量.

以零误差方式逼近给定的n个样例，有wi，b和βi使式(1)成立：

(1)

即：Hβ=Y，H为隐含层输出矩阵，Y为样本输出向量，其中：

H(w,b,x)=

(2)

(3)

(4)

在隐层神经元数和训练集样本数相同的情况下,任意w和b可以使单隐层前馈神经网络以零误差方式靠近输入向量，即

(5)

其中,j=1,2,…,n.当训练集样本个数较大时，通常取隐含层神经元的个数l0，即

(6)

当选定激活函数h(x)无限可微时，对任意的w和任意的b，β的值可以通过式(7)求解，即