基于互信息加权集成迁移学习的入侵检测方法

胡健 苏永东 黄文载 肖鹏 刘玉婷 杨本富

摘 要：入侵检测系统（IDS）已成为网络安全体系结构中的必要组成部分。在面对现代网络安全需求时，现有的入侵检测方法的可行性和持续性仍然存在提高空间，主要体现在更早地发现入侵威胁和提高入侵检测系统的检测精准度，为此提出一种基于互信息加权的集成迁移学习（ETL）入侵检测方法。首先，通过迁移策略对多组特征集进行建模;然后，使用互信息度量在迁移模型下特征集在不同域中的数据分布;最后，根据度量值对多个迁移模型进行集成加权，得到集成迁移模型。该方法通过学习新环境下的少量有标记样本和以往环境下的大量有标记样本的知识，可以建立效果优于传统非集成、非迁移的入侵检测模型。使用基准NSLKDD数据集对该方法进行评估，实验结果表明，所提方法具有良好的收敛性能，并提高了入侵检测的精准率。

关键词：入侵检测;迁移学习;互信息;集成学习;加权集成

中图分类号：TP393.08

文献标志码：A

Intrusion detection method based on

ensemble transfer learning via weighted mutual information

HU Jian1*， SU Yongdong1， HUANG Wenzai1， XIAO Peng1， LIU Yuting1， YANG Benfu2

1.Information Center， Yunnan Power Grid Company Limited， Kunming Yunnan 650217， China;

2.Yunnan Yundian Tongfang Technology Company Limited， Kunming Yunnan 650217， China

Abstract：

Intrusion Detection System （IDS） has become an essential part of network security system， the practicability and durability of the existing intrusion detection methods still have improvement space， like detecting intrusion threats earlier and improving the detection accuracy of intrusion detection systems. Therefore， an intrusion detection method based on Ensemble Transfer Learning （ETL） via weighted mutual information was proposed. Firstly， the transfer strategy was used to model multiple feature sets， then the mutual information was used to measure the data attribution of feature sets under the transfer models in different domains. Finally， the weighted ensemble was performed to the multiple transfer models according to the measures， obtaining the ensemble transfer model. The method was able to construct the intrusion detection model better than the traditional models without ensemble or transfer learning by learning the knowledge of little labeled samples in the new environment and many labeled samples in the prior environment. The benchmark NSLKDD dataset was used to evaluate the proposed method and the results show that the proposed method has good convergence performance and improve the accuracy of intrusion detection.

Key words：

intrusion detection; transfer learning; mutual information; ensemble learning; weighted ensemble

0 引言

新型的網络攻击呈现出了规模化、分布化、复杂化趋势，对入侵检测方法的有效性和及时性提出了更高的要求。目前普遍应用的以异常检测和误用检测（也叫基于签名的检测）为代表的入侵检测技术普遍存在检测率低、误报过高以及过渡依赖知识库等不足。现有入侵检测方法发展已经遇到瓶颈，主要有3个限制性因素：第一是网络数据量的急剧增长，并将长期高速增长，需要快速在海量的网络流量中分析网络行为; 第二网络应用的更高级更抽象，需要更加详细和丰富的上下文知识，

提高入侵检测方法的监控深度和分析粒度; 第三是网络协议的多样性和攻击行为的高级可持续性，增加了建立规范的难度。随着人工智能技术的快速发展，基于人工智能技术的入侵检测方法已成为入侵检测系统（Intrusion Detection System， IDS）[1]研究的热点之一。

1 相关研究

1.1 基于机器学习的入侵检测及其仍然存在的问题

将机器学习技术应用在入侵检测[2-3]是入侵检测问题中的热点研究领域之一，它依赖大量的有标注的网络访问数据，通过监督式学习方法（如决策树、支持向量机、神经网络等）对数据进行模式识别并建立分类模型，借助该分类模型，对未来的网络访问实例进行判断，预测新的访问实例是否安全。图1是基于机器学习的入侵检测模型基本流程，首先，研究者从数据仓库将历史访问数据取出，每一条历史访问数据包含了其在访问时的一些附加信息，如访问时长、使用的是TCP（Transmission Control Protocol）协议或是UDP（User Datagram Protocol）协议等;然后，对这些数据进行标记，标记哪些是正常的访问，哪些是非正常的访问;最后，将这些数据作为训练数据置于机器学习算法中，通过监督式機器学习算法的训练，可以得到入侵检测的分类模型，并对未知的访问进行预测。

但是传统的机器学习算法在解决入侵检测时也有其弊端：

1）传统的监督式机器学习算法基于两个基本假设：①训练数据的样本量足够多; ②训练数据和真实环境的数据的分布相同。前者保证了训练的模型足够可信，后者保证了训练的模型在新的环境下可用。但是，实际场景下，训练过程中使用的数据往往和真实环境下的数据存在数据分布差异;而给真实环境下的数据标记又是一件费时费力的工作，如何对缺乏足够训练样本的真实环境下的数据进行建模，是一项具有实际意义的工作。

2）传统的机器学习算法应用在入侵检测系统上也有其局限性，研究者通常使用单一的机器学习算法对入侵检测数据进行建模，比如，仅仅使用神经网络[4-5]或者支持向量机[6]等来训练入侵检测的分类模型，虽然已经有研究者证明，对于经典的入侵检测数据集KDD99或者NSLKDD[7]而言，这些强分类器（如神经网络和支持向量机）已经取得了不错的效果[8]。但更新的研究也证明集成学习对于入侵检测是有利的[9]。

因此，如何在目标领域的数据量不足的情况下，使用集成策略（通过多分类器对各自适合的特征）进行模型训练并对各个模型进行有效集成，是解决实际的新环境下入侵检测问题的难点。

1.2 迁移学习和集成学习

为了弥补训练样本不足的问题，机器学习研究领域的很多研究者开始将目光投向迁移学习领域，迁移学习旨在能够学习相关领域源域（source Domain，Ds）的知识，并将之应用在另外一个数据分布不同但是却相关的领域目标域（target Domain，Dt），Pan等[10]早在2009年对迁移学习研究领域目前的研究进展进行了归纳，在其综述中，描述了基于样本的迁移、基于特征表达的迁移、基于关系的迁移、基于知识的迁移四种基本的迁移方式， 其中，基于样本的迁移学习方法是在源域有标记样本充足、目标域有标记样本数据量很少的情况下，使用源域的有标记样本来辅助目标域构建模型的方法。由于基于样本的迁移学习算法易于实现，且与产业界的实际应用场景密切相关，目前已经在具体的领域，如银行的用户信用评估[11]、垃圾文本内容分类[12]、新闻文本分类[13]、推荐系统[14]、图片分类[15]等任务中被广泛应用。

另外，在具体的数据建模问题中，数据的来源具有多样化的特点，这也就导致了数据的各个特征可能分别属于不同的数据类型。如果使用TrAdaboost[16]方法仅仅对某些特定类型的特征建模，并不会有效利用好所有的特征信息。考虑到对不同类型的数据特征而言，有适合它的机器学习算法， 因此，借鉴集成学习的策略，首先对不同的特征集（同数据集某几个特征组成的特征集合）独立进行迁移模型的训练，并在最后对这些模型进行有效组合，是可以提升迁移模型的效果的。

2 基于集成迁移学习技术的入侵检测

2.1 简单迁移模型策略

对于某特定的特征集进行迁移模型的训练，可以使用极简的迁移策略[17]，如图2。

图2中Dt是少量有类别标签的目标域样本，Ds是大量的有类别标签的源域样本。通过极少的Dt结合一种分类算法，可以训练得到一个简单分类模型;随后，将之应用在源域Ds进行预测，保留预测正确的样本集Ds′;最后通过混合Ds′和Dt的样本，使用相同的分类算法，训练得到迁移模型。这个模型有速度快，且适用于多个简单迁移模型集成的优点。

2.2 集成迁移模型

在简单迁移模型的基础上，引入集成学习的概念，可得到集成迁移学习模型。首先，源域和目标域被成对地划分为不同的特征集，研究者可以在每对特征集上训练一个简单的迁移分类模型;与此同时，计算该特征集下的源域和目标域的数据分布的互信息值，并用这个互信息值来衡量不同的域在不同特征集上的差异情况;最后通过互信息值对多个简单迁移模型加权，得到最后的加权后的集成迁移模型。

实际上，对不同的特征集分别训练不同模型并将其组合的策略，在机器学习的相关研究中已经得到了充分肯定，比如在推荐系统中，宽深模型[18]就是最为经典的且具有高准确率的集成模型算法。宽深模型通过利用一个深度神经网络着重对连续型随机变量进行建模;然后，使用逻辑回归模型对离散型随机变量进行建模;最后，通过再一层的逻辑回归模型学习到加权方案，就得到一个集成了“宽”模型和“深”模型的算法模型，原实验证明这种思路可以极大地利用好各类数据特征。

集成迁移学习模型的模型流程如图2所示：首先源域（Ds）和目标域（Dt）中的有标记样本按照不同的特征集被分为多组子源域（Ds1～Dsn）和子目标域（Dt1～Dtn），每组子源域Dsi和子目标域Dti可以训练得到一组简单的单模型迁移策略Mi，同时，在迁移过程中，计算子源域和子目标域之间的互信息值并以之作为权重值来衡量模型的重要性，通过加权组合多个迁移策略（M1～Mn），就得到了最终的集成迁移模型。

2.3 加权集成方式

集成迁移模型的最终目的是将多个不同的迁移分类模型进行融合，而融合多模型最常用的方法是对多个模型的效果进行线性加权。加权的本质是对学习到的不同内容赋予不同的重要性，对于迁移学习而言，学习到的知识越有利于迁移，这个权值就应该越大。在集成迁移模型中，可以在不同特征集下使用源域和目标域的数据分布相似程度来评价简单迁移模型的迁移效果。

互信息（mutualinformation）是用在信号学中的一个度量方法，用以衡量信号传输前后的损失或者差异，Ambusaidi等[19]曾在IDS系统中使用了互信息用来辅助特征选择，而在集成迁移模型中，通过互信息可以衡量由源域到目标域的分布差异。

当给定两个连续型随机变量U={u1， u2， …， ud}和V={v1， v2， …， vd}，其中d表示样本个数，U和V互信息之间的计算方式如下：

I（U;V）=H（U）+H（V）-H（U，V）（1）

其中：H（U）和H（V）分別表示随机变量U和V的信息熵，H（U， V）为U和V的交叉熵。

当U和V是连续（continuous）型变量时，U和V之间的交叉熵记为：

I（U;V）=∫u∫vp（u，v）lgp（u，v）p（u）p（v）dudv（2）

当U和V是离散（discrete）型变量时，U和V之间的交叉熵记为：

I（U;V）=∑u∈U∑v∈Vp（u，v）lgp（u，v）p（u）p（v）（3）

结合上面互信息的定义，定义使用互信息加权的广义集成方案如式（4），其中M是各个独立的迁移模型（Mi）的加权组合模型：

M=∑ni=1I（Ui;Vi）×Mi∑ni=1I（Ui;Vi）（4）

3 实验

3.1 入侵检测数据集

实验使用NSLKDD基准数据集，该数据集是目前主要用于判断入侵检测系统性能的标准数据。NSLKDD数据集是1999年KDD CUP竞赛所使用的入侵检测数据集的改进版本，其包含了41个特征，训练数据集包含了23个类别标签，这23个类别标签隶属5个大类，而这5个大类中有4个大类（u2r、dos、r2l和probe）属于非正常的网络访问类别，正常的访问标记，只包含normal一种。训练数据集的类别标签的关系如表1所示。

通常情况下，研究者会将其中的KDDTrain或者KDDTrain+_20Percent作为模型训练的训练集，将KDDTest作为模型的测试集。而由于训练数据和测试数据的数据分布（均值和方差）存在差异，如表2，且测试集中甚至出现了训练集中不存在的非正常网络链路的标记，如：saint、 xsnoop、 mailbomb、 udpstorm、 httptunnel、 sendmail、 sqlattack、 worm、 snmpguess、 perl、 mscan、 apache2、 xterm、 named、 snmpgetattack、 processtable、 ps、 xlock，因此训练集和测试集的边缘概率分布和条件概率分布都不一致[20]，符合迁移学习的使用条件，因此该训练集和测试集也可以被认为是入侵检测领域的源域和目标域。

3.2 实验设置

首先，实验任务是一个迁移学习场景下的二分类任务，即在目标域的有标记样本量不足的情况下，结合迁移学习策略和集成学习方法，根据网络链路行为判断新的访问行为是否为入侵行为。

1）目标域数据划分。

由于在基于实例的迁移学习中，目标域难以获取足量的有标记样本，因此在实验中，只设置0.1%～2.5%的目标域有标记样本来进行迁移学习模型的训练，而源域中的样本由于都是有标记的，因此可以完全被利用。

2）加权集成方案。

对于入侵检测的数据而言，数据往往包含了多种多样的数据类型：在NSLKDD数据集中，其包含了分类特征和数值特征，而数值特征甚至也包含了已经被归一化的取值范围为[0， 1]的数值特征。实验拟对特征进行拆分，独立训练多个迁移学习模型并对模型的学习结果进行集成，使之更加有效利用原始数据的各类数据信息，使源域的知识能够最大化地被迁移到目标域中。

当使用数值型（记为numr）特征、归一化数值（记为norm）特征以及离散型（记为cate）特征分别得到了多个模型Mnumr、Mnorm、Mcate以及互信息值Inumr、Inorm、Icate时，使用互信息值对不同的预测模型结果进行加权集成，即得到了最终的学习器M，记为式（5）：

M=Inumr×Mnumr+Inorm×Mnorm+Icate×McateInumr+Inorm+Icate（5）

3）分类算法和评估方法。

在使用集成迁移模型来解决不同环境下的入侵检测问题中，实验使用多层感知机对取值区间为[0，1]的连续特征集建模，使用决策树对离散特征和取值区间为实数的连续特征建模。对于使用了迁移策略的实验而言，最终使用互信息加权策略对模型进行加权融合，得到最终的模型。

考虑到入侵检测的标准是既需要较高的精准率也需要较高的召回率，F1score作为一种常用的评估方法，兼顾了精准率和召回率两个主要的指标，其评价更具有实际意义，因此使用F1score来对模型效果进行效果评定。而F1score的评估目标，是目标域中无标记样本中的入侵检测样本是否能够得到有效判别。

4）对照实验组设定。

实验同时设置了对照组，对于迁移学习而言，对照组实验需要从以下几个方面设置：

①与直接使用目标域的少量样本训练的模型进行对比;

②与不使用迁移学习的方法（使用源域数据训练模型并将之直接应用在目标域数据上）进行对比;

③為了研究集成策略是否有效，对照组中也应该包含了训练无集成加权迁移学习模型的实验。

5）互信息计算过程。

在基于集成迁移学习算法的模型中，按照如下方式计算法互信息：计算源域有标记样本的数据分布描述和目标域有标记样本的数据分布描述（数据分布描述，包含均值和标准差，实验过程中使用python中Pandas库里的describe（）函数生成）之间的互信息值。

6）实验使用的基本分类器参数设置。

本实验中主要使用了两类监督式学习算法：决策树算法和感知机算法，其中决策树被使用在了非迁移或非集成的对照组实验中，同时也被使用在了集成迁移学习模型的分类特征集和数值特征集上，而感知机由于较好适用于数值分布在[0，1]的特征，因此被使用在集成迁移模型的归一化特征集的迁移模型中。决策树和感知机的基本参数设置如表3。

实验记录了在使用不同量目标域数据情况下，各个特征集在不同域上的互信息值的变化情况，当目标域的有标记样本量比例从0.1%逐渐扩量到2.5%时，不同特征集下的源域和目标域互信息值如图4所示。

图4中，mu_nurm描述了数值型特征在源域和目标域之间的互信息值，mu_cate表示类别型特征在源域和目标域之间数据分布的互信息值，mu_norm表示已经归一化的特征在源域和目标域之间数据分布的互信息值。

由图4可知，分类特征和数值特征随着目标域有标记样本量的增加，其源域和目标域之间的互信息值也产生了一些波动，而同时已经被归一化的数值特征由于原始的均值和标准差较为稳定，因此波动较小，以上数据曲线也说明了每一次源域和目标域在某一特征集上的可迁移的知识权重实际是存在差异的。

7）实验结果。

实验统计了随着目标域有标记样本在目标域样本中所占比率逐渐增多的情况下，使用集成迁移模型和使用非集成、非迁移模型的实验结果，节选的部分结果（目标域有标记样本所占比率为0.1%～1.3%）如表4所示。更丰富的实验结果绘制如图5和图6所示，其中，图5描述了集成迁移模型和非集成迁移模型的实验对照，而图6显示了集成迁移模型和简单迁移模型的实验对照。

8）实验分析。

结合表4，分析图5、6的实验结果，可以得到两组实验的一些基本结论：

由图5中的实验1可知：仅仅使用源域的数据混合目标域中的少量有标签数据训练分类模型，在目标域的无标记样本上的预测结果并不佳，当目标域中的有标记样本在0.02%～0.25%区间段递增时，这种策略甚至比不上直接使用目标域的少量有标记样本直接训练的模型（图5中实验2）的效果好。

在同样的实验条件下，使用了集成迁移学习模型的预测结果，是优于以上两种不使用迁移策略的方法的。在目标域样本极少（0.1%）时，集成迁移模型的预测效果在一开始较高，这说明极大地利用了目标域的有限样本筛选了更多对目标域有利的源域样本，并据此辅助训练目标域模型，这也说明有选择地迁移源域知识对训练目标域的模型是有利的。

另外，对比图6中的两组曲线可知，对多个特征集分别训练迁移模型并使用互信息加权集成多个模型的效果，是好于不使用集成策略的迁移学习模型的。虽然在目标域有限样本量更多的情况下，不使用集成策略的迁移模型会慢慢追平使用集成策略的迁移模型的F1score值，但是在样本量更少的情况下，集成迁移模型可以具有更强的提早发现入侵检测异常的能力，而这一点非常适用于真实环境下的网络入侵检测环境。

因此，结合以上的实验结论可知，在基于实际场景下跨领域的入侵检测分类问题中，完全混合源域和目标域的数据训练模型以及直接使用目标域少量数据训练模型，不会对目标任务有利，而基于互信息加权的集成迁移模型对于目标域的模型训练有利。

4 结语

通过将迁移学习技术和集成学习的思想应用在入侵检测领域，对源域和目标域多组不同的特征集，使用简单的迁移策略，训练较好的独立的迁移模型;然后使用互信息衡量源域和目标域在该特征集下的数据分布差异并以之对多个迁移模型进行集成加权，得到最终的集成迁移模型。通过在NSLKDD标准的入侵检测数据集中的实验得知，该集成迁移模型的效果好于不使用迁移模型的效果，同时也好于不使用集成策略的迁移模型的效果。

迁移的本质是挖掘源域中的可用知识来辅助目标域决策，虽然使用集成模型的方法已经一定程度上优化了对目标域的分类模型的学习。但是，对于分类特征而言，它仍然包含了一些没有得到有效解析的自然语言相关的信息，未来如何引入NLP（Natural Language Processing）相关的知识来对这些特征进行迁移也是解决入侵检测问题的新视角之一。

参考文献 （References）

[1] AKHIL J， SULTANA A. Intelligent network intrusion detection system using data mining techniques[C]// Proceedings of the 2nd International Conference on Applied and Theoretical Computing and Communication Technology. Piscataway： IEEE， 2016：329-333.

[2] AHMADI R， MACREDIE R D， TUCKER A. Intrusion detection using transfer learning in machine learning classifiers between noncloud and cloud datasets[C]// Proceedings of the 2018 International Conference on Intelligent Data Engineering and Automated Learning， LNCS 11314. Berlin： Springer， 2018： 556-566.

[3] ALJAWARNEH S， ALDWAIRI M， YASSEIN M B. Anomalybased intrusion detection system through feature selection analysis and building hybrid efficient model[J]. Journal of Computational Science， 2018， 25： 152-160.

[4] 陳虹，万广雪，肖振久. 基于优化数据处理的深度信念网络模型的入侵检测方法[J]. 计算机应用， 2017， 37（6）：1636-1643. （CHEN H， WAN G X， XIAO Z J. Intrusion detection method of deep belief network model based on optimization of data processing[J]. Journal of Computer Applications， 2017， 37（6）： 1636-1643.）

[5] LIU J， HE J， ZHANG W， et al. ANIDSEoKELM： adaptive network intrusion detection based on selective ensemble of kernel ELMs with random features[J]. KnowledgeBased Systems， 2019， 177： 104-116.

[6] BENMESSAHEL I， XIE K， CHELLAL M， et al. A new evolutionary neural networks based on intrusion detection systems using locust swarm optimization[J]. Evolutionary Intelligence， 2019， 12（2）： 131-146.

[7] Canadian Institute for Cybersecurity， University of New Business. NSLKDD dataset[DB/OL]. [2018-07-20]. https：//www.unb.ca/cic/datasets/nsl.html.

[8] 汪世义，陶亮，王华彬. 几种机器学习方法在IDS中的性能比较[J]. 计算机仿真， 2010， 27（8）：92-94. （WANG S Y， TAO L， WANG H B. Performance comparison of several machine learning methods for intrusion detection[J]. Computer Simulation， 2010， 27（8）：92-94.）

[9] 刘冬兰，马雷，刘新，等. 基于深度学习的电力大数据融合与异常检测方法[J]. 计算机应用与软件， 2018， 35（4）： 61-64. （LIU D L， MA L， LIU X， et al . Deep learning based anomaly detection approach for power big data[J]. Computer Applications and Software， 2018， 35（4）： 61-64.）

[10] PAN S J， YANG Q. A survey on transfer learning[J]. IEEE Transactions on Knowledge & Data Engineering， 2010， 22（10）：1345-1359.

[11] XIAO J， WANG R， TENG G， et al. A transfer learning based classifier ensemble model for customer credit scoring[C]// Proceedings of the 7th International Joint Conference on Computational Sciences and Optimization. Piscataway： IEEE， 2014：64-68.

[12] SUN Q， AMIN M， YAN B， et al. Transfer learning for bilingual content classification[C]// Proceedings of the 21th ACM SIGKDD International Conference on Knowledge Discovery and Data Mining. New York： ACM， 2015：2147-2156.

[13] SHAO L， ZHU F， LI X. Transfer learning for visual categorization： a survey[J]. IEEE Transactions on Neural Networks and Learning Systems， 2015， 26（5）：1019-1034.

[14] TANG J， ZHAO Z， BEI J， et al. The application of transfer learning on ecommerce recommender systems[C]// Proceedings of the 10th Web Information System and Application Conference. Piscataway： IEEE， 2013： 479-482.

[15] HUYNH B Q， LI H， GIGER M L. Digital mammographic tumor classification using transfer learning from deep convolutional neural networks[J]. Journal of Medical Imaging， 2016， 3（3）： No.034501.

[16] ZHAO H， LIU Q， YANG Y. Transfer learning with ensemble of multiple feature representations[C]// Proceedings of the IEEE 16th International Conference on Software Engineering Research， Management and Applications. Piscataway： IEEE， 2018： 54-61.

[17] DAI W， YANG Q， XUE G， et al. Boosting for transfer learning[C]// Proceedings of the 2007 International Conference on Machine Learning. New York： ACM， 2007：193-200.

[18] JAVAID A， NIYAZ Q， SUN W， et al. A deep learning approach for network intrusion detection system[C]// Proceedings of the 9th EAI International Conference on Bioinspired Information and Communications Technologies （formerly BIONETICS）. Brussels， Belgium： ICST， 2016： 21-26.

[19] AMBUSAIDI M A， HE X， NANDA P， et al. Building an intrusion detection system using a filterbased feature selection algorithm[J]. IEEE Transactions on Computers， 2016， 65（10）： 2986-2998.

[20] KABIR E， HU J， WANG H， et al. A novel statistical technique for intrusion detection systems[J]. Future Generation Computer Systems， 2018， 79： 303-318.

HU Jian， born in 1992， M. S.， engineer. His research interests include information security， machine learning.

SU Yongdong， born in 1967， senior engineer. Her research interests include information security.

HUANG Wenzai， born in 1963， M. S.， senior engineer. His research interests include automation of electric power system.

XIAO Peng， born in 1988， engineer. His research interests include cyberspace security.

LIU Yuting， born in 1987， M. S.， engineer. Her research interests include information security.

YANG Benfu， born in 1982， engineer. His research interests include software engineering， information security.