基于GRU-SVM神经网络的大数据入侵检测方法研究

何瑞江

(中国移动通信集团甘肃有限公司， 甘肃，兰州 730070)

0 引言

为了有效应对网络威胁，入侵检测技术被应用于监控网络系统内，从而及时发现网络中的恶意行为[1-4]。防火墙属于一种应用较广泛的传统防护措施，但只能对外部网络入侵起到防护作用，采用入侵检测方法可以发挥防火墙的保护作用，从而提升网络系统安全性[5]。该系统可以对网络日志进行收集分析，监听网络信息，对日志与数据包进行自动分析，快速检测到网络受到的入侵危险[6-7]。当网络入侵检测系统探测到入侵行为时，会将警告信息及时反馈给用户，有效避免网络系统受到恶意破坏[8-9]。对网络入侵过程进行检测时会产生大量数据，形成许多噪声，从而对机器的学习算法造成干扰，导致训练过程发生过拟合情况。神经网络具备自学习、自组织、自适应的功能，能够有效克服入侵检测过程面临的问题[10]。本文根据RNN神经网络与LSTM神经网络运行特征，分析了2种网络的不足，优化LSTM得到变体GRU神经网络，构建得到GRU-SVM算法，并跟传统Softmax分类器进行了对比。

1 GRU-SVM框架

1.1 GRU内部结构

GRU(Gate Recurrent Unit)是根据长短期记忆网络(Long-Short-Term Memory, LSTM)网络建立的一种能够达到更优处理效果的变体，其结构也比LSTM网络更简单，使控制效果获得明显改善，同时能够实现与LSTM网络相同的功能，能够实现RNN数据记忆的高效分析并满足梯度处理的要求。

为LSTM网络配备了输入输出门以及遗忘门，可以单独管理输入、输出和记忆数据，对GRU模型进行分析可以发现只含有更新门和重置门。各部分结构如图1所示。

利用前期获得的状态(t-1)和现有节点输入x(t)建立图1更新门和重置门，如式(1)：

rt=σWr·h(t-1),x(t)

zt=σWz·h(t-1),x(t)

图1 GRU结构

(1)

可以利用更新门来实现遗忘和选择记忆的效果，同时为LSTM配备不同的门控结构。之后更新0～1区间中的阶段表达式。通过分析发现，当门控信号位于1附近的情况下，表明此时形成了更多“记忆”数据，当门控信号与0相近的情况下，表明更多内容被“遗忘”。

1.2 GRU-SVM算法

本文利用分类算法SVM特性取代Softmax，以此作为GRU模型的输出，之后利用交叉熵函数计算出损失。建立式(2)所示的损失函数，以此实现优化L1-SVM的过程。

(2)

对式(2)变形处理获得L2-SVM，可以发现该损失函数获得了比L1-SVM更高稳定性，并且也能够满足区分的功能。新的损失函数如式(3)，

(3)

考虑到L2-SVM具备更高的稳定性，因此本文选择该算法对GRU-SVM框架进行了预测，得到fx=signwx+b预测值。通过argmax方程计算各x对应的标签值y如式(4):

predictedclass=arg maxsignwx+b

(4)

由于L2-SVM具备更高稳定性，因此选择L2-SVM对GRU-SVM框架实施预测。

GRU-SVM模型的具体结构原理如图2所示。利用SVM分类器获得输出结果。

图2 GRU-SVM模型示意图

对GRU-SVM模型进行处理的流程如图3所示。首先将所有数据输入模型内，再利用神经网络进行处理，实现对权重与偏差的控制。判断损失函数与理想值之间的偏差，并对权值与偏差进行多次迭代，训练获得到最佳的神经网络模型。

图3 GRU-SVM模型流程图

2 结果分析

从表1中可以看到各项实验参数，其中，batchsize与epochs2个参数会对模型训练精度与所需的训练时间都造成影响。为提升训练效率，经重复测试发现batchsize为512时达到最优状态，在训练过程中获得更准确下降方向，降低训练震荡幅度。对神经网络进行训练时较易发生过拟合的问题，此时可以通过引入dropout的方法来克服上述问题。Dropout指的是进行神经网络训练时，以一定概率丢弃网络神经元，达到降低神经元间相互作用的程度，使神经网络结构得以简化，有效避免发生过拟合情况。本实验通过测试发现GRU-SVM的dropout率为0.88，GRU-Softmax的dropout比例为0.81。

表1 GRU-SVM模型参数表

表2给出了对算法进行入侵检测所得结果，对这2个模型以同样方式进行训练，都在90 000行网络流量中完成16次epochs，测试时都是在10 000行网络流量数据内完成10次epochs。根据表2可知，GRU-SVM模型达到了比GRU-Softmax更高的精确率与检测率，由此可以推断将SVM分类器和GRU神经网络进行结合后获得了比传统GRU-Softmax更明显的二分类优势。对比训练时间可知，GRU-SVM获得了比GRU-Softmax更短的训练时间，说明GRU-SVM具备更高训练效率。

表2 算法参数的实验结果

从表3中可以看到以GRU-Softmax和GRU-SVM2种算法测试各类攻击得到的精度，GRU-SVM算法相对GRU-Softmax算法发生了精度的大幅提升，其中， Generic类型达到了最高的精度，精度最小的是GRU-Softmax算法。根据检测率结果可以发现，占比较小的Backdoor,worms以及Analysis算法表现出了更小的检测率结果。GRU-Softmax算法达到了更小的误报率，说明GRU-Softmax算法能够在检测攻击时只存在较小的概率将其判断成正常行为，由此减小了入侵概率。采用GRU-SVM实施入侵检测时会引起风险概率的明显提高，因此还需进一步优化。

表3 各攻击类型算法中的精确测试结果

为评价本文算法泛化特性与监测可靠性，在NSL-KDD数据集上完成检测过程，并对2种算法进行了各项性能对比，具体如表4所示。可以发现，本文算法各项性能参数都达到了更优状态。

表4 在NSL-KDD数据对比

3 总结

本实验通过测试发现GRU-SVM的dropout率为0.88，GRU-Softmax的dropout比例为0.81。GRU-SVM算法相对GRU-Softmax算法发生了精度的大幅提升，更小的误报率，说明GRU-Softmax算法能够在检测攻击时只存在较小的概率将其判断成正常行为，由此减小了入侵概率。采用GRU-SVM实施入侵检测时会引起风险概率的明显提高。通过比较本文设计的方法获得了更优的精确度、检测率、误报率与AUC。