基于SVM的入侵检测系统

基于SVM的入侵检测系统

计 算 机 工 程 第 32 卷 第9期

Vol.32 № 9 Computer Engineering · 安全技术 ·

文章编号：1000—3428(2006)09—0136—03

文献标识码：A

2006年5月

May 2006

中图分类号：TP393.08

基于SVM的入侵检测系统

钱 权1，耿焕同2，王煦法2

（1. 上海大学计算机学院，上海 200072；2. 中国科学技术大学计算机科学系，合肥 230027）

摘 要：支持向量机(SVM)作为一种新型的统计学习模型，在处理小样本和学习机的推广能力上具有很大的优势。该文应用SVM的分类特性来识别网络攻击行为，提出了基于SVM的入侵检测方法。重点考察了不同SVM核函数和参数选择对检测准确率和实时性的影响。论证了基于SVM的入侵检测在性能和识别率上都明显优于基于BP网络的攻击识别，还就目前商用入侵检测系统存在较高误报率的问题，分析了用SVM来提高其检测实时性和识别准确率的系统框架。 关键词：支持向量机；统计学习模型；入侵检测

SVM-based Intrusion Detection System

QIAN Quan1, GENG Huantong2, WANG Xufa2

(1. School of Computer, Shanghai University, Shanghai 200072;

2. Department of Computer Science, University of Science & Technology of China, Hefei 230027)

【Abstract】Support vector machine, as a new statistical learning model, possesses great advantages in small sample and machine generalizationability. This paper utilizes the classification feature of SVM to recognize intrusion, and gives SVM-based intrusion detection system. It focusesheavily on detection correctness and performance as to different SVM kernel functions and other parameters. Meanwhile, as to BP-based intrusiondetection, SVM-based intrusion detection shows great advantages in detection correctness and performance, which is demonstrated. Moreover, thehybrid system framework using SVM to improve the detection correctness and performance is also proposed in the end of the paper, which aims atsolving the main problem, high false positives of the current commercial IDS.

【Key words】Support vector machine(SVM); Statistical learning model; Intrusion detection

支持向量机是建立在统计学习理论的VC维和结构风险

最小基础上的，根据有限样本的信息在模型复杂性（对特定样本的学习精度）和学习能力（无错误地识别任意样本的能力）之间寻求最佳折中，以期获得最好的推广能力[1] 。SVM的主要优点有：(1)针对有限样本，目标是得到有限样本下的最优解，而非样本数趋于无穷大时的最优解；(2)算法最终将转化为一个二次寻优问题，理论上得到的解是全局最优，解决了神经网络方法中的局部最优问题；(3)算法将实际问题通过非线性变换，转换到高维特征空间，在高维特征空间中构造线性判别函数来实现原空间中复杂的非线性变换，学习性质保证机器有较好的推广能力。

尽管SVM在理论和应用上都取得了一些重要成果，但将SVM应用于入侵检测的研究还不多。文献[3]采用One-Class SVM对异常检测进行分析，对SMTP、FTP、Telnet、SSH4种服务的一周运行概貌建模，并就Mailbone、GuessFtp、GuessTelnet和Shprocesstable 4种攻击进行检测，识别率为100%。但实验中仅用RBF核函数，且攻击类别相对较少。

本文将通过入侵检测这一具体问题，提出了基于SVM的入侵检测方法，重点考察不同SVM核函数和参数的选取对检测准确率和检测实时性的影响，并就SVM入侵检测和基于BP神经网络2种入侵检测方案，在性能和识别效果上作进一步的比较。

性问题转换为另一个空间中的线性问题，这是SVM方法的基本思想。SVM通过非线性变换，将输入数据映射到一个高维的内积空间，并在此高维的内积空间上做线性分类，在新的特征空间上求取最优分类面。非线性变换是通过定义适当的内积核函数来实现的。

支持向量机如图1所示。它的分类函数形式上非常类似于一个神经网络，输出层是S个中间节点的线性组合，每个

输出(决策规则)

K(x权值aiyi

s个支持向量

,...,xs的非线性变换

x=(x1,x2,...,xd)

图1 支持向量机示意图

1.2 核函数

选择不同形式的内积核函数K，可生成不同形式的支持向量机，在特征空间中对应着不同的最优分类超平面。目前

基金项目：国家自然科学基金资助项目(90104030)；面向21世纪教育振兴行动计划基金资助项目

作者简介：钱 权(1972—)，男，博士，主研方向：网络安全，人工智能；耿焕同，博士生；王煦法，教授、博导 收稿日期：2005-06-30 E-mail：qq@ustc.edu

1 支持向量机算法概述

1.1 支持向量机

现实世界中有很多问题是线性不可分的，但依据广义最优超平面的思想，可以通过非线性变换将原样本空间的非线 ——136

基于SVM的入侵检测系统

应用较多的核函数有如下4种：

(1)线性核函数 K(x,y)=x y

(2)多项式核函数 K(x,y)=[(λ x y)+α]d (3)径向基函数（RBF）

2

K(x,y)=exp x y

2

σ

(4)Sigmoid函数K(x,y)=tanh(υ(x,y)+c)

SVM的性能受核函数的影响比较大。

核函数的选取以及核函数中参数的确定在不同的问题领域是不一样的，目前的做法一般都是人为地根据经验选取，如何引入领域知识，需要做进一步研究。

2 求解多类识别问题的SVM算法

支持向量机的本质是用来对两类问题进行分类以及回归问题，而现实中很多问题都是多类分类问题，如何将SVM扩展开来，构造性能更好的多值分类器，至今一直是SVM研究的热点。

通常SVM用于求解多类问题，主要有两类算法：

(1)One-Against-One方法[3]，它是对k－类分类问题首先构造所有可能的二类分类器（共k(k-1)/2个），每一个分类器的训练样本仅取两类，使用投票(Voting)策略，将待定数据项划归到得票数最多所对应的类别中。若某两个类别的得票相等，则优先划到序号较小的类别中。

(2) One-Against-All方法[4]，对于k－类分类问题，构造k个二类分类器，每一类对应其中的一个，第i个二类分类器是把第i类中的样本都标记为+1，而将其它所有的样本都标记为-1，即第i个分类器把第i类与其他(i-1)类分开。尽管One-Against-One方法需要构造k(k-1)/2分类器，但由于每一个分类器所处理的样本变小(数据仅来自2个类别)，因此One-Against-one方法的训练时间不一定比One-Against-All长。本文采用One-Against-One方法。

3 IDS实验与结果分析

3.1 实验数据描述

实验采用的数据来源于美国国防部高级研究计划署(DARPA)在1999年提供的入侵检测系统评估的数据。该测试是由MIT的Lincoln实验室提供的模拟军事网络环境中记录的7个星期的网络流量和主机系统调用记录日志，数据全部

采用Tcpdump和Solaris BSM Audit Data的格式，

数据的基础是正常的网络数据，但其中又加入了多种入侵数据，攻击行为主要有以下4类：

(1)DoS(Denial-of-Service)：拒绝服务攻击，如Ping of Death, Teardrop, smurf, SYN Flood；…… 此处隐藏：6687字，全部文档内容请下载后查看。喜欢就下载吧 ……