一种基于人工蜂群优化的BP算法的入侵检测方法及其系统技术方案

本发明专利技术公开了一种基于人工蜂群优化的BP算法的入侵检测方法及其系统，该方法包括：对采集的主机日志文件和网络数据形成一包进行预处理，获得主机日志文件和网络数据的特征向量并转化为BP神经网络算法可识别的输入值；对BP神经网络算法进行初始化，将连接输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk作为人工蜂群算法的优化目标初始化人工蜂群算法的参数，将最佳蜜源传回BP神经网络算法替换输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk；根据BP神经网络算法的输出值对用户的行为进行相应的响应操作。本申请用以解决现有BP神经网络存在收敛速度慢、易陷入局部最小点、计算量大的问题。

Intrusion detection method and system based on artificial bee colony optimization BP algorithm

The invention discloses an intrusion detection method and its system based on BP algorithm based on artificial bee swarm optimization. The method includes: preprocessing the collected host log files and network data, obtaining the feature vectors of the host log files and network data and converting to the identifiable input values of the BP neural network algorithm. Initializes the BP neural network algorithm, initializes the parameters of the artificial bee colony algorithm, which connects the weight value of the input layer and the hidden layer and the weight value of the hidden layer and the output layer as the optimized target of the artificial bee colony algorithm. The best nectar source is returned to the BP neural network algorithm to replace the weight value Wij of the input layer and the hidden layer and the connection hiding. The weights of the layer and output layer are Wjk; according to the output value of the BP neural network algorithm, the user responds accordingly. This application is to solve the problem of slow convergence speed, easy to fall into the local minimum point and large amount of computation in the existing BP neural network.

【技术实现步骤摘要】
一种基于人工蜂群优化的BP算法的入侵检测方法及其系统
本专利技术涉及计算机网络安全
，具体涉及一种基于人工蜂群优化的BP算法的入侵检测方法及其系统。
技术介绍
互联网技术的飞速发展，Internet的普及，深刻地改变了人类的工作和生活方式。但是计算机和互联网又是一把双刃剑，在给人们生活工作带来方便的同时，也带来一系列安全问题。如何保证信息化社会的正常运转，网络信息的安全性是其中最重要的环节之一。Internet对于任何一个具有网络连接和ISP帐号的人都是开放的，事实上它本身被设计成了一个开放的网络。因此它本身并没有多少内置的能力使信息安全，从一个安全的角度看，Internet是天生不安全的。在网络环境里的安全是指一种能够识别的消除不安全因素的能力，安全的一般性定义也必须解决保护财产的需要，包括信息和物理设备。负责安全的任何一个人都必须决定谁在具体的设备上进行合适的操作，以及什么时候。如何对事件做出反应，以及当有人规避那些控制时如何使损害最小化的方法，即建立有效的安全矩阵。一个可行的安全矩阵是高度安全的和容易使用的，一个安全矩阵由单个操作系统安全特征、日志服务和其他的装备包括防火墙，入侵检测系统，审查方案构成，其中重点就在入侵检测这个环节，因此一个好的入侵检测系统可以更有效的控制不安全因素。入侵检测(IntrusionDetection)是用于检测任何损害或企图损害系统的状态和活动，运用误用检测(misusedetection)或异常检测(anomalydetection)的方式，发现非授权的或恶意的系统及网络行为，为防范入侵行为提供有效的手段，从而保证计算机信息系统的信息资源不被未授权访问，篡改和拒绝服务攻击。随着系统安全环境特别是网络系统安全形势的变化，传统的基于专家系统的检测技术暴露出若干局限性和不足。如传统BP神经网络存在收敛速度慢、易陷入局部最小点、计算量大，所以有必要对传统的神经系统网络进行改良。
技术实现思路
本专利技术的目的在于提供一种基于人工蜂群优化的BP算法的入侵检测方法及其系统，用以解决现有BP神经网络存在收敛速度慢、易陷入局部最小点、计算量大的问题。为实现上述目的，本专利技术的技术方案为：一种基于人工蜂群优化的BP算法的入侵检测方法，该方法包括以下步骤：S101、采集计算机网络系统的包含系统、网络、数据及用户活动的状态、行为的主机日志文件和网络数据；S102、对所述采集的所述主机日志文件和所述网络数据形成一包进行预处理，获得所述主机日志文件和所述网络数据的特征向量并转化为BP神经网络算法可识别的输入值；S103、对所述BP神经网络算法进行初始化，将连接输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk作为人工蜂群算法的优化目标；S104、初始化人工蜂群算法的参数，进行雇佣蜂、跟随蜂与侦查蜂操作，找到最佳蜜源，将所述最佳蜜源传回BP神经网络算法替换所述输入层与所述隐藏层的权值Wij和所述连接隐藏层与所述输出层的权值Wjk；S105、根据入侵特征对所接收的网络数据进行已知入侵行为的检测，然后对与入侵特征不匹配但还不能确定是正常的数据进行异常入侵检测，根据BP神经网络算法的输出值对用户的行为进行相应的响应操作。进一步的，所述初始化人工蜂群算法的参数，进行雇佣蜂、跟随蜂与侦查蜂操作，找到最佳蜜源的步骤具体包括：S201、初始化人工蜂群算法，设置蜜源的数量N，最大迭代次数maxcycle，最大滞留次数limit，产生初始蜜源；S202、雇佣蜂开始按照式(1)来搜索新蜜源，之后计算新解的适应度值并更新蜜源；公式(1)：其中，iter是当前的迭代次数；Wmin是调整因子的最小值；Wmax是调整因子的最大值；W1和W2分别代表着新蜜源向原蜜源、领域蜜源和种群最优蜜源的靠近速度；S203、按照公式(2)计算与解Xi对应的选择概率值Pi；公式(2)：其中，自适应因子fiti是解Xi对应的适应度值；跟随蜂根据选择概率Pi来选择蜜源，并按照公式(1)来选择产生新解，之后计算新解的适应度值并更新蜜源；S204、如果某个解Xi连续滞留的次数达到了之前的最大滞留次数limit,则这个解需要被丢弃，侦查蜂将出现并产生一个新解来代替那个被丢弃的解；S205、从步骤S202到S204为一次迭代过程，完成后记录下最优的解，即该解的适应度值最高；S206、判断是否达到最大迭代次数maxcycle和指定精度，否则返回步骤S202继续。进一步的，所述对所述采集的所述主机日志文件和所述网络数据形成一包进行预处理，获得所述主机日志文件和所述网络数据的特征向量并转化为BP神经网络算法可识别的输入值的步骤具体包括：对链路层数据包进行解码得到IP数据包；根据所述IP数据包首部的协议字段对lP数据包进行解码得到对应的TCP、UDP和ICMP数据包；根据所述TCP、UDP和ICMP数据包的类型将接收到的信息转换为具有若干个分向量的特征向量，传输到所述BP神经网络算法作为输入值。可选地，得到IP数据包后判断该IP数据包是否进行了分组，如果是分组的IP数据包，则对其进行重组。进一步的，所述对所述BP神经网络算法进行初始化，将连接输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk作为人工蜂群算法的优化目标的步骤包括：S301、选择训练用的样本数据，产生输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk；S302、在BP神经网络算法中输入特征向量X＝(x1，x2，…，xn)，所述隐藏层tj由公式(3)计算获得，其中θj为输入层和隐藏层之间的阈值；隐藏层的实际输出值lj由公式(4)计算获得，重复公式(3)、(4)计算输出层的实际输出值yk；公式(3)：公式(4)：S303、利用公式(5)计算BP神经网络算法的误差ek，若误差满足预设要求，则结束训练并执行S305；公式(5)：其中dk标识输出节点K的输出期望值，q是输出节点的数目；S304、通过公式(6)、(7)调整输入层和隐藏层之间的权值和阈值，以及隐藏层和输出层之间的权值和阈值；公式(6)：公式(7)：S305、通过步骤304获得的结果，计算获得输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk；S306、通过新的权值Wij、Wjk以及样本数据，重新执行上述步骤S301至S305，直至误差满足预设要求。进一步的，所述将所述最佳蜜源传回BP神经网络算法替换所述输入层与所述隐藏层的权值Wij和所述连接隐藏层与所述输出层的权值Wjk的步骤包括：S401、所述人工蜂群算法迭代到达最大迭代次数maxcycle之后，从所述人工蜂群算法获得的权值和阈值作为新的初始参数训练所述BP神经网络算法；S402、所述BP神经网络算法获得所述输入层与所述隐藏层的权值Wij和所述连接隐藏层与所述输出层的权值Wjk之后，通过所接收的网络数据获得检测结果。进一步的，所述根据BP神经网络算法的输出值对用户的行为进行相应的响应操作的步骤之后，所述方法还包括：将检测获得的新入侵行为的特征值添加到入侵行为特征库，将正常数据送往正常行为特征库。基于同一专利技术构思，本专利技术的另一方面，提供了一种基于人工蜂群优化的BP算法的入侵检测系统，该系统包括：数据采集模块，用于采集计算机网络系统的包含系统、网络、数据本文档来自技高网...

【技术保护点】
1.一种基于人工蜂群优化的BP算法的入侵检测方法，其特征在于，所述检测方法包括以下步骤：S101、采集计算机网络系统的包含系统、网络、数据及用户活动的状态、行为的主机日志文件和网络数据；S102、对采集的所述主机日志文件和网络数据形成一包进行预处理，获得所述主机日志文件和网络数据的特征向量并转化为BP神经网络算法可识别的输入值；S103、对所述BP神经网络算法进行初始化，将连接输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk作为人工蜂群算法的优化目标；S104、初始化人工蜂群算法的参数，进行雇佣蜂、跟随蜂与侦查蜂操作，找到最佳蜜源，将所述最佳蜜源传回BP神经网络算法替换所述连接输入层与隐藏层的权值Wij和所述连接隐藏层与输出层的权值Wjk；S105、根据入侵特征对所接收的网络数据进行已知入侵行为的检测，然后对与入侵特征不匹配且不能确定是正常的数据进行异常入侵检测，根据BP神经网络算法的输出值对用户的行为进行相应的响应操作。

【技术特征摘要】
1.一种基于人工蜂群优化的BP算法的入侵检测方法，其特征在于，所述检测方法包括以下步骤：S101、采集计算机网络系统的包含系统、网络、数据及用户活动的状态、行为的主机日志文件和网络数据；S102、对采集的所述主机日志文件和网络数据形成一包进行预处理，获得所述主机日志文件和网络数据的特征向量并转化为BP神经网络算法可识别的输入值；S103、对所述BP神经网络算法进行初始化，将连接输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk作为人工蜂群算法的优化目标；S104、初始化人工蜂群算法的参数，进行雇佣蜂、跟随蜂与侦查蜂操作，找到最佳蜜源，将所述最佳蜜源传回BP神经网络算法替换所述连接输入层与隐藏层的权值Wij和所述连接隐藏层与输出层的权值Wjk；S105、根据入侵特征对所接收的网络数据进行已知入侵行为的检测，然后对与入侵特征不匹配且不能确定是正常的数据进行异常入侵检测，根据BP神经网络算法的输出值对用户的行为进行相应的响应操作。2.根据权利要求1所述的一种基于人工蜂群优化的BP算法的入侵检测方法，其特征在于，所述初始化人工蜂群算法的参数，进行雇佣蜂、跟随蜂与侦查蜂操作，找到最佳蜜源的步骤具体包括：S201、初始化人工蜂群算法，设置蜜源的数量N，最大迭代次数maxcycle，最大滞留次数limit，产生初始蜜源；S202、雇佣蜂开始按照式(1)来搜索新蜜源，之后计算新解Xjnew的适应度值并更新蜜源；公式(1)：其中，iter是当前的迭代次数；Wmin是调整因子的最小值；Wmax是调整因子的最大值；W1和W2分别代表着新蜜源向原蜜源、领域蜜源和种群最优蜜源的靠近速度；S203、按照公式(2)计算与解Xi对应的选择概率值Pi；公式(2)：其中，自适应因子fiti是解Xi对应的适应度值；跟随蜂根据选择概率Pi来选择蜜源，并按照公式(1)来选择产生新解Xjnew，之后计算新解的适应度值并更新蜜源；S204、如果某个解Xi连续滞留的次数达到了之前的最大滞留次数limit，则这个解被丢弃，侦查蜂将出现并产生一个新解来代替被丢弃的解；S205、从步骤S202到S204为一次迭代过程，完成后记录下最优的解，即该解的适应度值最高；S206、判断是否达到最大迭代次数maxcycle和指定精度，否则返回步骤S202继续。3.根据权利要求1所述的一种基于人工蜂群优化的BP算法的入侵检测方法，其特征在于，对采集的所述主机日志文件和网络数据形成一包进行预处理，获得所述主机日志文件和网络数据的特征向量并转化为BP神经网络算法可识别的输入值的步骤具体包括：对链路层数据包进行解码得到IP数据包；根据所述IP数据包首部的协议字段对lP数据包进行解码得到对应的TCP、UDP和ICMP数据包；根据所述TCP、UDP和ICMP数据包的类型将接收到的信息转换为具有若干个分向量的特征向量，传输到所述BP神经网络算法作为输入值。4.根据权利要求2所述的一种基于人工蜂群优化的BP算法的入侵检测方法，其特征在于，对所述BP神经网络算法进行初始化，将连接输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk作为人工蜂群算法的优化目标的步骤包括：S301、选择训练用的样本数据，产生连接输入层与隐藏层的权值Wij和连接隐藏层与输出层的权值Wjk；S302、在BP神经网络算法中输入特征向量X＝(x1，x2，…，xn)，所述隐藏层tj由公式(3)计算获得，其...

【专利技术属性】
技术研发人员：李文，黄丽韶，扈乐华，
申请(专利权)人：湖南科技学院，
类型：发明
国别省市：湖南,43