基于RBF神经网络的网络安全态势感知预测研究

钱建　李思宇

摘   要：针对网络安全态势的感知问题，结合巨龙山和者磨山风电场的运行情况，文章提出了基于径向基函数（RBF）神经网络的网络安全态势预测模型，采用K-means聚类算法对网络参数进行优化并感知网络安全态势，并采用训练数据来训练该模型。训练结果表明，该方法能较准确的获得态势预测结果，具有较高的检测准确率，与BP神经网络预测对比也显示出更高的精度与更好的适应性。

关键词：RBF神经网络;网络安全;态势感知;预测

中图分类号： TP309.2          文献标识码：A

Abstract： Aiming at the problem of network security situation perception， combined with the operation of Julongshan and Zhemoshan wind farms， a network security situation prediction model based on radial basis function （RBF） neural network is proposed in this paper. The network parameters are optimized and the network security situation is sensed， and the training data is used to train the model. The training results show that this method can obtain situation prediction results more accurately， and has higher detection accuracy. Compared with the prediction of BP neural network， it also shows higher accuracy and better adaptability.

Key words： RBF neural network; network security; situational awareness; prediction

1 引言

隨着当今社会的快速发展，网络与信息安全领域的发展日新月异，给人们生活水平带来提高的同时，网络安全问题也愈发严重[1～3]。尽管一系列的安全检测产品如入侵检测系统（IDS）和防火墙等已经广泛应用于各领域[4]，但由于网络攻击手段逐渐呈现出多样化，同时漏报、误报和报告格式不统一等缺陷仍然存在，以及传统网络安全防护设备功能单一、不能全方位的对网络的安全状态做出整体的评价和估计等问题，网络安全问题依然相当严峻[5～8]。基于此，网络安全研究也经历了“安全体系的被动建设—主动发展—入侵—防御—评估一体系全面安全体系”的发展历程[9～10]，网络安全态势研究应运而生。“网络态势”是一个整体和宏观的概念，是指由各种网络设备的运行状况、网络行为以及用户行为等因素所构成的整个网络的当前状态和变化趋势。“网络态势感知”的概念最早由Bass于1999年首次提出，并认为可以将态势感知技术应用于多个NIDS检测结果的数据融合分析，网络安全态势感知作为一种主动防御技术，对网络中的安全事件进行分析，及早的发现网络中的风险[11]。通过对网络、服务、主机、资源进行感知，及时的制定、调整安全策略，在攻击发生前减少和降低风险[12]。

近年来，国内外不少学者对网络安全态势感知方法进行了研究。Liu等人[13]提出了NSSA的认知意识控制模型（CACM），CACM采用跨层架构和认知圈，可以突破不同网络层之间的交互障碍，并提出了一种决策级融合方法，其中为不同的数据源分配不同的权重，从而可以提高融合精度，但是仅考虑单入侵攻击，且数据源单一，也没有对安全态势的评估和预测结果做深入研究;Yang等人[14]基于MIMO系统理论，对5G网络安全性的影响以及态势感知技术的理论，构建了面向5G的大规模MIMO系统的安全态势感知系统模型，但这些预测模型得到的最终预测结果精度较差，不能有效反映网络安全的变化趋势;Zhao等人[15]建立了网络安全态势感知指标体系，对指标因素进行选择和量化，然后通过计算态势值，构建了网络安全态势感知系统，但仅从网络历史的整体安全态势本身数据进行分析，忽略影响网络安全态势的安全因子。

国内对态势感知的研究虽然起步较晚，但也取得了相应的成果。谢丽霞等人[16]设计了一种基于BP神经网络的网络安全态势评估方法，定义网络安全态势的一级评估和二级评估指标，但没有考虑指标体系中各因素之间的关联性，将会导致信息的融合处理存在很大难度;秦丽娜[17]提出了一种卷积神经网络在线网络安全攻击检测方法，基于传统的卷积网络设计了对网络进行攻击检测的改进卷积神经网络模型，缺乏指标体系有效性的验证，无法验证指标体系是否涵盖了网络安全的所有方面;蒋诚智等人[18]在现有的模型研究的基础上，结合电力信息网络的现状与需求，提出了一种基于智能Agent的NSSA感知模型。模型从数据采集处理层、评估分析层、协调管理层和态势决策层几个层次介绍了涉及的Agent模型和功能模块，对电力信息网络安全监控和管理具有一定的指导意义，但该算法的复杂度很高、效率较低、实时性较差。

本文根据RBF神经网络的优势，结合巨龙山和者磨山风电场运行状况，对风电场网络安全态势值进行分析，利用网络安全态势值具有非线性时间序列的特点，构建网络安全态势预测模型。使用RBF神经网络找出网络安全态势值的非线性映射关系，以提高态势预测的准确性，利用均方根误差、多元统计系数、归一化均方根误差等参数检验预测网络安全态势值的准确性，同时与BP神经网络预测模型进行比较。

2 者磨山风电场和巨龙山风电场运行状况

者磨山风电场，建于云南省大理市下关西南，工程分两期建设，总装机容量45.75兆瓦，共安装61台750千瓦风力发电机组，总投资约5.2亿元，年上网电量约14612万千瓦/时;巨龙山风电场是五福山风电项目群第一期工程，装机容量49.5兆瓦，风电场主要由33台风机、33台箱式变压器、35千伏集电线路、进场道路及一座110千伏升压站组成，项目总投资约4.5亿元，年上网电量1.16亿千瓦/时，两者经济效益与社会效益显著。目前智能电网的发展越来越智能化，开放化的网络架构、多样性的电力需求使得电力系统愈加复杂，给电力系统的建设、运行带来巨大的不确定性。电力系统的安全包括电力基础设施安全和网络信息安全，例如网络黑客、企业间谍、设备缺陷、用户操作错误以及自然灾害等。各级政府需要将保证电力系统网络安全作为保障电力系统安稳运行的重要工作来抓。网络入侵攻击等引发的信息系统故障不仅会损害信息系统，还会威胁物理系统，破坏电网的平稳运行。尤其是针对电力监控系统的各种网络入侵攻击，对具有信息物理融合系统特征的电力基础设施构成了严峻的威胁。因此，为保障各类并网发电企业和主网的安全可靠运行，水电十四局大理聚能投资有限公司率先开展基于风电场电力监控系统的网络安全态势感知关键技术研究与集成示范，以期为发电企业开展相关工作起到示范带头作用。

3 RBF神经网络基本原理与设计

径向基函数（Radical Basis Function，RBF）神经网络是一种三层前馈网络，包括输入层、隐含层、输出层。其拓扑结构比较简单，它是以径向基函数作为激活函数，当输入样本与基函数中心距离接近时，隐含层节点会被激活，产生较大的输出[19]。输入层和隐含层之间的权值固定为1，输入层不经任何变换直接将输入向量映射至隐含层，该映射是一个非线性变换。隐含层和输出层之间是有权值的，隐含层映射至输出层是一个线性变换过程，网络最终的输出是隱含层所有神经元输出的加权和[20]。

RBF神经网络模型选择距离函数作为隐含层节点的基函数，采用径向基函数作为激活函数，同时使用线性优化技术，能够有效提高网络的学习收敛速度并避免局部最小问题，以任意精度可以逼近任何连续函数[21]。RBF神经网络隐层的功能是将低维空间的输入通过非线性函数映射到一个高维空间，然后再在这个高维空间进行曲线的拟合。它等价于在一个隐含的高维空间寻找一个能最佳拟合训练数据的表面[22]。这点与普通的多层感知机MLP是不同的。

图2为N-M-H结构的RBF基本神经网络模型。该网络具有N个输入节点，m个隐节点，h个输出节点。其中N为训练样本集的样本数量，P为隐层节点数，L为目标输出的个数。输入层的任一节点用i表示，隐层的任一节点用j表示，输出层的任一节点用y表示。

对各层的数学描述为：x=（x1，x2，…，xn）T为网络输入向量，输入层的作用是在不对输入信息进行的任何变换处理的情况下将其映射到隐含层;Φj（x），（j=1，2，…，m）为任一隐节点的激活函数，称为“基函数”，选用高斯函数，计算各个输入样本与样本中心的距离函数;W为输出权矩阵，其中Wmh=（j=1，2，…，p n=1，2，…，L）为隐层第j个节点与输出层第n个节点间的突触权值;Y=（y1，y2，…，yh）为网络输出;输出层将隐含层各节点的输出进行线性组合，以对输入模式进行响应输出。对于RBF神经网络预测安网络全态势而言，如图3所示，其中每个样本中5个值作为输入值，最后1个值作为输出。

在确定了神经网络结构之后，基于径向基神经网络（RBF）预测生物柴油低温流动性的具体实施流程，主要包括的3大步骤为：

1）数据获取与预处理：针对网络态势的不同影响因素及其变化规律，考虑各参数之间量纲差异对径向基神经网络学习精度与效率的影响，采用下式进行数据归一化处理：

2）样本划分：100组实验数据，其中随机选择85%用于训练学习，剩下的15%用于测试。

3）径向基神经网络预测与评估：利用测试样本评估RBF神经网络的网络安全态势的有效性。

4 模型评价指标

鉴于广泛使用的模型评估指标的局限性，本研究通过对所建立的模型进行各种尺度变换不变的误差度量和不确定性估计措施，对模型的可信度进行综合评估，以使所建立的预测模型合理化。尽管与类似的研究相比，流行的模型评估指标已被用作模型性能的基准，但对于从原始指标相应缩放的变化中获得的值，该指标的每个结果都已进一步合理化，以解决其固有的局限性，保留了常规措施的属性。具体的性能评价指标为：

5 实验分析

5.1 实验设备与试验数据

本文搭建了由主机、路由器、交换机、服务器等组成的网络进行实验，如图4所示。

本文仿真数据来源于CICIDS2017，该数据集包含良性和最新的常见攻击，还包括使用CICFlowMeter进行流量分析的结果，该流量分析具有基于时间戳、源IP地址和目标IP地址、源端口号和目标端口号、协议以及攻击类型的标记流。根据谢丽霞等人的评估实验对态势值进行评估。利用获取的态势值形成历史和当前的网络态势值进行态势预测。结合网络安全态势值的计算特点，设定预测周期为12h。本文从态势数据集中选取长度为100的网络安全态势时间序列。将输入层节点设定为5，输出层节点设定为1，同时为避免原始数据跨度大不利于处理的影响，对所得态势值均作归一化处理。

5.2 仿真结果及分析

RBF神经网络是基于局部基函数和迭代函数逼近的神经网络，通过基于单个单变量函数的项的线性组合来近似多变量函数的方法。该单变量函数是径向基函数，径向基函数网络因其良好的逼近能力、更快的学习算法和更简单的网络结构而具有许多用途。图6和图7是RBF预测网络安全态势的预测值与实验值的对比，从图6和图7可以看出，RBF神经网络的预测精度比BP神经网络的预测精度都要高，预测值和实际值基本相吻合，显示出RBF神经网络在预测网络安全态势的优越性。