[發明專利]基于并行多人工蜂群算法和支持向量機的入侵檢測方法

有效

• 申請號: 201710552034.5
• 申請日: 2017-07-07
• 公開（公告）號: CN107465664B
• 公開（公告）日: 2020-04-24
• 發明（設計）人: 徐周波;張永超;古天龍;寧黎華;常亮
• 申請（專利權）人: 桂林電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62;G06N3/00
• 代理公司: 桂林市持衡專利商標事務所有限公司 45107
• 代理人: 陳躍琳

1.基于并行多人工蜂群算法和支持向量機的入侵檢測方法，包括訓練階段和檢測階段；其特征是，

所述訓練階段包括如下步驟：

步驟A.采集網絡連接數據，用來對檢測系統進行訓練；

步驟B.將采集的訓練數據集分成學習集和驗證集；

步驟C.對學習集和驗證集進行預處理；

步驟D.設置雙環形多蜂群協同優化模型中每個蜂群算法初始參數，對蜜蜂種群進行初始化，產生初始蜂群，即產生初始網絡連接特征和SVM模型參數；

所述雙環形多蜂群協同優化模型由6個蜂群組成，均分在兩個環上；將兩個環上位于同一角度的第一蜂群和第二蜂群合稱為部落，將內環上的第一蜂群稱作各自部落的首領，將外環上的第二蜂群稱作各自部落的部員；該雙環形多蜂群協同優化模型各種群間的交流協作分為兩個階段：

階段1：在該階段蜂群的信息交流與協作只發生在每個部落內部的兩個蜂群之間，部落之間相互獨立，互不干擾；首領蜂群與部員蜂群每隔一定的迭代次數進行一次蜜源互換，然后首領蜂群和部員蜂群按照交換后的蜜源獨立進化，如此循環進行，直到滿足進入階段2的條件；

階段2：當整個群體執行指定次數的迭代后算法進入第2階段，在該階段部落內部兩個蜂群間的通信停止，蜂群間的信息交流發生在不同部落中的首領蜂群之間；每隔一定的迭代次數，每個首領蜂群將自己的所有蜜源向量提交到蜜源交換區域，在蜜源交換區域中對所有首領蜂群提交的蜜源向量按照適應度評價值進行排序，選出前N個最優的蜜源分配給每個首領蜂群，首領蜂群對接收的N個蜜源進行迭代尋優，如此循環，直到滿足停止條件，整個進化過程結束，從蜜源交換區域中得到最終的最優蜜源；其中N為每個蜂群在初始化時指定的蜜源數量；

步驟E.雙環形多蜂群協同優化模型在學習集和驗證集上進行不斷迭代，對網絡連接特征和SVM模型參數進行同步優化，最終輸出最優的蜜源位置向量，即最優的網絡連接特征向量和SVM模型參數向量；

步驟E1.設置每個蜂群算法雇傭蜂階段和觀察蜂階段局部搜索迭代控制變量i和j的初始值，雇傭蜂階段開始；

步驟E2.對當前迭代蜜源進行鄰域搜索；

步驟E3.如果對所有的蜜源都進行了鄰域搜索，雇傭蜂階段結束，轉向步驟E4進入觀察蜂階段；否則，轉向步驟E2繼續對蜜源進行鄰域搜索；

步驟E4.進入觀察蜂階段，計算每個雇傭蜂被觀察蜂選擇跟隨的選擇概率P_i；

步驟E5.根據計算的每個選擇概率P_i，按照輪盤賭機制選擇一個蜜源；

步驟E6.對被選中的蜜源進行鄰域搜索；

步驟E7.進入觀察蜂階段，如果任一蜜源的嘗試開發次數達到設定的閾值后解的質量仍然沒有提高，則隨機生成一個蜜源替換該蜜源；

步驟E8.記憶當前最優解，判斷是否達到設定的最大迭代次數，如果達到最大迭代次數，則輸出全局最優解，否則轉向步驟D繼續進行下一次的迭代優化；

步驟F.按照步驟E輸出的最優的SVM模型參數向量對SVM的參數進行設置，得到最終的網絡入侵檢測模型；

所述檢測階段包括如下步驟：

步驟G.對網絡數據流進行實時采集，并采用與步驟C相同的預處理方式對采集到的待檢測數據進行預處理；

步驟H.按照步驟E輸出的最優的網絡連接特征向量，對采集到的待檢測數據進行特征提取；

步驟I.將步驟H特征提取后所得的數據輸入步驟F訓練得到的最終的網絡入侵檢測模型中，一但檢測到入侵攻擊，則通知網絡管理員進行相應的處理。

2.根據權利要求1所述基于并行多人工蜂群算法和支持向量機的入侵檢測方法，其特征是，步驟D具體包括如下子步驟：

步驟D1.設置每個蜂群算法的參數，即個體數量NP，最大迭代次數MCN，以及每個蜜源的嘗試開發次數閾值limit；

步驟D2.按照預定的蜜源編碼方式和初始化策略，對優化模型中的每個蜂群算法產生初始蜜源，即初始的網絡連接特征和SVM模型參數。

3.根據權利要求1所述基于并行多人工蜂群算法和支持向量機的入侵檢測方法，其特征是，步驟E2和步驟E6的鄰域搜索的具體步驟為：

步驟E-1.對蜜源進行鄰域搜索，在該蜜源附近產生新的蜜源；

步驟E-2.從上述新蜜源中提取出數據特征向量和模型參數向量；

步驟E-3.按照數據特征向量從原始數據集中提取數據，產生新的數據集，將模型參數向量的值設置到SVM中，得到SVM分類模型；

步驟E-4.將特征提取后的數據集輸入到SVM模型中做交叉驗證，計算當前蜜源的適應度值；

步驟E-5.根據計算的適應度值判斷解的質量是否提高，如果新蜜源優于當前蜜源，則轉向步驟E-6，否則轉向步驟E-7；

步驟E-6.用新的解代替當前解，并將當前解的鄰域嘗試開發次數limit置0，鄰域搜索過程結束；

步驟E-7.當前解的鄰域嘗試開發次數limit加1，鄰域搜索過程結束。