本發(fā)明涉及ipv6網(wǎng)絡(luò)中入侵?jǐn)?shù)據(jù)的檢測，具體為一種基于概率神經(jīng)網(wǎng)絡(luò)的ipv6入侵檢測方法。
背景技術(shù)：
：入侵檢測技術(shù)是網(wǎng)絡(luò)安全技術(shù)核心之一，在ipv4網(wǎng)絡(luò)中，已經(jīng)有了較為成熟的技術(shù)和較為廣泛的應(yīng)用，但是在下一代互聯(lián)網(wǎng)ipv6網(wǎng)絡(luò)中，入侵檢測仍處于研究階段，并沒有形成成熟可操作的技術(shù)。隨著網(wǎng)絡(luò)規(guī)模日益的擴(kuò)大與發(fā)展，ipv6網(wǎng)絡(luò)必將日漸代替ipv4網(wǎng)絡(luò)走向?qū)嶋H應(yīng)用，這給ipv6網(wǎng)絡(luò)入侵檢測技術(shù)帶來了廣闊的研究前景。隨著異常入侵檢測系統(tǒng)的發(fā)展，各種機(jī)器學(xué)習(xí)方法包括神經(jīng)網(wǎng)絡(luò)被引入到了網(wǎng)絡(luò)異常檢測中，如lee提出的基于數(shù)據(jù)挖掘技術(shù)的檢測方法，從審計(jì)數(shù)據(jù)或數(shù)據(jù)流中提取感興趣的知識(shí)，并用這些知識(shí)去檢測異常入侵和已知的入侵，這種方法可以適應(yīng)處理大量數(shù)據(jù)的情況，但并不能高效地進(jìn)行實(shí)時(shí)入侵檢測；鄭黎明提出的基于支持向量機(jī)svm的入侵檢測方法，解決了入侵檢測系統(tǒng)先驗(yàn)知識(shí)較少情況下推廣能力差的問題，使得入侵檢測系統(tǒng)在小樣本的條件下仍然具有良好的推廣能力，但是當(dāng)輸入數(shù)據(jù)集很大時(shí),svm方法的計(jì)算速度也會(huì)下降較大，且單純的支持向量機(jī)對(duì)于多元問題的處理仍沒有很好的解決辦法；李元兵提出的基于bp神經(jīng)網(wǎng)絡(luò)的檢測方法，使得入侵檢測系統(tǒng)在識(shí)別未知攻擊方面具有更好的性能，bp神經(jīng)網(wǎng)絡(luò)是目前ipv6入侵檢測采用最多也是最成熟的訓(xùn)練算法之一，但其存在收斂速度慢、誤判率高的問題。技術(shù)實(shí)現(xiàn)要素：本發(fā)明為了解決bp神經(jīng)網(wǎng)絡(luò)用于ipv6入侵檢測存在收斂速度慢、誤判率高的問題，提供了一種基于概率神經(jīng)網(wǎng)絡(luò)的ipv6入侵檢測方法。本發(fā)明是采用如下的技術(shù)方案實(shí)現(xiàn)的：一種基于概率神經(jīng)網(wǎng)絡(luò)的ipv6入侵檢測方法，包括以下步驟：第一步：獲取數(shù)據(jù)并進(jìn)行預(yù)處理：利用ipv6網(wǎng)絡(luò)攻擊測試工具模擬攻擊，選擇攻擊數(shù)據(jù)作為入侵行為數(shù)據(jù)，在網(wǎng)絡(luò)中捕獲攻擊報(bào)文，再獲取正常數(shù)據(jù)，捕獲網(wǎng)絡(luò)中的報(bào)文，從上述數(shù)據(jù)中分別隨機(jī)抽取組成一組數(shù)據(jù)，作為訓(xùn)練樣本，用來構(gòu)建概率神經(jīng)網(wǎng)絡(luò)的模型；第二步：提取訓(xùn)練樣本特征值；第三步：對(duì)于特征值中特征差別不明顯的字段予以剔除，選擇有用的字段；第四步：利用最大最小法將特征值中選出的有用的字段進(jìn)行歸一化處理，把所有數(shù)據(jù)都轉(zhuǎn)化為[o，1]之間的數(shù)值，取消各維數(shù)據(jù)間的數(shù)量級(jí)差別；第五步：構(gòu)建pnn概率神經(jīng)網(wǎng)絡(luò)，歸一化處理后的數(shù)據(jù)供pnn概率神經(jīng)網(wǎng)絡(luò)訓(xùn)練，經(jīng)過訓(xùn)練從而調(diào)節(jié)好pnn概率神經(jīng)網(wǎng)絡(luò)的參數(shù)，然后將調(diào)整好的參數(shù)交給概率神經(jīng)網(wǎng)絡(luò)分類模塊使用；第六步：將待檢測的數(shù)據(jù)提取出特征值，輸入訓(xùn)練好的概率神經(jīng)網(wǎng)絡(luò)，概率神經(jīng)網(wǎng)絡(luò)輸出待檢測的數(shù)據(jù)類型。本方法基于pnn概率神經(jīng)網(wǎng)絡(luò)強(qiáng)大的非線性分類能力，可以非常準(zhǔn)確地完成入侵攻擊分類,在模式分類方面具有很大優(yōu)勢。用matlab神經(jīng)網(wǎng)絡(luò)工具箱設(shè)計(jì)三組網(wǎng)絡(luò)：bp網(wǎng)絡(luò)、rbf網(wǎng)絡(luò)和pnn網(wǎng)絡(luò)，并將三組網(wǎng)絡(luò)分別應(yīng)用于ipv6網(wǎng)絡(luò)的入侵檢測中，從誤判率、訓(xùn)練時(shí)間、檢測時(shí)間和總時(shí)間四個(gè)性能指標(biāo)對(duì)比分析，對(duì)比測試數(shù)據(jù)如下表：各項(xiàng)性能指標(biāo)綜合分析表網(wǎng)絡(luò)類型誤判率（%）訓(xùn)練時(shí)間（s）檢測時(shí)間（s）總時(shí)間（s）bp網(wǎng)絡(luò)0.09-0.1510-200.25-0.3010-20rbf網(wǎng)絡(luò)0.06-0.157-100.30-0.407-10pnn網(wǎng)絡(luò)0-0.00150.60-0.653-54-6通過測試數(shù)據(jù)可以看出，本發(fā)明不僅填補(bǔ)了將pnn應(yīng)用于ipv6網(wǎng)絡(luò)入侵檢測的空白，而且有效解決了bp神經(jīng)網(wǎng)絡(luò)在入侵檢測應(yīng)用中收斂速度慢、誤判率高的問題。附圖說明圖1為本發(fā)明的檢測流程圖。具體實(shí)施方式一種基于概率神經(jīng)網(wǎng)絡(luò)的ipv6入侵檢測方法，包括以下步驟：第一步：獲取數(shù)據(jù)并進(jìn)行預(yù)處理：利用ipv6網(wǎng)絡(luò)攻擊測試工具thc-ipv6模擬攻擊，選擇其中的dos-new-ipv6與smurf6攻擊數(shù)據(jù)作為入侵行為數(shù)據(jù)，在網(wǎng)絡(luò)中捕獲攻擊報(bào)文icmpv6；再獲取正常數(shù)據(jù)，捕獲網(wǎng)絡(luò)中的tcp、udp報(bào)文；從入侵行為數(shù)據(jù)和正常數(shù)據(jù)中分別隨機(jī)抽取組成一組數(shù)據(jù)，作為訓(xùn)練樣本，用來構(gòu)建概率神經(jīng)網(wǎng)絡(luò)的模型。訓(xùn)練樣本實(shí)例數(shù)據(jù)如下：數(shù)據(jù)類型訓(xùn)練樣本normal20000dos-new-ipv63000smurf63000total26000第二步：過濾提取出tcp、udp與icmpv6的特征值，如下表：tcp特征值表udp特征值表負(fù)載長度下一個(gè)頭跳數(shù)限制源端口目的端口長度ipv6.plenipv6.nxtipv6.hlimudp.srcportudp.dstportudp.lengthicmpv6特征值表負(fù)載長度下一個(gè)頭跳數(shù)限制類型代碼ipv6.plenipv6.nxtipv6.hlimicmpv6.typeicmpv6.code第三步：對(duì)于特征值中特征差別不明顯的字段予以剔除，選擇有用的字段。第四步：利用最大最小法將特征值中選出的有用的字段進(jìn)行歸一化處理，把所有數(shù)據(jù)都轉(zhuǎn)化為[o，1]之間的數(shù)值，取消各維數(shù)據(jù)間的數(shù)量級(jí)差別；為有用的字段中的最小值,為有用的字段中的最大值。第五步：通過matlab構(gòu)建pnn概率神經(jīng)網(wǎng)絡(luò)，歸一化處理后的數(shù)據(jù)（tcp、udp與icmpv6）供pnn概率神經(jīng)網(wǎng)絡(luò)訓(xùn)練，pnn概率神經(jīng)網(wǎng)絡(luò)的輸出層將三種數(shù)據(jù)類型分為[0、1、2]，經(jīng)過訓(xùn)練從而調(diào)節(jié)好pnn概率神經(jīng)網(wǎng)絡(luò)的參數(shù)，然后將調(diào)整好的參數(shù)交給概率神經(jīng)網(wǎng)絡(luò)分類模塊使用。在當(dāng)前的參數(shù)值下，pnn概率神經(jīng)網(wǎng)絡(luò)分類模塊一旦發(fā)現(xiàn)可疑攻擊，便把數(shù)據(jù)交給模式匹配模塊進(jìn)行傳統(tǒng)的分析。而模式匹配模塊對(duì)于從數(shù)據(jù)庫中獲得的網(wǎng)絡(luò)數(shù)據(jù)的所有分析結(jié)果，都要提供給神經(jīng)網(wǎng)絡(luò)訓(xùn)練模塊。神經(jīng)網(wǎng)絡(luò)訓(xùn)練模塊依靠不斷獲得的這些攻擊或正常的網(wǎng)絡(luò)數(shù)據(jù)信息，對(duì)自身進(jìn)行自適應(yīng)的調(diào)整．更新神經(jīng)網(wǎng)絡(luò)的權(quán)值，同時(shí)也就更新了神經(jīng)網(wǎng)絡(luò)分類模塊的設(shè)置，進(jìn)而提高了分類模塊對(duì)于攻擊的判斷分析能力。第六步：將待檢測的數(shù)據(jù)提取出特征值，輸入訓(xùn)練好的概率神經(jīng)網(wǎng)絡(luò)，概率神經(jīng)網(wǎng)絡(luò)輸出待檢測的數(shù)據(jù)類型。當(dāng)前第1頁12