تشخيص نفوذ شبكه با استفاده از رويكرد تركيبي مدل مخفي ماركوف و يادگيري ماشين مفرط

Network Intrusion Detection using a Hybrid of Hidden Markov Model and Extreme Learning Machine

با رشد فناوري اطلاعات، امنيت شبكه به‌ عنوان يكي از مباحث چالش‌برانگيز مطرح است. تكنيك‌هاي تشخيص نفوذ مبتني بر ناهنجاري يك فناوري ارزشمند براي حفاظت از شبكه‌ها در برابر فعاليت‌هاي مخرب است. در اين مقاله رويكردي جديد مبتني بر مدل مخفي ماركوف (HMM) و ماشين يادگيري مفرط (ELM) جهت تشخيص نفوذ ارائه شده است. در مدل پيشنهادي، داده‌هايي كه از ترافيك شبكه جمع‌آوري شده‌اند، ابتدا پيش‌پردازش مي‌شوند. سپس دنباله مشاهدات، به HMM داده مي‌شود و مدل با الگوريتم بام-ولچ آموزش مي‌بيند. در مرحله شناسايي نفوذ با اعمال الگوريتم ويتربي بر روي مشاهدات به‌دست‌آمده، محتمل‌ترين دنباله حالات استخراج مي‌شوند. در مرحله بعد، دنباله حالات به‌ عنوان ورودي براي شبكه ELM در نظر گرفته مي‌شوند و دسته‌بند داده‌هاي جديد را با توجه به آنچه آموزش‌ديده به يكي از كلاس‌هاي نرمال يا حمله نسبت مي‌دهد. مجموعه داده مورد استفاده Darpa 98 مي‌باشد كه داده‌هاي ترافيك شبكه است. مشكلاتي همچون ناكافي‌بودن داده‌هاي آموزش و اثر كاهش نمونه‌هاي آموزشي بر صحت نهايي در اين مجموعه داده مورد آزمايش قرار گرفته است، كه مدل پيشنهادي نتايج بهتري نسبت به روش‌هاي پيشين ارائه كرده است. آزمايش‌ها نشان مي‌دهد كه اين رويكرد توانسته نسبت به ساير روش‌ها نرخ صحت بالاتر و نرخ مثبت كاذب كمتري را حاصل نمايد و كارايي تشخيص نفوذ را بهبود بخشد.

With the growth of information technology, network security is raised as one of the most important issues and challenges. Anomaly-based intrusion detection system is a valuable technology for network protection against malicious activities. In this paper a new approach is proposed based on hidden Markov model (HMM) and extreme learning machine (ELM) for intrusion detection. In the proposed model, the data that have been collected from network traffic are preprocessed at first. Then, the sequence of observations, are fed into HMM and the model is trained using Baum-Welch algorithm. In the recognition phase, Viterbi algorithm is used and the optimal state sequences are extracted from the input observations. Then, the sequence of states is considered as the input of ELM network and classified to normal or attack classes. Darpa98 dataset which is network trafic data is used to evaluate the approach. We evaluated the approach on this data set for challenges such as insufficient training data and the effect of training samples insufficiency, for which the proposed model provided satisfacory results. Experiments show that our approach has higher accuracy and lower false positive as compared with other methods and the accuracy of the proposed intrusion detection system is 98 percent.