[发明专利]一种基于KNN算法的网络入侵检测并行化加速方法

说明书

一种基于KNN算法的网络入侵检测并行化加速方法。方法采用了CUDA并行计算模型，首先针对基于KNN算法的网络入侵检测进行了并行化分析，在计算网络入侵检测数据点到训练数据集的距离时，采用了CUDA提供的通用矩阵乘函数进行加速，提高了运算速度；然后，在距离排序阶段，提供了两种并行化排序策略的选择机制，可以根据少量数据的排序结果，灵活选择排序时间少的排序算法进行距离排序；最后，在入侵检测数据点的分类阶段，采用基于CUDA的原子加法操作进行统计。实验结果表明，本发明提出的加速方法是有效的，在保证检测率的情况下，有效地提高了网络入侵检测的并行化加速性能。

(一)技术领域

本发明涉及信息安全领域的网络入侵检测技术，是一种基于KNN算法的网络入侵检测并行化加速方法。

(二)背景技术

网络入侵检测的目的是分析网络传输的数据流量，从中发现和检测出异常流量。目前有许多分类算法应用于网络入侵检测系统，其中基于KNN(K-Nearest Neighbor：K最近邻)分类算法的网络入侵检测最为常用。KNN算法最为经典的求解方法就是暴力搜索方法，该方法首先依次计算每个网络入侵检测数据点到网络入侵检测训练数据集的距离，然后依次将每个入侵检测数据点的距离进行快速排序，从而得到距离该入侵检测数据点最近的k个训练数据点，最后根据这k个训练数据点的分类来判断入侵检测数据点的所属类别。若需要进行辨别的入侵检测数据点的数量为m，训练数据集中的数据点数量为n，每个入侵检测数据点的维度为d，则在距离计算阶段的时间复杂度为O(mnd)，距离排序阶段的时间复杂度为O(mnlogn)。随着入侵检测数据点和网络入侵检测训练数据集规模的不断增加，KNN算法的计算时间和成本开销将会成倍增长，执行效率将大大降低，无法满足大数据时代下的快速计算。为了提高KNN算法在大规模网络入侵检测数据集上的检测速度，一种有效的途径就是将KNN算法移植到多核架构上，例如目前流行的图形处理单元GPU(Graphics ProcessingUnit)，然后运用CUDA(Compute Unified Device Architecture)编程模型进行并行化加速，这样可以节省大量运算时间，提高算法的执行效率。

CUDA是由NVIDIA公司推出的编程模型，是一种专注于并行计算的平台。CUDA架构的出现改变了传统的GPU程序编程方式，使用CUDA时不需要将程序任务转换为GPU图形处理任务，也不需要借助图形学API来进行GPU的数据管理。GPU是能够并行执行大量线程的协处理器。一个简单的GPU源程序包括运行在CPU上的主机端代码和运行在GPU上的内核(kernel)代码。它采用普通程序员更容易掌握的类C语言来编程，大大降低了开发难度。

很多研究都采用CUDA模型来并行化加速基于KNN算法的网络入侵检测。常见的方法是将网络入侵检测数据点到网络入侵检测训练数据集的距离计算移植到GPU中执行，而距离排序和判断所属类别则放在CPU中执行，这种方法执行效率高而且应用普遍，但是网络入侵检测数据在GPU和CPU端之间的传输时间也大幅增加。也有一些方法针对算法运行时网络入侵检测数据量的大小进行划分。当数据量较小时，就一次读入设备进行计算，当数据量较大时，就分批次读入设备进行计算，这种流式计算方法在面对大数据量时简单有效，但没有充分利用GPU内部的存储器体系。目前，采用CUDA模型来并行化加速基于KNN分类算法的网络入侵检测方法，存在的主要问题如下：1)距离计算时的并行度不高，每个线程只负责一个网络入侵检测数据点到网络入侵检测训练数据集的距离计算，没有充分利用CUDA的硬件特性；2)距离排序的时间复杂度高，对n个距离进行排序，大多数方法的时间复杂度为O(nlogn)或者O(n²)，没有合理利用CUDA存储器体系；3)入侵检测数据点的分类阶段，多数方法将数据重新移植到CPU中执行，没有利用CUDA的原子特性，加大了数据的计算成本和传输开销。

(三)发明内容

本发明要克服现有技术的上述不足之处，提供一种基于KNN算法的网络入侵检测并行化加速方法。