[發明專利]基于SVM的網絡代理行為檢測系統及檢測方法

無效

• 申請號: 201210123936.4
• 申請日: 2012-04-25
• 公開（公告）號: CN102664771A
• 公開（公告）日: 2012-09-12
• 發明（設計）人: 任午令;姜國新
• 申請（專利權）人: 浙江工商大學
• 主分類號: H04L12/26
• 分類號: H04L12/26
• 代理公司: 杭州裕陽專利事務所(普通合伙) 33221
• 代理人: 江助菊

1.基于SVM的網絡代理行為檢測系統，其特征在于，包括網絡數據采集模塊、數據預處理模塊、SVM學習機、網絡行為決策系統；

所述網絡數據采集模塊從所監控的目標網絡段中收集原始的網絡數據，并獲取少量可以準確標記的樣本，該少量可以準確標記的樣本在網絡代理行為檢測前期，進行行為分析實驗得到；

所述數據預處理模塊從所述網絡數據采集模塊采集的網絡數據進行標記、提取特征信息并將特征信息進行聚類處理，并把特征信息轉化為SVM分類器能夠處理的維數相同的數字向量，所述特征信息包括網絡訪問的方式、類型、訪問的對象標識、獲取結果的類型、數據包附加的特征字；

所述網絡行為決策系統包含SVM分類器，所述SVM分類器將所述數據預處理模塊處理后的樣本進行檢測，并將所述少量可以準確標記的樣本和未標記樣本組成訓練樣本集，傳輸給所述SVM學習機進行訓練；根據SVM分類器分類的結果作出是否屬于網絡代理行為的判斷；

所述SVM學習機接受所述SVM分類器傳輸的訓練樣本集，將訓練后的數據再次傳輸至所述SVM分類器進行檢測，反復檢測、訓練，直到達到未標記樣本的最小分類誤差。

2.一種利用權利要求1所述系統的檢測方法，其特征在于，包括如下步驟：

21)在網絡代理行為檢測前期進行行為分析實驗，得到少量可以準確標記的網絡數據樣本，所述網絡數據采集模塊從所監控的目標網絡段中收集原始的網絡數據及少量可以準確標記的網絡數據樣本；

22)所述數據預處理模塊在給定的一個時間段內，按照網絡代理行為的特征，從原始采集的網絡訪問數據中針對數據包，分別提取特征信息，該特征信息包括網絡訪問的方式、類型、訪問的對象標識、獲取結果的類型、數據包附加的特征字；將該特征信息進行聚類處理，并把特征信息轉化為SVM分類器能夠處理的維數相同的數字向量；

23)對行為分析實驗采集到的網絡數據樣本處理時，將網絡代理行為的網絡數據樣本規定為負樣本，標記為“-1”，正常的網絡數據樣本規定為正樣本，標記為“+1”；而對非行為分析實驗采集到的網絡數據樣本，規定為未標記樣本，標記為“0”；經過數據預處理模塊處理后的樣本就送往SVM分類器進行檢測，將少量正樣本和負樣本，以及一些未標記樣本組成訓練樣本集，對SVM學習機進行訓練；

24)SVM學習機根據指定的懲罰因子C和C^*，利用訓練數據中包含的正負標記的網絡數據進行歸納式學習，得到一個比較原始的樣本分類器；隨后，SVM學習機假定訓練集中無標記網絡數據樣本中正負樣本的比例為1∶1，并指定一個訓練集中無標記樣本的臨時懲罰因子C^*_temp；SVM學習機用得到的比較原始的樣本分類器對訓練集中的無標記樣本進行重新分類，根據該樣本分類器對無標記網絡數據記錄的判別結果，對無標記網絡數據作出正負分類判決，并將判決值較大的一半樣本標記為正標記，另外一半樣本標記為負標記；

25)用步驟24)得到的經過重新標記的訓練集網絡數據對SVM學習機進行重新訓練，得到新的樣本分類器；然后，按一定的規則交換一對標記值不同的訓練樣本的標記符號，即把起初標記為正樣本的未標記樣本標記為重新負樣本，起初標記為負樣本的未標記樣本標記為重新正樣本，計算目標函數的值，使得目標函數的值獲得最大下降；反復執行訓練樣本標記的變換，直到找不出滿足交換條件的樣本為止；

26)當SVM終止學習后，用學習得到的最終樣本分類器對測試樣本進行分類判別，網絡代理行為檢測決策系統根據最終樣本分類器分類的結果作出是否屬于網絡代理行為的判斷。