[發明專利]數字家庭網絡中用戶異常行為檢測方法

無效

• 申請號: 201210407885.8
• 申請日: 2012-10-24
• 公開（公告）號: CN103780588A
• 公開（公告）日: 2014-05-07
• 發明（設計）人: 李祺;李釗;徐國愛;楊義先
• 申請（專利權）人: 北京郵電大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.數字家庭網絡中用戶異常行為檢測方法，其特征在于，所述方法包括下述操作步驟：

(1)進行網絡數據采集，對當前用戶的網絡行為進行相應的特征提取；

(2)在所提取的特征的基礎上進行粗粒度的異常行為檢測；

(3)先采用離線訓練方式，用基于遷移學習的方法建立用戶正常行為模型，在根據訓練好的正常行為模型，用在線測試的方式判斷當前的用戶行為是否為異常事件。

2.根據權利要求1所述的方法，其特征在于：

所述步驟(1)進一步包括下列操作內容：

(11)流量捕獲：從系統硬件平臺網卡上獲取數據流量，對流量進行整形處理，進而進行下一步操作；

(12)利用深度包檢測技術(Deep?Packet?Inspection，DPI)提取所捕獲的流量的五元組信息，其中，五元組信息包括：源地址、目的地址、源端口號、目的端口號、協議類型；

(13)在五元組序列的基礎上提取用戶行為特征。其中，用戶行為特征的提取是業界經常涉及的方法，本發明在這特征提取上沒有進行獨立創新。

3.根據權利要求1所述的方法，其特征在于：

所述步驟(2)，粗粒度的用戶異常行為檢測，其主要特征為：

目前，本領域有多種粗粒度的用戶異常行為檢測方法，例如：根據訪問鏈接將用戶訪問特定網站的行為判定為異常行為；根據數據流量，將流量超出一定閾值的行為判定為異常行為等。在粗粒度用戶行為檢測這一方面，本發明沒有進行獨立創新。

4.根據權利要求1所述的方法，其特征在于

所述步驟(3)，具體包括如下操作內容?

(31)采用離線訓練的方式，采集訓練樣本，構成訓練樣本集合，將訓練樣本分為兩類，即與測試樣本分布不同的一類和與測試樣本分布相同的一類；

(32)采用離線訓練的方式，基于訓練樣本集合，利用弱分類器(對弱分類器類型不加限定)作為基分類器，使得每一個用戶特征對應于一個基分類器。

(33)采用離線訓練的方式，利用TrAdaBoost方法，計算弱分類器的加權系數，形成TrAdaBoost分類器。

(34)采用在線測試的方式，將用戶行為特征參數輸入到訓練好的TrAdaboost分類器，判斷當前用戶行為是否為異常行為。

5.根據權利要求4所述方法，其特征在于

所述步驟(31)，具體包括如下操作：

設收集的樣本集表示為混T＝{(x_i，c(x_i))}。

本發明中，訓練樣本集合由兩個被標記的樣本集構成，這兩個樣本集分別記為T_d和T_s。

表示歷史樣本集合，即與測試數據不同分布的樣本集。

表示即時樣本集，即與測試數據同分布的樣本集。

由此可知，

上式中式n和m分別表示樣本集T_d和T_s的大小，c(x)指出了樣本的類別

。

6.根據權利要求4所述方法，其特征在于：

所述步驟(33)，利用TrAdaBoost方法，計算弱分類器的加權系數，形成TrAdaBoost分類器，其具體操作包括如下步驟：

(331)訓練權值初始化?

其中，?表示第i個基分類器在第一輪時的權重值大小；

(332)權重值迭代計算，設共需要進行N輪迭代，則迭代過程為：

。

7.根據權利要求4所述方法，其特征在于：

所述步驟(34)，采用在線測試的方式，將用戶行為特征參數輸入到訓練好的TrAdaboost分類器，判斷當前用戶行為是否為異常行為，其具體操作為：

。