[發明專利]一種異常流量數據的檢測方法及系統

有效

• 申請號: 201810444291.1
• 申請日: 2018-05-10
• 公開（公告）號: CN108737406B
• 公開（公告）日: 2020-08-04
• 發明（設計）人: 王小娟;張勇;金磊;陳旭;由靖文;陳墨;宋梅
• 申請（專利權）人: 北京郵電大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩;吳歡燕

1.一種異常流量數據的檢測方法，其特征在于，包括：

將待檢測流量數據包中的任一條流量數據的特征輸入至訓練好的自動編碼器模型或主成分分析模型中，以獲取所述任一條流量數據對應的評分；

若所述評分大于預設異常門限，則判定所述任一條流量數據為異常流量數據；

其中，所述訓練好的自動編碼器模型的訓練步驟如下：

構建所述自動編碼器模型的第一目標函數；

在訓練集上對所述第一目標函數進行訓練，以使所述第一目標函數最小；

其中，構建所述第一目標函數L的公式如下：

其中，x_i為將第i條流量數據的所有特征，x_i′為將第i條流量數據的所有特征輸入至自動編碼器模型得到的輸出向量，h為稀疏參數，h_j為隱藏層中第j個神經元的活躍度；

其中，所述訓練好的主成分分析模型的訓練步驟如下：

構建所述主成分分析模型的第二目標函數；

在訓練集上對所述第二目標函數進行訓練，以使所述第二目標函數最大；

其中，構建所述第二目標函數M的公式如下：

其中，d_i為第i條流量數據的所有特征維度，為第i條重構流量數據的所有特征維度，W為各維度的特征權值。

2.根據權利要求1所述的方法，其特征在于，所述將待檢測流量數據包中的任一條流量數據的特征輸入至訓練好的自動編碼器模型或主成分分析模型中，以獲取所述任一條流量數據對應的評分，之前還包括：

獲取所述任一條流量數據的原始特征，其中，所述原始特征包括統計特征和/或字符特征；

將所述原始特征進行標準化，以獲取所述任一條流量數據的特征；

其中，標準化的公式如下：

其中，為待檢測流量數據包中第k條流量數據的第i個特征，為待檢測流量數據包中第k條流量數據的第i個原始特征。

3.根據權利要求2所述的方法，其特征在于，所述獲取所述任一條流量數據的原始特征，進一步包括：

獲取所述任一條流量數據的http請求字段；

在所述http請求字段中，獲取所述任一條流量數據的請求響應碼、響應尺寸、請求參數、請求字符頻率熵、請求字符頻率和請求路徑中的一種或任意多種，并作為所述任一條流量數據的統計特征；

基于n-gram算法，獲取所述任一條流量數據的字符特征；

將所述統計特征和/或所述字符特征作為所述任一條流量數據的原始特征。

4.根據權利要求1所述的方法，其特征在于，所述自動編碼器模型的網絡結構包括輸入層、若干個隱藏層和輸出層；

其中，所述若干個隱藏層中任一隱藏層的神經元個數為5-8個，所述輸入層和所述輸出層的尺寸一致，每一隱藏層和所述輸出層連接有偏置單元。

5.一種異常流量數據的檢測系統，其特征在于，包括：

特征輸入模塊，用于將待檢測流量數據包中的任一條流量數據的特征輸入至訓練好的自動編碼器模型或主成分分析模型中，以獲取所述任一條流量數據對應的評分；

異常流量數據判定模塊，用于若所述評分大于預設異常門限，則判定所述任一條流量數據為異常流量數據；

其中，所述異常流量數據的檢測系統，還用于構建所述自動編碼器模型的第一目標函數；在訓練集上對所述第一目標函數進行訓練，以使所述第一目標函數最小；

其中，構建所述第一目標函數L的公式如下：

其中，x_i為將第i條流量數據的所有特征，x_i′為將第i條流量數據的所有特征輸入至自動編碼器模型得到的輸出向量，h為稀疏參數，h_j為隱藏層中第j個神經元的活躍度；

其中，所述異常流量數據的檢測系統，還用于構建所述主成分分析模型的第二目標函數；

在訓練集上對所述第二目標函數進行訓練，以使所述第二目標函數最大；

其中，構建所述第二目標函數M的公式如下：

其中，d_i為第i條流量數據的所有特征維度，為第i條重構流量數據的所有特征維度，W為各維度的特征權值。