[發(fā)明專利]一種基于深度學(xué)習(xí)的異常網(wǎng)絡(luò)連接檢測方法

有效

• 申請?zhí)枺?/td>: 201810487746.8
• 申請日: 2018-05-21
• 公開（公告）號: CN108809948B
• 公開（公告）日: 2020-07-10
• 發(fā)明（設(shè)計）人: 馬衛(wèi);王利明;楊婧
• 申請（專利權(quán)）人: 中國科學(xué)院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京科迪生專利代理有限責(zé)任公司 11251
• 代理人: 安麗;成金玉

1.一種深度學(xué)習(xí)的異常網(wǎng)絡(luò)連接檢測方法，其特征在于，包括以下步驟：

第一步，對輸入的原始網(wǎng)絡(luò)流記錄數(shù)據(jù)進(jìn)行數(shù)據(jù)清洗，得到干凈網(wǎng)絡(luò)流記錄數(shù)據(jù)集，并將所述干凈網(wǎng)絡(luò)流記錄數(shù)據(jù)集拆分為訓(xùn)練數(shù)據(jù)集和驗證數(shù)據(jù)集；

第二步，對所述干凈網(wǎng)絡(luò)流記錄數(shù)據(jù)集進(jìn)行特征抽取，并對抽取后的特征進(jìn)行標(biāo)準(zhǔn)化處理，從而對網(wǎng)絡(luò)流記錄數(shù)據(jù)集中的每個網(wǎng)絡(luò)流記錄生成特征向量；

第三步，對所述干凈網(wǎng)絡(luò)流記錄數(shù)據(jù)集中的網(wǎng)絡(luò)流記錄提取網(wǎng)絡(luò)連接標(biāo)識字段，并根據(jù)所述網(wǎng)絡(luò)連接標(biāo)識字段對網(wǎng)絡(luò)流記錄進(jìn)行聚合，生成所述網(wǎng)絡(luò)流記錄數(shù)據(jù)集中的所有網(wǎng)絡(luò)連接，所述網(wǎng)絡(luò)連接由第二步中特征向量構(gòu)成的特征向量序列進(jìn)行描述；

第四步，構(gòu)建網(wǎng)絡(luò)連接模型，使用第三步中的特征向量序列對網(wǎng)絡(luò)連接模型進(jìn)行訓(xùn)練，完成對正常網(wǎng)絡(luò)連接模式和異常網(wǎng)絡(luò)連接模式的建模，網(wǎng)絡(luò)連接模型輸出最終輸出為網(wǎng)絡(luò)連接的向量表達(dá)形式；

第五步，構(gòu)建一個異常網(wǎng)絡(luò)連接檢測器，使用網(wǎng)絡(luò)連接模型的輸出作為輸入，與網(wǎng)絡(luò)連接模型同步進(jìn)行訓(xùn)練，完成對正常網(wǎng)絡(luò)連接和異常網(wǎng)絡(luò)連接的檢測，得到網(wǎng)絡(luò)連接的檢測結(jié)果；

第六步，使用驗證數(shù)據(jù)集中的網(wǎng)絡(luò)連接特征向量序列對異常網(wǎng)絡(luò)連接檢測器進(jìn)行測試，根據(jù)異常網(wǎng)絡(luò)連接檢測器的檢測效果，對網(wǎng)絡(luò)連接模型和異常網(wǎng)絡(luò)連接檢測器進(jìn)行調(diào)參優(yōu)化與誤報控制，如果達(dá)到期望檢測效果，則訓(xùn)練結(jié)束并保存網(wǎng)絡(luò)參數(shù)及結(jié)構(gòu)，從而完成異常網(wǎng)絡(luò)連接檢測；

所述第三步中，所述特征向量序列指由一組特征向量構(gòu)成的一個序列；

所述特征向量序列中包含的特征向量個數(shù)不一定相同，對于不定長的特征向量序列輸入，導(dǎo)致的模型不收斂情況，對不定長的特征向量序列處理的方法包括：

1）將所有網(wǎng)絡(luò)連接的特征向量序列統(tǒng)一為一個指定的最大長度的特征向量序列；

2）在網(wǎng)絡(luò)連接模型中對統(tǒng)一序列長度后的特征向量序列進(jìn)行還原；

3）對深度神經(jīng)網(wǎng)絡(luò)進(jìn)行權(quán)值初始化，并使用還原后的特征向量序列進(jìn)行模型訓(xùn)練；

所述第四步中，所述網(wǎng)絡(luò)連接模型構(gòu)建與訓(xùn)練是基于深度神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)連接模型，所述深度神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)連接模型采用深度循環(huán)神經(jīng)網(wǎng)絡(luò)模型；

所述深度循環(huán)神經(jīng)網(wǎng)絡(luò)模型由Masking層、兩層GRU層加BatchNormalization層的組合層構(gòu)成，用于完成對網(wǎng)絡(luò)連接模式的建模。

2.根據(jù)權(quán)利要求1所述的一種深度學(xué)習(xí)的異常網(wǎng)絡(luò)連接檢測方法，其特征在于：所述第一步中，數(shù)據(jù)清洗包括去除重復(fù)網(wǎng)絡(luò)數(shù)據(jù)流記錄和刪除格式非法網(wǎng)絡(luò)數(shù)據(jù)流記錄。

3.根據(jù)權(quán)利要求1所述的一種深度學(xué)習(xí)的異常網(wǎng)絡(luò)連接檢測方法，其特征在于：所述第二步中，生成特征向量中的特征包括：開始時間、持續(xù)時間、傳輸數(shù)據(jù)包總量、傳輸數(shù)據(jù)總大小、源IP發(fā)送數(shù)據(jù)總大小。

4.根據(jù)權(quán)利要求1所述的一種深度學(xué)習(xí)的異常網(wǎng)絡(luò)連接檢測方法，其特征在于：所述第三步中，所述對網(wǎng)絡(luò)流記錄進(jìn)行聚合中，網(wǎng)絡(luò)連接標(biāo)識字段包括源IP、目的IP、目的端口和所用協(xié)議。

5.根據(jù)權(quán)利要求1所述的一種深度學(xué)習(xí)的異常網(wǎng)絡(luò)連接檢測方法，其特征在于：所述第三步中，所述特征向量序列中包含的特征向量個數(shù)不相同。

6.根據(jù)權(quán)利要求1所述的一種深度學(xué)習(xí)的異常網(wǎng)絡(luò)連接檢測方法，其特征在于：所述第五步中，所述異常網(wǎng)絡(luò)連接檢測器模型由全連接層加Sigmoid層構(gòu)成，用于完成對異常網(wǎng)絡(luò)連接的識別。