[發明專利]基于在線特征選擇的網絡流異常檢測方法

在審

• 申請號: 201811024167.6
• 申請日: 2018-09-04
• 公開（公告）號: CN109120632A
• 公開（公告）日: 2019-01-01
• 發明（設計）人: 潘志松;莫小勇;劉鑫;李東;張艷艷;魏浩;許艾;尤峻
• 申請（專利權）人: 中國人民解放軍陸軍工程大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 常州佰業騰飛專利代理事務所(普通合伙) 32231
• 代理人: 滕詣迪

1.基于在線特征選擇的網絡流異常檢測方法，其特征在于包括兩個部分：

1)網絡流特征選擇：采用在線特征選擇算法從網絡數據流特征中提取影響分類的關鍵特征；

2)根據在線特征選擇算法提取的關鍵特征子集，對原始數據流進行特征提取，并將其作為網絡流異常檢測在線學習算法的輸入；建立一個在線學習分類模型，再使用數據集對模型進行訓練，模型穩定后，用于在線網絡流異常實時檢測，將原始數據流按照特征子集進行特征提取，然后輸入在線異常檢測模型，最后將檢測結果存于數據庫，用于預警。

2.根據權利要求1所述的基于在線特征選擇的網絡流異常檢測方法，其特征在于：所述的步驟1)首先對原始網絡數據流進行特征提取，提取方法使用Moore特征提取方法。

3.根據權利要求2所述的基于在線特征選擇的網絡流異常檢測方法，其特征在于在網絡流特征選擇階段，主要包括以下步驟：

采用Moore數據流特征提取算法對數據流進行特征提取，得到數據流特征序列{x_i∈R²⁴⁸|i＝1,2,...,N}，處理后的每一個數據流樣本x_i包含248維特征。

4.根據權利要求3所述的基于在線特征選擇的網絡流異常檢測方法，其特征在于所述的248維特征包括簡單特征、協議計數特征、分組頭部提取特征、雙向簡單統計量特征和連接統計特征。

5.根據權利要求1所述的基于在線特征選擇的網絡流異常檢測方法，其特征在于：在所述的訓練階段，首先采用nDPI等深度包檢測工具對數據流進行分類，得到數據流標簽{y_i∈{0,1}|i＝1,2,...,N}；標簽y_i＝0表示正常數據流，y_i＝1表示異常數據流；進行特征選擇時可表示為在訓練集{(x_i,y_i)|i＝1,2,…,N}上的一系列優化問題

s.t.w∈Ω

其中，i為數據流樣本的序號，w為模型參數，Ω表示模型參數的可行解集；L(·)為損失函數，其值越小表明對數據流分類越正確，μ為其參數；R(·)為正則化項，其值越大表明模型越復雜，θ為其參數，λ是一個正則化參數，它控制著第一項和第二項的折中，當更新模型時，采用梯度下降算法；首先計算優化問題L(w,x_i,μ)+λR(w,x_i,θ)的梯度并采用更新規則更新模型參數；其中w_i-1為訓練完第i-1個樣本后的模型參數，η為學習率，描述了模型沿梯度方向移動的大小；梯度下降保證了模型在數據流分類上損失朝著下降的方向移動。

6.根據權利要求1所述的基于在線特征選擇的網絡流異常檢測方法，其特征在于：在所述的選擇特征子集時，未被選擇的特征對應的w_i分量足夠小，從而提高分類準確率；使用L1范數作為正則化項R(·)，將模型參數進行壓縮；并使用一個截斷函數來控制特征選擇的個數，截斷函數對w_i分量的絕對值進行排序，然后保留最大的M個元素，特征選擇的個數其他元素置0。

7.根據權利要求1所述的基于在線特征選擇的網絡流異常檢測方法，其特征在于在網絡流異常檢測階段，主要包括以下幾個步驟：

1)采用特征選擇后的特征子集提取算法，對數據流進行特征提取，得到數據流特征序列{x_i'∈R^M|i＝1,2,...,N}，處理后的每一個數據流樣本x_i'包含M維特征；

2)根據訓練階段得到更新后的模型f(w)對數據流樣本x_i'進行分類，f為模型函數，w為模型參數；當模型分類效果下降，預報不準確時；在回到訓練階段繼續訓練，直至滿足條件才停止。