[發明專利]一種基于多尺度特征連接卷積神經網絡的入侵檢測方法

有效

• 申請號: 201811127767.5
• 申請日: 2018-09-27
• 公開（公告）號: CN109446804B
• 公開（公告）日: 2022-02-01
• 發明（設計）人: 江澤濤;秦嘉奇;江婧;周譚盛子;胡碩
• 申請（專利權）人: 桂林電子科技大學
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06N3/04;G06N3/08
• 代理公司: 桂林市持衡專利商標事務所有限公司 45107
• 代理人: 陳躍琳

本發明公開一種基于多尺度特征連接卷積神經網絡的入侵檢測方法，使用卷積神經網絡的超強特征提取能力提取到入侵數據中的關鍵特征和關聯特征，使得提取到的特征在各種環境下都有較強的魯棒性，網絡結構也有很強的普適性。同時利用卷積自編碼器和未標注數據對卷積層組參數進行預訓練，使得網絡即使在標注數據量較少的情況下也能夠獲得很好的效果，解決了大量數據標注困難的問題。當訓練的卷積神經網絡達到要求之后保存網絡參數，之后的系統部署過程不需要再次進行訓練，給系統的實施和部署帶來了便利。當采集到新的網絡入侵數據，之前訓練的權重可以作為初始值載入網絡進行微調訓練，該入侵檢測網絡可以尋求到更優的性能。

技術領域

本發明涉及機器學習中的分類領域和信息安全中的入侵檢測領域，具體涉及一種基于多尺度特征連接卷積神經網絡(Multiscale Feature Connection ConvolutionalNeural Network，MFC-CNN)的入侵檢測方法。

背景技術

隨著計算機網絡的發展，許多涉及到敏感數據的應用被部署在了網絡中，其安全問題卻受到層出不窮的入侵手段的威脅。入侵檢測技術作為一種主動的入侵防御手段，能夠對進入到信息系統的訪問行為進行分析，檢測到具有惡意入侵行為的行為。入侵檢測技術通過收集出入信息系統的數據包，監聽網絡通信，使用各種方法對收集到的數據包以及通信內容進行分析，從而檢測出可能對信息安全造成影響的數據包。一個優秀的入侵檢測系統，應當對惡意行為具有較高的識別率，同時對正常行為的誤報率要盡可能的低。

分析網絡系統中的訪問行為方法是多種多樣的。其中的關鍵是找到訪問行為中那些具有明顯特征的訪問信息或者訪問特性。有許多的機器學習算法和特征提取算法被提出并應用到入侵檢測領域，但這些方法面對差異量大的入侵樣本時，往往出現檢出率不高、誤報率大的問題，其原因在不能很好的找到入侵屬性當中的特征信息。

發明內容

本發明針對現有入侵檢測方法存在檢出率不高、誤報率大、對具體的網絡入侵場景泛用性不強的問題，提出一種基于多尺度特征連接卷積神經網絡的入侵檢測方法。

為解決上述問題，本發明是通過以下技術方案實現的：

一種基于多尺度特征連接卷積神經網絡的入侵檢測方法，具體包括步驟如下：

步驟1、采集網絡中的歷史數據形成總數據集D；

步驟2、隨機從總數據集D中選取部分數據形成抽選數據集D′，并將抽選數據集D′分為訓練集STrain和測試集STest；

步驟3、根據入侵數據的真實情況，為訓練集STrain和測試集STest中的數據打上入侵類型的標簽；

步驟4、將總數據集D中除去抽選數據集D′所剩余的數據組成剩余數據集

步驟5、將剩余數據集中的數據送入初始的基于多尺度特征連接卷積神經網絡中進行無監督預訓練；

步驟6、在無監督預訓練結束時，保留初始的基于多尺度特征連接卷積神經網絡中卷積層的所有參數W；

步驟7、將步驟6所得到的卷積層的所有參數W加載回初始的基于多尺度特征連接卷積神經網絡的卷積層中，得到預訓練的基于多尺度特征連接卷積神經網絡；

步驟8、將訓練集Strain中的數據送入步驟7所得到的預訓練的基于多尺度特征連接卷積神經網絡中進行監督訓練；

步驟9、在監督訓練過程中，使用反向傳播算法訓練網絡參數，每隔一定的訓練批次使用測試集STest中的數據驗證網絡的正確率，當正確率達到設定的閾值時，則將當前預訓練的基于多尺度特征連接卷積神經網絡中各層的所有參數Wa保存下來；

步驟10、將步驟9所得到的各層的所有參數Wa對應加載回預訓練的基于多尺度特征連接卷積神經網絡的各層中，得到最終基于多尺度特征連接卷積神經網絡；